Wie genau prüft Apple die Export Compliance der App?

[QuickAndDirty]

Da ist also die APP
und die kommuniziert mit einem Webservice über Soap.
Zurzeit gänzlich unverschlüsselt. :-(

Wäre ja ein leichtes ein registriertes SSL/TLS/HTTPS Zertifikat z.b. von Letsencrypt via Certbot zu generieren.

Wir sind aber "zum Glück" noch nicht soweit.

Beim Hochladen der App in die Stores fragt Google nach nichts...das ist gut...
Apple fragt ob man Verschlüsselungstechnologien benutzt und wenn ja soll man wohl eine ERN angeben und der US Regierung über das Verschlüsseln Jahresberichte schicken.
Es gab wohl bis 2016 eine Ausnahme für Https oder eine eingeschränkte Ausnahme für HTTPS für Logins...Da durfte man sich selbst als US Export compliant erklären...

Was nun?

kein HTTPS ?

Oder einfach mal in USA anklopfen und sich ne Erlaubnis besorgen Verschlüsselungstechnologie exportieren zu dürfen?
Oder einfach HTTPS einbauen und Apple nichts davon erzählen?

Warum fragt Google nicht danach ?
Liegt da die APP in Irland?

Mir gehts nicht darum wie man es richtig macht...Einfach nur wie man es machen sollte.
Wie macht ihr das?
Verzichtet ihr auf Transportverschlüsselung?

[Rollo62]

Gute Frage, ich sehe das bei mir auch mal drohen.
Im Moment reicht zum Glück HTTP.
Aber schon bei WebServices würde es kritisch.

Ich hoffe einfach mal das dann jährliche "Berichte" nach USA reichen würden, aber
wie das genau aussehen soll würde ich auch gerne mal wissen.

Oder einfach unter gewisssen Key-Längen Beschränkungen bleiben (also Crypto knackbar).

Wahrscheinlich per learning-by-doing einfach mal eine (nutzlose) App zertifizieren lassen.

Rollo

[Sherlock]

Ich gehe zum SOAP über https also hab ich das angehakt. Im Januar geht eine Mail nach USA, die dieser Richtlinie folgt. Ich bin allerdings noch auf der Suche nach Ausgefüllten Beispielen...

Mal sehen was passiert.

Sherlock

[mkinzler]

Zitat:

Verzichtet ihr auf Transportverschlüsselung?

Sollte man nicht, vorallem wenn man seine Programme auch innerhalb der EU verteiben möchte.

[Sherlock]

Zitat:

Zitat von mkinzler (Beitrag 1415573)

Zitat:

Verzichtet ihr auf Transportverschlüsselung?

Sollte man nicht, vorallem wenn man seine Programme auch innerhalb der EU verteiben möchte.

DSGVO lässt grüßen.

Sherlock

[Rollo62]

Ok, die Richtlinie kannte ich schon.
Und was kommt da noch von Apple dazu wenn man auf YES klickt ?

[Sherlock]

Nix, nur der Hinweis, daß man diesen Schrieb jährlich einreichen sollte.

Sherlock

[Rollo62]

Super, dann besteht ja noch Hoffnung auf Vereinfachung der Prozesse :-D

[sakura]

Zitat:

Zitat von QuickAndDirty (Beitrag 1415556)

Oder einfach HTTPS einbauen und Apple nichts davon erzählen?

Meinst Du, dass das eine gute Idee wäre? Damit machst Du Dich dann strafbar. Das macht erst mal nichts, kann aber bei dem nächsten USA-Aufenthalt recht unangenehme Auswirkungen mit sich bringen. Ich sage nicht, dass die Möglichkeit groß ist, aber sie ist da...

Zitat:

Zitat von QuickAndDirty (Beitrag 1415556)

Verzichtet ihr auf Transportverschlüsselung?

Mit Verlaub, das wäre in der heutigen Zeit einfach dämlich.

...:cat:...

[mjustin]

Wird die Transportverschlüsselung denn von der eigenen App bereitgestellt (mitgelieferte Crypto-Library) oder wird HTTPS nur von der bereits im Betriebssystem enthaltenen TLS Bibliothek bereitgestellt?
Denn die wird ja mit dem Device exportiert und muss daher doch eigentlich von Apple bereits gesetzeskonform deklariert werden.

[QuickAndDirty]

Zitat:

Zitat von mjustin (Beitrag 1415604)

Wird die Transportverschlüsselung denn von der eigenen App bereitgestellt (mitgelieferte Crypto-Library) oder wird HTTPS nur von der bereits im Betriebssystem enthaltenen TLS Bibliothek bereitgestellt?
Denn die wird ja mit dem Device exportiert und muss daher doch eigentlich von Apple bereits gesetzeskonform deklariert werden.

lol
Sowas lassen die nicht mit sich machen! Wenn du HTTPS für mehr Dinge als Lizenzverfizierung und Login benutzt bist du dran.
Kurze Schlüssel sind ja auch so ne Sache...wer will die schon.

Zitat:

Zitat von mkinzler (Beitrag 1415573)

Zitat:

Verzichtet ihr auf Transportverschlüsselung?

Sollte man nicht, vorallem wenn man seine Programme auch innerhalb der EU verteiben möchte.

Wenn du deine App in Frankreich vertreiben willst musst du auch eine Registrierung durchführen...zumindest war das wohl 2014 so...
Und das ging damals nicht online....alles auf dem Postweg...

Also Weltweiter vertrieb einer APP könnte schwierig sein.

Ernsthaft so umsonst Apps oder ein euro Apps dürften da echt überproportional Aufwand erzeugen.

Zitat:

Zitat von sakura (Beitrag 1415599)

Zitat:

Zitat von QuickAndDirty (Beitrag 1415556)

Oder einfach HTTPS einbauen und Apple nichts davon erzählen?

Meinst Du, dass das eine gute Idee wäre? Damit machst Du Dich dann strafbar. Das macht erst mal nichts, kann aber bei dem nächsten USA-Aufenthalt recht unangenehme Auswirkungen mit sich bringen. Ich sage nicht, dass die Möglichkeit groß ist, aber sie ist da...

Ich beabsichtige prinizpiel nicht mich in den USA aufzuhalten.


Es ist halt einfach wieder so ein total unnötiger extra Aufwand...
Gäbe es wenigsten eine Clearingstelle für alle Länder. Ein Antrag geht rein und alle Länder die es erlauben kommen raus. Fertig.


Außerdem möcht ich mich für das Abgleiten ins Nörgeln entschuldigen....

Also Lösung ist
1. ERN beantragen
2. Zertifakt erstellen und App absichern
3. Hochladen in den store und ERN angeben.
4. Benutzer US Export Compliance Garantie "unterschreiben" lassen. (Sind sie wirklich über 18? Ja / Nein)
5. Jährlich Selbsteinschätzung an die US Regierung senden.

Zitat:

Zitat von Sherlock (Beitrag 1415570)

Ich gehe zum SOAP über https also hab ich das angehakt. Im Januar geht eine Mail nach USA, die dieser Richtlinie folgt. Ich bin allerdings noch auf der Suche nach Ausgefüllten Beispielen...

Mal sehen was passiert.

Sherlock

DANKE!
Wenn alles gelaufen ist, würdest du dann ein Tutorial für die DP draus machen?

[mjustin]

Zitat:

Zitat von QuickAndDirty (Beitrag 1415556)

Es gab wohl bis 2016 eine Ausnahme für Https oder eine eingeschränkte Ausnahme für HTTPS für Logins...Da durfte man sich selbst als US Export compliant erklären...

Gilt die Ausnahme nicht seit 2016?

Zitat:

You will notice (at least as of today, Dec 1st 2016) when you go to submit your app for review and reach the Export Compliance walkthrough, you'll notice the menu now states that HTTPS is an exempt version of encryption (if you use it for every call):

https://stackoverflow.com/questions/...19650#40919650

Falls nicht, ist die Stackoverflow Antwort veraltet, eine neue Antwort die den aktuellen Stand erläutert wäre hilfreich.