برآمد تعمیل: یہ کیا ہے، برآمد کنٹرول کے قواعد اور خفیہ کاری
برآمد تعمیل برآمد کنٹرول کے تقاضوں کا ایک مجموعہ ہے جو ایپ اسٹورز خفیہ کاری استعمال کرنے والی مصنوعات پر عائد کرتے ہیں۔ ڈویلپر کو خفیہ نگاری کے زمرے کی وضاحت کرنی ہوتی ہے اور امریکی بیورو آف انڈسٹری اینڈ سیکیورٹی (BIS) کے معیارات کے مطابق اعلامیہ جمع کرنا ہوتا ہے۔ Apple Export Compliance Documentation, 2026 کے مطابق، غلط بھرنا بلڈ مسترد ہونے کا باعث بنتا ہے۔ یہ طریقہ کار App Store اور Google Play دونوں کو متاثر کرتا ہے، اور CCAT زمروں اور بڑے بازار کی سمجھ کی ضرورت ہوتی ہے۔
اہم نکات
- برآمد تعمیل App Store اور Google Play پر شائع کرنے سے پہلے ایپس میں خفیہ کاری کے اعلان کا لازمی طریقہ کار ہے۔
- CCAT (خفیہ نگاری درجہ بندی) وہ زمرہ ہے جو برآمد پابندیوں کی سطح کا تعین کرتا ہے: CCAT-1، CCAT-2 یا بڑا بازار۔
- ERN اعلامیہ سالانہ رپورٹ میں ایک نمبر ہے جو BIS برآمد کنٹرول کے معیارات کی تعمیل کی تصدیق کرتا ہے۔
- App Store کو ERN جمع کرانے کے آپشن کے ساتھ App Store Connect کے ذریعے بلڈ اپ لوڈ کرتے وقت زمرہ انتخاب کی ضرورت ہوتی ہے۔
- Google Play نیا APK یا AAB شائع کرتے وقت ڈویلپر کنسول میں ایک فارم کے ذریعے برآمد کی حیثیت چیک کرتا ہے۔
برآمد تعمیل کیا ہے؟
برآمد تعمیل ریگولیٹری تقاضوں کا ایک مجموعہ ہے جو خفیہ نگاری کے افعال والے سافٹ ویئر کی ریاست ہائے متحدہ سے باہر برآمد کو منظم کرتا ہے۔ قواعد امریکی محکمہ تجارت کے بیورو آف انڈسٹری اینڈ سیکیورٹی (BIS) نے ضابطہ 15 CFR حصہ 730–774 کے تحت قائم کیے ہیں۔ Apple اور Google، امریکی کمپنیوں کے طور پر، اس بات کی تصدیق کرنے کے پابند ہیں کہ ایپس ان قواعد کی تعمیل کرتی ہیں۔ ڈویلپر ایک اعلامیہ بھرتا ہے جس میں خفیہ کاری کے زمرے اور استعمال کردہ الگورتھم کی قسم کی وضاحت ہوتی ہے۔
برآمد کنٹرول کی قانونی بنیاد
ریگولیٹری بنیاد EAR (برآمد انتظامیہ کے ضوابط) ہے، جو تمام خفیہ نگاری سافٹ ویئر کو زمروں کے مطابق درجہ بند کرتا ہے۔ زمرہ 5 حصہ 2 خفیہ کاری والی مصنوعات کا احاطہ کرتا ہے۔ موبائل ایپس پر آسان قواعد لاگو ہوتے ہیں — بڑا بازار اور خود درجہ بندی کی اطلاع کا طریقہ کار۔ اگر ایپ کسی استثنا کے تحت آتی ہے تو ڈویلپر کو انفرادی لائسنس لینے کی ضرورت نہیں ہے۔
برآمد تعمیل سے کس کو گزرنا ہوگا
کوئی بھی ایپ جو خفیہ کاری استعمال کرتی ہے، جانچ پاس کرنے کی پابند ہے۔ استثنا وہ مصنوعات ہیں جو صرف OS میں شامل خفیہ کاری (iOS پر URLSession، Android پر SSLSocket) استعمال کرتی ہیں بغیر اپنی خفیہ نگاری الگورتھم شامل کیے۔ اگر ڈویلپر اپنی مرضی کی خفیہ کاری، OpenSSL لائبریری یا کوئی AES/RSA نفاذ شامل کرتا ہے، تو اعلامیہ لازمی ہے۔ Google Play Console کے مطابق، تقریباً 30% مسترد شدہ ایپس غلط برآمد تعمیل کی وجہ سے مسترد ہوتی ہیں۔
موبائل ایپس کے لیے برآمد کنٹرول کیوں اہم ہے
برآمد کنٹرول خفیہ نگاری ٹیکنالوجی کے پھیلاؤ کو محدود کرکے قومی سلامتی کی حفاظت کرتا ہے۔ امریکہ کو غیر قانونی مقاصد کے لیے استعمال کو روکنے کے لیے خفیہ کاری مصنوعات کی رپورٹنگ درکار ہے۔ ڈویلپر کے لیے، عدم تعمیل ایپ بلاک، 1 ملین ڈالر تک جرمانہ اور اشاعت پر پابندی کا باعث بنتی ہے۔ Apple اور Google کنٹرول ایجنٹ کے طور پر کام کرتے ہیں — وہ صحیح اعلامیہ کے بغیر بلڈ کو گزرنے نہیں دیں گے۔
خلاف ورزی کے نتائج
برآمد تعمیل کی خلاف ورزی ایپ کو اسٹور سے ہٹانے اور ڈویلپر کو بلیک لسٹ کرنے کا باعث بن سکتی ہے۔ BIS بڑے جرمانے سمیت انتظامی پابندیاں عائد کر سکتا ہے۔ 2024 میں، BIS نے تین کمپنیوں کو غیر مصدقہ خفیہ کاری والا سافٹ ویئر شائع کرنے پر 2 ملین ڈالر سے زیادہ کا جرمانہ کیا۔ انفرادی ڈویلپرز کے لیے، اہم خطرہ بلڈ مسترد ہونا اور دوبارہ اشاعت میں وقت ضائع ہونا ہے۔
ایپ اسٹورز کا کردار
Apple اور Google ڈویلپر اور ریگولیٹر کے درمیان ثالث کے طور پر کام کرتے ہیں۔ App Store Connect اور Google Play Console میں اپ لوڈ کے عمل کے دوران لازمی برآمد تعمیل فارم شامل ہیں۔ اس مرحلے کو مکمل کیے بغیر، جائزہ کے لیے جمع کرانے کا بٹن بلاک ہو جاتا ہے۔ اسٹورز ڈیٹا کی درستگی کی تصدیق نہیں کرتے — صرف اس کی موجودگی کی۔ درستگی کی ذمہ داری ڈویلپر پر ہے۔
اپنی ایپ میں خفیہ کاری کو کیسے درجہ بند کریں
خفیہ کاری کی درجہ بندی اس سوال کا جواب دینے سے شروع ہوتی ہے: کیا ایپ اپنی خود کی خفیہ نگاری استعمال کرتی ہے؟ اگر ایپ صرف معیاری OS API (iOS پر CommonCrypto، Android پر javax.crypto) پر انحصار کرتی ہے، تو یہ استثنا کے تحت آتی ہے اور اعلامیہ کی ضرورت نہیں ہے۔ اگر کوئی بیرونی لائبریری شامل کی گئی ہے یا اپنی مرضی کا الگورتھم نافذ کیا گیا ہے، تو CCAT زمرہ طے کرنا ہوگا۔
CCAT زمرے
CCAT-1 — خفیہ نگاری کے ساتھ بڑے بازار کا سامان جو EAR کے استثنا 740.17 کو پورا کرتا ہے۔ اس میں AES-128/256، RSA-2048 خفیہ کاری والی ایپس شامل ہیں جو معیاری TLS/HTTPS پروٹوکول استعمال کرتی ہیں۔ CCAT-2 — غیر معیاری خفیہ نگاری والی مصنوعات جن کے لیے انفرادی لائسنس درکار ہے۔ زیادہ تر موبائل ایپس CCAT-1 کے تحت آتی ہیں۔ بڑے بازار کا زمرہ اعلامیہ کی سب سے آسان شکل ہے۔
بڑے بازار کی خفیہ نگاری
ایک ایپ کو بڑے بازار کی مصنوعات سمجھا جاتا ہے اگر اس کے خفیہ نگاری کے افعال وسیع سامعین کے لیے دستیاب ہوں، استعمال کے لیے خصوصی علم کی ضرورت نہ ہو، اور کھلے معیارات کے مطابق ہوں۔ BIS Supplementary Information (2025) کے مطابق، بڑے بازار میں AES، RSA، ECC اور TLS 1.2/1.3 کے نفاذ والی ایپس شامل ہیں۔ اگر ایپ 56 بٹ سے کم کلید کی لمبائی والے غیر معیاری الگورتھم استعمال کرتی ہے، تو اسے اس زمرے سے خارج کر دیا جاتا ہے۔
App Store میں اعلامیہ کا طریقہ کار
App Store میں برآمد تعمیل کا طریقہ کار App Store Connect میں نیا بلڈ اپ لوڈ کرتے وقت شروع ہوتا ہے۔ سوالات کا ایک سلسلہ پوچھتا ہے: کیا ایپ خفیہ کاری استعمال کرتی ہے، کیا یہ بڑا بازار ہے، کیا ERN رجسٹرڈ ہے؟ ڈویلپر جواب دیتا ہے اور جوابات کی بنیاد پر برآمد کی حیثیت پیدا ہوتی ہے۔ اگر غلطی ہو جائے تو حیثیت تبدیل کی جا سکتی ہے — Apple تصحیح پر جرمانہ نہیں کرتا، لیکن بلڈ دوبارہ اپ لوڈ کرنا لازمی ہے۔
ERN رجسٹریشن
ERN (خفیہ کاری رجسٹریشن نمبر) BIS میں سالانہ رجسٹریشن نمبر ہے جو تصدیق کرتا ہے کہ مصنوعات کو مطلع اور درجہ بند کیا گیا ہے۔ ERN رجسٹریشن مفت ہے اور ایک سال کے لیے درست ہے۔ جمع کرانے کا فارم BIS ویب سائٹ پر SNAP-R ہے۔ ERN حاصل کرنے کے بعد، ڈویلپر App Store Connect میں نمبر درج کرتا ہے اور سال کے دوران بعد کے اپ لوڈز پر بار بار سوالات سے مستثنیٰ ہو جاتا ہے۔ Apple کے اعدادوشمار کے مطابق، 60% ڈویلپر طریقہ کار کو آسان بنانے کے لیے ERN استعمال کرتے ہیں۔
خود درجہ بندی
اگر ERN دستیاب نہیں ہے، تو ڈویلپر App Store Connect انٹرفیس کے ذریعے خود درجہ بندی کرتا ہے۔ Apple ایک الگورتھم استعمال کرتا ہے جو جوابات پر مبنی ہوتا ہے تاکہ زمرہ تفویض کیا جا سکے۔ اگر انتخاب غلط ہے، تو نظام ERN حاصل کرنے کی سفارش کرتا ہے۔ خود درجہ بندی معیاری خفیہ کاری والی سادہ ایپس کے لیے موزوں ہے۔ غیر معیاری خفیہ نگاری والی مصنوعات کے لیے، Apple غلطیوں سے بچنے کے لیے ERN رجسٹریشن کی سفارش کرتا ہے۔
Google Play میں برآمد تعمیل
Google Play ڈویلپر کنسول میں ایک فارم کے ذریعے برآمد تعمیل کی جانچ نافذ کرتا ہے۔ نئی ریلیز بناتے وقت، نظام خفیہ نگاری کے بارے میں معلومات طلب کرتا ہے۔ Google وہی EAR زمرے استعمال کرتا ہے جو Apple کرتا ہے، لیکن اس عمل کو برآمد تعمیل جائزہ کہا جاتا ہے۔ جوابات ریکارڈ کیے جاتے ہیں اور مستقبل کے تمام بلڈز پر لاگو ہوتے ہیں۔ Google زیادہ تر ایپس کے لیے ERN کی ضرورت نہیں رکھتا — بڑے بازار سے تعلق رکھنے کا بیان کافی ہے۔
ڈویلپر کنسول میں عمل
Google Play Console میں، برآمد تعمیل سیکشن ایپ مواد کی ترتیبات میں واقع ہے۔ ڈویلپر تین سوالوں کے جوابات دیتا ہے: کیا ایپ میں خفیہ نگاری ہے، کیا یہ بڑے بازار کے لیے ہے، اور کیا یہ استثنا 740.17 کو پورا کرتی ہے؟ Google شکایت درج ہونے تک جوابات کی درستگی کی تصدیق نہیں کرتا۔ تاہم، BIS دستاویزات طلب کر سکتا ہے، اور ڈویلپر کو درجہ بندی کا جواز فراہم کرنا ہوگا۔
Apple اور Google کے درمیان فرق
بنیادی فرق — Apple پیچیدہ معاملات میں ERN چاہتا ہے، Google خود اعلامیہ پر انحصار کرتا ہے۔ App Store ہر نئے بلڈ کے لیے برآمد تعمیل طلب کرتا ہے، Google Play فی ایپ ایک بار۔ Apple جوابات کو زیادہ سختی سے چیک کرتا ہے اور بلڈ مسترد کر سکتا ہے، Google صرف ڈیٹا ریکارڈ کرتا ہے۔ دونوں اسٹورز ایک ہی EAR ریگولیٹری فریم ورک کی پیروی کرتے ہیں، لیکن عمل درآمد کا طریقہ کار مختلف ہے۔ ڈویلپر کو دونوں پلیٹ فارمز پر شائع کرنے کے لیے صرف ایک بار درجہ بندی سمجھنے کی ضرورت ہے۔
اعلامیہ بھرتے وقت عام غلطیاں
برآمد تعمیل میں غلطیاں تین زمروں میں آتی ہیں: غلط خفیہ کاری درجہ بندی، لازمی فیلڈز کو چھوڑنا، اور غلط ERN۔ سب سے عام — ڈویلپر بتاتا ہے کہ خفیہ کاری استعمال نہیں ہوئی، حالانکہ ایپ CommonCrypto یا javax.crypto کے طریقوں کو کال کرتی ہے۔ دوسری سب سے عام — غلط CCAT زمرہ انتخاب، جب TLS 1.3 والی ایپ کو غیر معیاری خفیہ نگاری کے طور پر نشان زد کیا جاتا ہے۔ تیسری — ایک غلط ERN درج کرنا جو BIS ڈیٹا بیس کی تصدیق میں ناکام ہو جاتا ہے۔
بلڈ مسترد ہونے سے کیسے بچیں
سفارش کی جاتی ہے کہ فارم بھرنے سے پہلے ایپ کے تمام خفیہ نگاری افعال کی فہرست بنائیں۔ چیک کریں کہ کون سی لائبریریاں درآمد کی گئی ہیں اور کون سی خفیہ کاری APIs کال کی گئی ہیں۔ iOS کے لیے — CommonCrypto، Security.framework، OpenSSL کی موجودگی چیک کریں۔ Android کے لیے — javax.crypto، android.security، Conscrypt چیک کریں۔ اگر ایپ صرف معیاری نیٹ ورک درخواستوں کے ذریعے HTTPS استعمال کرتی ہے، تو یہ اعلامیہ سے مستثنیٰ ہے۔ معمولی شک پر بھی، اعلامیہ والا آپشن منتخب کریں۔
برآمد حیثیت کا آڈٹ
باقاعدہ برآمد تعمیل آڈٹ ایپ کو اپ ڈیٹ کرتے وقت پابندیوں سے بچنے میں مدد کرتا ہے۔ اگر نئے ورژن میں خفیہ کاری شامل کی گئی ہے، تو اعلامیہ دوبارہ بھرنا ہوگا۔ اگر ایپ کا زمرہ تبدیل ہوتا ہے تو Apple اور Google ڈویلپر کو مطلع کرتے ہیں۔ سال میں ایک بار ERN کی معیاد چیک کرنے اور ضرورت پڑنے پر تجدید کرنے کی سفارش کی جاتی ہے۔ درجنوں ایپس والے بڑے منصوبوں کے لیے، CI/CD کے ذریعے آڈٹ کو خودکار کرنا انسانی غلطی کا خطرہ کم کرتا ہے۔
اکثر پوچھے گئے سوالات
کیا مجھے برآمد تعمیل سے گزرنا ہوگا اگر ایپ صرف HTTPS استعمال کرتی ہے؟
نہیں، اگر HTTPS اپنی مرضی کے سرٹیفکیٹ یا اپنی مرضی کے خفیہ نگاری الگورتھم شامل کیے بغیر OS میں شامل API (iOS پر URLSession، Android پر HttpURLConnection) کے ذریعے لاگو کیا گیا ہے، تو اعلامیہ کی ضرورت نہیں ہے۔ استثنا OpenSSL یا دیگر تیسری پارٹی TLS لائبریریوں کا استعمال ہے۔
ERN کیا ہے اور میں اسے کیسے حاصل کروں؟
ERN (خفیہ کاری رجسٹریشن نمبر) BIS میں سالانہ رجسٹریشن شناخت کنندہ ہے۔ اسے bis.gov ویب سائٹ پر SNAP-R سسٹم کے ذریعے درجہ بندی کی اطلاع کا فارم بھر کر مفت حاصل کیا جا سکتا ہے۔ نمبر 1 سال کے لیے درست ہے اور ایپ کے تمام ورژنز کا احاطہ کرتا ہے۔
کیا Apple غلط برآمد تعمیل کی وجہ سے بلڈ مسترد کر سکتا ہے؟
ہاں، Apple بلڈ مسترد کر سکتا ہے اگر برآمد تعمیل کے جوابات متضاد ہوں یا ایپ کی فعالیت سے مطابقت نہ رکھتے ہوں۔ اس صورت میں، ڈویلپر کو App Store Review سے وجہ بتانے والا پیغام ملتا ہے اور وہ درست ڈیٹا کے ساتھ بلڈ دوبارہ اپ لوڈ کر سکتا ہے۔
کیا Apple اور Google کے لیے برآمد تعمیل کے تقاضے مختلف ہیں؟
EAR ریگولیٹری فریم ورک ایک جیسا ہے، لیکن عمل مختلف ہے: Apple ہر بلڈ چیک کرتا ہے، Google فی ایپ ایک بار۔ Apple غیر معیاری خفیہ نگاری کے لیے ERN چاہتا ہے، Google خود اعلامیہ قبول کرتا ہے۔ دونوں اسٹورز CCAT زمروں اور BIS قواعد کی پیروی کرتے ہیں۔
اگر میں برآمد تعمیل نہ بھروں تو کیا ہوگا؟
App Store اور Google Play مکمل برآمد تعمیل فارم کے بغیر بلڈ اپ لوڈ مسدود کر دیتے ہیں۔ ایپ جائزہ پاس نہیں کرے گی اور اشاعت ناممکن ہو جائے گی۔ پہلے سے شائع شدہ ایپس کے لیے، برآمد کی حیثیت تبدیل کرنے کے لیے نیا بلڈ اور دوبارہ جائزہ درکار ہے۔
خلاصہ
- برآمد تعمیل EAR ضوابط پر مبنی App Store اور Google Play پر اشاعت کے لیے لازمی خفیہ کاری اعلامیہ کا طریقہ کار ہے۔
- CCAT درجہ بندی ایپس کو بڑے بازار کے زمروں اور انفرادی لائسنس درکار کرنے والے زمروں میں تقسیم کرتی ہے۔ زیادہ تر موبائل مصنوعات پہلے میں آتی ہیں۔
- ERN BIS میں سالانہ رجسٹریشن نمبر ہے جو 12 ماہ کے لیے App Store میں برآمد تعمیل کو آسان بناتا ہے۔
- Apple ہر بلڈ چیک کرتا ہے، Google Play حیثیت ایک بار ریکارڈ کرتا ہے۔ ڈیٹا کی درستگی کی ذمہ داری ڈویلپر پر ہے۔
- اپنی خفیہ نگاری کے بغیر ایپس اعلامیہ سے مستثنیٰ ہیں۔ معیاری OS API کا استعمال فارم بھرنے کی ضرورت نہیں رکھتا۔
- عام غلطیاں — غلط خفیہ کاری کا زمرہ اور غلط ERN — درست ڈیٹا کے ساتھ بلڈ دوبارہ اپ لوڈ کرکے حل کی جاتی ہیں۔
- سفارش کی جاتی ہے کہ ہر بڑی اپ ڈیٹ کے ساتھ برآمد تعمیل آڈٹ کریں اور بلاتعطل اشاعت کے لیے ERN کی سالانہ تجدید کریں۔
ہم ایک موبائل ایپلیکیشن ٹرنکی تیار کریں گے
IT Sectr 2017 سے اسٹارٹ اپس اور کاروبار کے لیے iOS اور Android ایپلیکیشنز بناتا ہے۔ ہم آپ کو مشورہ دیں گے اور بہترین حل تجویز کریں گے۔
مزید پڑھیں