外接设备型虚拟定位软件面对的客户群体是苹果手机机主，买家购买后需要在苹果手机上安装一款虚拟定位软件，然后外接一个类似充电宝的外接设备。买家为实现虚拟定位，通过该软件搜索出一个虚拟的地理位置，然后点击锁定就可以改变整个手机所有软件的地理位置信息，例如钉钉打卡、微信发朋友圈就会显示虚拟的地理位置。作者经过研究，认为外接设备型虚拟定位软件在运行原理上没有侵入、控制计算机信息系统，当事人贩卖该设备和软件不构成提供提供侵入、控制计算机信息系统程序、工具罪，具体理由如下：
首先，买家在苹果手机上安装虚拟定位软件，打开软件后显示地图页面，通过该地图页面搜索一个想要定位的虚拟地理位置，这一步骤中有调用苹果手机地图SDK的操作行为。
全国信息安全标准化技术委员会秘书处于2020年11月27日在全国网络安全标准化技术委员官网发布了一篇《网络安全标准实践指南-移动互联网应用程序(App)使用软件开发工具包(SDK)安全指引》的文章，其中第2.3目录中规定了“软件开发工具包”的术语定义：协助软件开发的相关二进制文件、文档、范例和工具的集合，简称SDK。本指南中的SDK，是指对实现App特定功能的代码进行封装，向外提供简捷的调用接口的二进制文件。从该术语定义中可以看出，SDK是通过向外提供接口从而协助App实现特定功能的二进制文件。
该《指南》第3.1目录中对App使用SDK的相关方和责任进行了规定：App使用SDK通常涉及App用户（手机机主）、App提供者1（APP开发者）和SDK提供者2（手机系统制造商）三方角色，如图1所示。SDK提供者将实现特定功能的代码进行封装，并提供简单的调用接口。App提供者将SDK嵌入App代码中，调用SDK提供的接口实现相应的功能。SDK这种方式使得App提供者不必关心所需功能的具体代码实现便能使用相关功能，提高了App开发和运营的效率。
简言之，地图SDK是每个手机系统自带的软件开发工具包，方便软件开发者开发的软件能够调用地图，而不用每次开发一个软件就设计一个地图。虚拟定位软件会在苹果手机上通过地图SDK搜索一个虚拟地理位置数据，在此过程中，苹果手机系统（SDK提供者）自带的地图SDK提供的调用接口是开放的，无需验证、解锁即可被虚拟定位软件调用。
第二步，外接设备通过数据线和苹果手机连接，该设备是通过苹果公司MFI认证的。
MFi认证是苹果公司为其iPhone、iPod、iPad等设备制定的一套严格的配件认证标准，全称为“Made for iOS”，目的是确保配件的兼容性、安全性等性能，从而保护消费者的使用体验并维护苹果品牌的信誉，认证的产品包括充电数据线、充电宝、车载充电器、耳机、打印机、音箱、GPS等外接设备。对于配件厂商而言，MFi 认证就是一场考试，考试通过后得到了苹果公司的“文凭证书”才能生产与苹果公司相匹配的产品。但是，没有经过MFI认证的外接设备并不代表无法与苹果手机相连接，只是使用时会有不稳定性，仍然可以充电和传输数据。
印有MFi认证标签的第三方厂商 Lightning 数据线
外接设备能和苹果手机相连接，并且进行稳定性地传输数据，说明该外接设备是经过MFI认证的，即使没有经过认证，该设备仍然具有传输数据的功能，只是不稳定而已，外接设备和苹果手机通过数据线连接，没有避开、突破苹果手机的安全保护措施，没有未经授权、超越授权获取计算机系统数据和控制计算机系统。
第三步，虚拟定位软件通过EA通道协议将虚拟定位数据传输给外接设备。
IAP2协议是苹果公司为外设设备与iOS设备之间的通信制定的一种协议，它允许外设设备与iOS设备进行数据交互，使外设能够与iOS设备上的应用程序进行通信，实现各种功能，如数据传输、控制指令交互等。
EA通道协议是External Accessory的缩写，即外部设备协议，它是基于IAP2协议的一种通信方式，主要用于iOS设备与经过MFi认证的外部设备之间的连接和通信。通过EA通道，iOS设备可以识别和连接外部设备，并与之进行数据交互。总之，EA通道协议是在IAP2协议的基础之上，专门用于经过MFI认证过的外接设备与苹果手机进行通信的协议。
虚拟定位软件将虚拟地理数据通过EA通道协议发送给经过MFI认证的外接设备，便可以通过专门的EA通道协议传输该地理数据，在此过程中并没有避开或者突破任何计算机安全保护措施，没有未经授权、超越授权获取计算机系统数据和控制计算机系统。
最后，外接设备把从虚拟定位软件传输过来的数据根据Location Information 协议进行编码，然后发送给苹果手机系统。
手机的地理位置信息是通过GPS定位、基站定位等方式接收信号形成的，而外接设备就像手机外置的接收地理位置信息数据的模拟器，外接设备将从虚拟定位软件发出的虚拟地理位置数据通过Location Information协议（Location Information 协议是苹果手机用于存储用户地理位置数据的格式和标准）转换为苹果手机可以识别的格式，然后传输给苹果手机系统。
苹果手机接收到了虚拟的地理位置数据后，将整个系统的地理位置信息更改为虚拟的地理位置数据，这样用户钉钉打卡、微信发朋友圈的时候，这些软件会使用API接口调取苹果手机系统的虚拟地图SDK数据，从而显示虚拟的地理位置，在该过程中并没有避开、突破计算机安全防护措施，没有未经授权、超越授权获取计算机系统数据和控制计算机系统。
从以上四个步骤来看，第一步的苹果手机地图SDK是开放的，抓取虚拟位置时没有侵入、控制计算机系统，第二步和第三步，外接设备能连接和接收、发送数据是要经过苹果公司MFI认证的，也没有侵入、控制计算机信息系统。第四步，苹果手机系统更新虚拟位置是根据本地的Location Information 协议更新的，这个更新过程是手机自带的调试功能，是开放的，很多技术员调试设备功能的时候也要用到，这里也没有侵入、控制计算机信息系统。买家使用虚拟定位软件钉钉打卡、发微信朋友圈等行为不是侵入、控制计算机信息系统的行为，而是欺骗公司管理人员、朋友等人类的行为。
例如员工上班打卡，员工在入职的时候录入了自己的人像和指纹数据，打卡机器的功能是验证员工打卡时的人像、指纹数据是否和备案的数据一致，这里的一致只要是该员工的人像和指纹数据就可以，不管是真人的人像和指纹数据，还是假人的人像和指纹数据。如果打卡的数据是一致的，那就打卡成功，如果不一致，代表员工提供的是他人的人像、指纹数据，那就无法打卡成功，打卡机器的功能是验证输入的人像和指纹数据是否和备案的数据一致，它是无法验证是真人还是假人的照片、指纹进行打卡的。
为了帮同事打卡，A经过B同事的授权，拿着B同事的照片或者假指纹去打卡机器上刷脸、指纹，而打卡机器是开放的，打卡行为是不需要事先通过安全保护验证机制的，B同事的照片和假指纹是假人的数据信息，A代打卡行为是向打卡机器输入了假人的打卡数据，A和B欺骗的是公司，打卡机器并没有被欺骗，因为打卡机器只有验证备案数据是否一致的功能和作用，它没有验证真人+备案数据的功能，提供真人+备案数据的责任在于员工，公司管理人员负有验证员工真人+备案数据的管理职责。
钉钉软件打卡也是同样的道理，钉钉软件它只需要验证员工提供的地理位置数据和公司的地理位置数据是否一致，它是无法验证员工是否实际在公司，员工利用了公司管理漏洞，通过更改苹果手机系统的地理位置数据，向自己的钉钉软件发送不是自己实际的地理位置数据，让钉钉成功验证为在公司的地理位置数据，从而完成打卡行为。本质上，钉钉打卡软件是公司管理员工上下班的一种工具，它不代表公司，它无法验证员工提供的是真人+备案数据，钉钉软件没有被欺骗，欺骗的是公司管理人员而已，这是员工违反公司管理制度的欺骗行为，而不是侵入、控制计算机信息系统的行为。
综上，根据《办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第二条规定，一款具备侵入系统的程序、工具必须满足4个条件，一是有避开或者突破行为，二是避开突破的是计算机安全保护措施，三是有未经授权、超越授权行为，四是获取计算机数据或者控制计算机。外接设备和虚拟定位软件形成虚拟地理位置数据，以及传输虚拟地理位置数据的过程中均没有避开、突破计算机安全保护措施，也没有获取数据和控制计算机，它只是向苹果手机中的软件提供了虚假的地理位置数据，利用公司管理人员、朋友等人类无法真人验证的漏洞，欺骗了公司管理人员、朋友等人类，没有欺骗软件，更没有避开、突破钉钉等软件的安全保护措施，也没有未经授权、超越授权获取钉钉等软件的数据，更不可能控制钉钉等软件系统。所以，外接设备型的虚拟定位软件并没有侵入、控制计算机信息系统的功能，当事人贩卖该设备和软件不构成提供侵入、控制计算机信息系统程序、工具罪。
