点击右上角
微信好友
朋友圈
请使用浏览器分享功能进行分享
【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
北京铁警刘鹏颐：春运路上的“守护人”******
中新网北京1月12日电 (邓有林)1月11日，春运第5天，北京南站乘车旅客明显增多。在北京南站东落客区的进口外，温度低至零下，天刚微亮，刘鹏颐和同事就走上岗位，他们穿着厚实的冬执勤服，认真地对进站旅客进行身份核查。
期间，一名老人行动不便需要坐轮椅进站，刘鹏颐见状马上小跑过去，帮助家属将老人从爱心通道护送进候车大厅。
刘鹏颐今年35岁，是北京铁路公安处北京南站派出所执勤警务一队队长。今年是他参加公安工作的第11个年头，他也将在岗位上度过第5个春节。
北京铁警刘鹏颐为旅客提供帮助 毕雨晨摄 摄刘鹏颐家住北京通州，回家仅需1个小时的车程，但投身守护平安春运的大潮，他成了万千旅客团圆路上的“逆行者”。春运是铁路民警一年中最忙的时候，但这种忙碌很有意义，每次接到旅客报警求助，看着旅客着急，他也着急，为旅客排忧解难后目送旅客踏上归途，他才放心。
候车大厅东侧有一间警务室，执勤民警办公休息都在这里。“刘队年轻，有责任心，工作时他都在站区一遍遍地巡逻巡视，总有使不完的劲”，执勤一队队员陈晨和刘鹏颐年龄相仿，平日里工作搭档默契，在他心里，刘鹏颐是朋友也是榜样。
中午时分，派出所食堂将盒饭送到了执勤室，刘鹏颐是最后一个回来吃饭的。他坐下的第一件事是从腰间取下电台放在桌前，方便有警情时能第一时间回应出警。执勤室里没有多余的杂物，办公桌内侧整齐地摆着一排正在充电的电台。饭吃到一半，电台里传来警情，一个小男孩在站区和家人走散了，刘鹏颐放下饭盒，拿起电台一边询问孩子的衣着特征，一边快速走出了执勤室。
“春运车站旅客多，小孩调皮，父母稍不留意就会走散了”，这样的求助警情时有发生，刘鹏颐处理起来游刃有余，他先联系了车站广播，发动旅客帮助寻找，然后又部署队员分头行动，重点留意卫生间和商铺，很快孩子就找到了。
火车站不同于其他公共场所，旅客丢了行李，有家人走散了，如果不能尽快帮助他们找回来，就会耽误行程。为此，刘鹏颐工作中一直坚持两个信条，接警要快，处警要准。快源自于责任心，准靠的是长此以往的工作经验。
北京铁警刘鹏颐(右) 毕雨晨摄 摄有一次，刘鹏颐接到旅客王某报警，称其候车期间丢失了一个笔记本电脑，具体丢失位置想不起来了，由于列车马上就要检票了，王某十分着急。安抚王某情绪得知他的行动路线后，刘鹏颐和队员分头前往安检处和候车区寻找，最终在候车座椅上找到了王某遗落的笔记本电脑。
作为派出所执勤警务一队队长，刘鹏颐深知表率作用的重要性，工作总是干在前、冲在先。
2022年，在他的带领下，全队共抓获网逃15人，位居全所第一。“百日行动”期间，他和同事陈晨在北京南站东进站口巡视时，查获了一名被公安机关网上通缉的在逃人员张某。通过审查，张某交代，他准备乘坐高铁前往安徽，还约好了程某和刘某一同前往。随后，按照张某的指认，刘鹏颐在站区找到了程某和刘某。经查，三人均因涉嫌严重扰乱公共场所秩序被安徽警方上网通缉。
“百日行动”后，刘鹏颐被授予个人三等功的荣誉。从警以来，他已荣获个人三等功2次，个人嘉奖4次，优秀共产党员3次。
今年除夕，刘鹏颐还将在岗位上度过。虽然不能回家陪伴家人，但和同事们并肩作战，守护团圆的万家灯火，也别有一番年味。(完)
（文图：赵筱尘 巫邓炎） [责编：天天中] 阅读剩余全文（）  视觉焦点
快盈v地图 |
)