点击右上角
微信好友
朋友圈
请使用浏览器分享功能进行分享
【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
（新春走基层）“洋教头”的第一个“中国年”：教泰拳，享美食******
中新网漳州1月10日电 (张金川 廖珍妹)“过来嘛，手、肘、腿、膝……”在福建省漳州市龙溪搏击俱乐部内，来自泰国清迈的泰拳教练库鲁，正和学员们实战对打，教学现场格外火爆。
“再来2个、3个……”在库鲁的口令声中，学员手脚并用，连续击打鞋靶，格斗搏击的声音响彻全馆。
现年42岁的库鲁，7岁开始练拳，2015年获泰拳大师C级证书，2016年后相继获泰拳教练执照B证、A证证书，从事泰拳教学已14年。
泰拳教练库鲁(右)和学员实战对打，现场十分火爆。 张金川 摄“拳术，在泰国是一项大众普及、影响力很广的运动。”库鲁告诉中新社记者，在泰国，他曾有自己的拳馆；拳馆关闭后，他去过巴西、澳大利亚、新加坡等地教授泰拳。
库鲁此次来到漳州已有两个月，现为龙溪搏击俱乐部的唯一一位“洋教头”。刚开始时，他只会讲英语，与教练、学员交流要通过龙溪搏击俱乐部负责人阮沈滨来翻译；现在，他也能讲些简单的中文了。
“学员们通过他的动作示范，都能领会他的教学要领。”阮沈滨调侃道，别看库鲁教学时有点“鬼哭狼嚎”，但氛围非常好，学员的力量能被他激发。
泰拳教练库鲁(右)和学员实战对打，现场十分火爆。 张金川 摄据阮沈滨介绍，新冠疫情发生前，当地练习泰拳的人不少，高峰时俱乐部有700多名学员，先后有6个泰国教练及俄罗斯、乌克兰教练来执教；受新冠疫情影响，那些“洋教头”相继离开了。
“疫情前，我基本每一年都来中国教拳。”库鲁自称“很爱往中国跑”，但此次来漳州执教，是他第一次来福建，也是疫情发生后首次来中国。他希望今年开始泰拳培训和交流能够更频繁。
六年前首次踏上中国后，库鲁曾在陕西西安、甘肃兰州、吉林、贵州等多地执教。“到中国后，我很惊讶，中国人很多人喜欢泰拳。”
泰拳教练库鲁(右)和学员实战对打，现场十分火爆。 张金川 摄泰拳主要运用人体的双拳、双腿、双肘、双膝这四肢八体来进行攻击，具有较强的杀伤力，被称为“八臂拳术”“八条腿的运动”。在库鲁看来，泰拳动作简单、上手快，普通人练习泰拳，既能习得一技之长，用作个人防身，又能减肥和强身健体。
在龙溪搏击俱乐部的同事眼中，库鲁是个“吃货”，也是中国电影的“铁粉”。
“最喜欢吃烧烤配点小酒，还要加很多辣才够爽。”喜欢重口味的库鲁觉得漳州饮食偏甜，“中国啤酒太淡了，喝起来像水；白酒又太辣了，喝不下去。”
除了酷爱吃烧烤，库鲁在中国最开心的是可以看很多中国电影。聊起电影，库鲁两眼放光，兴致颇高，“我也是通过中国电影了解中国文化，爱上中国文化的。”
库鲁(右)带领学员学泰拳。 张金川 摄库鲁七八岁就开始爱看中国电影。他说，最喜欢的电影有刘德华、吴倩莲主演的《天若有情》，成龙主演的《醉拳》等；最喜欢的电影明星有王祖贤、黎明、周星驰等。
春节临近，漳州市区张灯结彩，街上挂起了红灯笼、中国结、福字，让库鲁感受到浓浓的中国年味。他说，中国人很喜欢红色，红色在泰国代表了“lucky”(幸运)，他也很喜欢红色。
“泰国新年是‘宋干节’(也称‘泼水节’)，有3天假期，而中国农历新年假期长达7天，同事们打算带我去串门、唱歌，还有吃我最爱吃的烧烤。”留在漳州过年的库鲁，对他的第一个“中国年”充满期待，“我要吃遍中国美食、看遍中国电影。”(完)
（文图：赵筱尘 巫邓炎） [责编：天天中] 阅读剩余全文（）  视觉焦点
彩神app地图 |
)