点击右上角
微信好友
朋友圈
请使用浏览器分享功能进行分享
【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
铁警吴岩松：平安春运的“守护者”******
中新网北京2月1日电 题：铁警吴岩松：平安春运的“守护者”
作者 邓有林
1月30日是今年春运第24天。清晨6点钟，夜色还未褪去，北京北站的候车大厅已经灯火通明，民警吴岩松装备整齐地走出警务执勤室。6点37分从北京北站开往怀柔北的S515次列车是当天第一趟车，他忙碌的一天就从守护旅客平安进站开始。
吴岩松今年45岁，2004年从部队转业加入公安队伍。多年来，早起是他雷打不动的习惯，打好热水，把执勤室打扫干净，精神饱满地投入工作。他当班期间，站区里第一抹“警色”总是他的身影。
“今天站区发送、到达旅客列车一共64趟，有近2万客流。”向车站客运部门工作人员了解情况后，作为春运“老兵”的吴岩松很快就在随身携带的工作日记上列出了一天的工作计划。
8点到9点是车站的第一波客流高峰，开完交班会后，吴岩松和同事匆匆赶到候车室内，趁着旅客们候车休息的空档，集中开展反诈防骗宣传，引导旅客扫码下载“全民反诈”APP，提醒旅客捂好“钱袋子”，谨防网络电信诈骗。吴岩松说，火车站是人群的集散地，反诈宣传受众广，传播速度快，民警多提示，旅客群众的财产安全就多一份保障。
铁警吴岩松(中) 北京铁路公安局供图“吴警官，今天又是你当班啊。”路过检票进站口时，客运员赵蕊和吴岩松热情地打招呼。吴岩松和车站工作人员都很熟络，经常出警帮助处理旅客矛盾纠纷。大家都说，只要他来了，心里就踏实了。
前不久，一名听力语言有障碍的旅客着急赶车，却错把北京北站当成北京站，硬要闯卡进站，正在附近执勤的吴岩松闻讯立即带着纸笔赶到进站口，通过书写交流，很快就稳定了旅客情绪，得知该旅客平日里很少出远门乘车，担心再搭错车，吴岩松又贴心地帮他打上出租车后才放心离开。
午饭时间，旅客熙熙攘攘依然很多，吴岩松是最后一个倒班回食堂吃饭的。到了食堂，他先倒了一大杯水，咕咚咕咚喝下几大口才开始吃饭。在站区巡逻执勤，累脚也费嗓子，一遍遍为旅客答疑解惑，一次次对旅客进行安全提示，最忙的时候一天下来嗓子都是哑的。
饭吃到一半，他接到同事打来的电话。1月18日，他帮助旅客张某找回了一台价值万元的笔记本电脑，张某为表感谢，寄来一面写有“人民警察为人民，失而复得暖人心”的锦旗。
旅客群众的认可总能给吴岩松带来更大的工作动力，他匆匆扒了几口饭，便又迅速回到工作岗位上。16点，从北京北开往大同南的G2537次列车即将发车，吴岩松又投入到列车值乘工作中。车上旅客座无虚席，大包小包的行李塞满了行李架，他边巡视边将行李摆放整齐，以免掉落砸伤旅客。短短2个小时的车程，他在车厢巡视了4圈。
20点53分，吴岩松值乘回到北京北站。半个小时后，送走最后一批乘车旅客，候车室就要关闭了。闭站前，他还要对候车区进行清理检查，防止旅客粗心大意遗落行李物品。
忙完这些，吴岩松才回到执勤室稍作休息。22点52分，从大同南开往北京北的G2542次列车到站，这是当天最后一趟返京列车。在出站口外，他肩灯闪烁，引导旅客有序出站。夜风乍起，他守护平安春运的信念依然火热。(完)
（文图：赵筱尘 巫邓炎） [责编：天天中] 阅读剩余全文（）  视觉焦点
大发平台地图 |
)