【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

推动“冷资源”变为“热产业”******

　　作者：常理

　　刚刚过去的2022年，对中国冰雪运动来说无疑是具有划时代意义的一年。2022年初的北京冬奥会和冬残奥会聚焦了全世界冰雪爱好者的目光，冰雪运动在我国打破了时间、空间的限制，实现了3亿人参与的目标，中国冰雪运动进入了新时代。

　　和2023年一起到来的是北京冬奥会过后的第一个雪季。随着疫情防控政策的优化，全国各地冰雪运动持续升温、活力四射：已经是第九届举办的全国大众冰雪季活动，预计将带动全国超1.5亿人次参与；在哈尔滨，松花江面积雪盈尺，冰上撑橇、冰上龙舟、雪地风筝等构成冬日北国别样风景；在上海，10多块季节性移动冰场如雪花般散布；在重庆，仙女山国家森林公园银装素裹，游客们尽享冬季运动的激情与欢乐……

　　行稳方能致远。过去几年，冰雪运动的种子在全国各地生根发芽、开枝散叶，冰雪产业成为不少地方经济发展的新引擎。前不久，中共中央、国务院印发的《扩大内需战略规划纲要（2022—2035年）》明确提出，推进冰雪运动“南展西扩东进”，带动群众“喜冰乐雪”，这彰显了我国持续发展冰雪运动的决心。冰雪运动种类丰富、形式多样，可满足不同年龄、不同门槛的消费人群需求。发挥好冬奥会余热，推动冰雪运动持续健康发展，将有利于我国进一步扩大内需、刺激消费、推动产业转型升级，为地方经济发展增添活力。

　　打好“融合牌”，让产业旺起来。冰雪产业链条长，上游涉及各种冰雪装备、器材，冬奥会上亮相的国产雪车、雪蜡车、冰刀、速滑服等，都是中国制造向冰雪产业拓展的成功案例；下游涉及文化、旅游、培训等行业，集聚了大量资源，“冰雪+”正成为人们冬季休闲健身的新选择。进一步推动冰雪产业与关联产业需求对接、资源整合、协同发展，提供更加多元的产品和服务，打造具有中国特色的冰雪活动和赛事IP，让冰雪运动的激情保持下去，成为全民健身新方式、健康中国新动力、社会活动新时尚。

　　打好“四季牌”，让企业强起来。众所周知，冰雪运动对于季节性的要求很高，一些欧洲国家雪季持续时间较长，雪场经营具备先天优势。在我国，由于气候原因，很多雪场一个雪季的运营时间仅3至4个月。这就要求企业打好“四季牌”，冬季滑雪，春季踏青、夏季避暑、秋季露营，探索冰雪场地建设和季节转换新路径，满足不同季节、不同消费群体的运动休闲需要。目前，中国冰雪市场还处在起步阶段，百姓对于冰雪运动的喜爱需要一个培育过程，企业需要沉下心来，练好内功，不断为冰雪运动发展创造营造良好氛围。

　　打好“民生牌”，让群众富起来。冰天雪地也是金山银山。我国冰雪资源丰富，这些年，各地通过发展冰雪产业，建设了一批冰雪小镇以及冰雪度假胜地，不仅提升了当地知名度，引来投资和消费，还提高了当地老百姓收入水平，促进地方产业转型和经济发展。作为北京冬奥会雪上项目主要竞赛场地之一，崇礼从一个小县城变成了世界闻名的滑雪胜地，不少当地人端起了“雪饭碗”，吃上了“冰雪饭”。因此，要不断推动“冷资源”变为“热产业”，释放冰雪红利，让冰雪运动进一步火起来。（常理）