【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
点一盏心灯，暖一院人生——“电亲戚”与盲人邻居的第61个春节******
新春走基层丨点一盏心灯，暖一院人生——“电亲戚”与盲人邻居的第61个春节
新华社沈阳1月11日电题：点一盏心灯，暖一院人生——“电亲戚”与盲人邻居的第61个春节
新华社记者王炳坤、于也童、武江民
小年快到了，33岁的杨迪身穿工装、腰挎电工包，拎着米、面、油等年货，穿行在沈阳市铁西区“盲人大院”的几栋居民楼之间。
刚爬上7楼，还没等他腾出手敲门，屋里就传来熟悉的声音，“是小杨迪吧。”因为来的次数多，76岁的盲人阿姨邱淑华光凭脚步声就能“认出”他，“这几天我正念叨你呢，你就来了！”
1月5日，杨迪为邱淑华送去节日慰问品。(新华社记者武江民 摄)
“盲人大院”是民政福利企业原沈阳市互感器厂盲人职工的宿舍，20世纪60年代曾有70余户盲人住在这里。他们虽然眼睛看不见，可日子总是光亮的。杨迪是国网沈阳供电公司郭家供电营业所第14任所长，61年来，郭家供电营业所一直守护着这里，“电亲戚”们定期上门维护线路、维修电器、打扫卫生，为盲人们点亮了一盏盏“心灯”。
走进邱淑华家，杨迪一放下年货，就开启了“电工模式”。他顺着墙上的线路，从电箱、电线到各类电器，不放过一个细节地检查。“刮风下雨必到、下雪必到、逢年过节必到，这是老所长定下的规矩。”杨迪说，“这个习惯保持了60余年，我们要把它延续下去。”
1月9日， 郭家供电营业所员工在“盲人大院”为一户盲人居民完成线路检查后，准备前往下一户继续进行检查。(新华社记者潘昱龙 摄)
“盲人大院”和郭家供电营业所的故事开始于1962年。那时，“盲人大院”还是平房，盲人们共用一块电表，算起电费不免发生口角。抄表员刘继增体谅盲人们的难处，他挨家挨户把电费算清楚，“一户不落，一分不差”。
盲人们打心眼里佩服这个实在人，也对他产生了依赖。郭家供电营业所了解情况后，干脆让每一任抄表员担任联络员，成了盲人们的“电亲戚”。
几十年来，“盲人大院”的“电亲戚”越来越多，由一代代抄表员，扩大为郭家所的全体员工。国网沈阳供电公司还专门组建了“郭家爱心团队”，盲人们外出办事他们陪同，盲人们缺啥要啥他们代购，盲人们生病受伤他们照料……从最初的排忧解难到而今的呵护陪伴，82岁的佟德禄说：“远亲不如近邻，供电所离得近，有大事小情我们一个电话，‘电亲戚’们保准就会出现在身边。”
从邱淑华家出来，杨迪和爱心团队成员来到“盲人大院”的盲人活动室。墙壁上写有“2023年新春慰问活动”的红色横幅，让这里“年味儿”十足。一名志愿者掏出剪刀、推子，凭借老手艺为盲人们理发。几名盲人坐在长长的条凳上，你一言我一语地回忆他们与“电亲戚”的往事，怎么也唠不完。
“我印象最深的是一个三伏天，有一家下水道堵了，咱所的许刚一只手拿铁钩，另一只手戴上手套伸到便池里面，硬生生给‘掏’通了。”73岁的矫淑芬说。
“每年冬天一下大雪，我们还在睡梦中，一听到外面哗啦啦的铁锹声，就知道是‘电亲戚’们扫雪来了。”75岁的盲人大爷肖德仁说，不管雪下多厚，从单元门出来肯定会有一条道；顺着这条道往外走，指定就能到达小区门口……
61年间，“盲人大院”从平房变成楼房，盲人住户从70余户减少至30余户，从年轻力壮变成垂垂老者。“电亲戚”虽然换了一茬又一茬，但每一批都随叫随到，默默守护在盲人邻居身边。
1月9日， 郭家供电营业所一位员工正在查看盲人居民用电情况。(新华社记者潘昱龙 摄)
下午4点左右，活动室的“2023年新春慰问活动”临近尾声。杨迪像往常一样，紧紧牵着邱淑华的手送她回家。独居的邱淑华说，她现在生活有保障，“有了你们这些亲戚来走动走动，就能过个好年，对新的一年充满希望。”
| 彩虹多多地图 |
