现如今,大量App借助SDK实现特定功能,提供便捷服务,满足用户多样需要,但APP使用SDK也可能带来相关安全问题,包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中,SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性,对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同,恶意劫持App流量,可能对App造成损害;隐私窃取指SDK在用户不知情或误导用户的情况下,隐蔽窃取用户的通讯录、短信息等个人敏感信息,隐蔽进行拍照、录音等敏感行为,并发送给恶意开发者;广告刷量指SDK在最终用户不知情的情况下,在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面,安天移动安全发现,应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中,包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外,当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现,其主要提供用户行为统计功能,并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同,因此对其在不同月活范围 App 中的数据收集行为进行抽样分析,从结果上来看,该SDK 普遍存在违规收集和超范围收集个人信息的问题,并且在月活较低的 App 接入的版本中,还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况,并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例,在相关检测中发现,在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外,还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序(App)收集个人信息基本要求》中明确定义了不同业务场景下,应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中,收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围,但其合理性和必要性存疑,例如收集个人信息范围为软件安装列表,但实际除了收集安装应用包名信息外,还收集了安装应用运行状态信息等,这就涉及超范围收集个人信息。
例如,某统计类 SDK除了应用开发者本身主动调用相关事件接口外,SDK自身还注册监听了多种广播消息,在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听,除此以外,还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外,当前 App 接入的 SDK 中还存在云端控制SDK行为,热更新技术控制 SDK 行为,后台拉活、自动下载安装、误触下载等风险行为。
(监制:张宁 策划:李政葳 制作:黎梦竹)
第三届黄池古巷春节庙会热热闹闹过大年******
“通宵灯火人如织,一派歌声喜欲狂。”承载千年古城传统民俗文化的春节庙会,在黄池古巷已经盛大开启,一起到黄池古巷共同奔赴新年美好的第一站吧。
氛围升级,过个欢天喜地年。庙会期间,氛围布置全新升级——吉祥喜庆与文化传承相结合、民俗表演和夜间灯会相结合,大展鸿“兔”主题伴着红火灯笼,带来新年惊喜开场,福气树挂与灯光布置,构造出“年味”打卡的全新互动空间。庙会集吃喝玩乐于一体,在阵阵叫卖声中歌颂重聚喜悦,火红色中涌动新春期许,为你带来畅快淋漓的传统春节体验。
风味美食,过个味蕾狂欢年。热闹喧哗的美食摊位汇聚了浓浓烟火气,阵阵飘香不断冲击我们的味蕾。在这里,不仅有本地特色美食,卷尖、烩面、树莓等;还有来自全国各地特色美食,长沙臭豆腐、柳州螺蛳粉、西安肉夹馍、武汉热干面、各式烤串、卤串、棉花糖、糖人……
民俗盛宴,过个文化传承年。庙会将民族民俗与过大年相结合,齐奏新春交响乐,共谱文化奏鸣曲。写福迎春,以笔墨承载祝福,红红火火度新年;剪纸贺新,重温窗花记忆,定格兔年精彩;手绘年画,探寻中国传统美好蕴意,挂起幸福与欢聚;木雕竹刻,一刀一篆栩栩如生,以精巧工艺重现历史经典形象……各种文化传承解锁新春仪式感,让民俗文化看得见、可上手。
热闹纷呈,过个精彩非凡年。好戏频频开场,精彩日日相聚。这里有来自“豫北杂技之乡”的洛寨杂技,豫剧名家关小凤戏曲演出,醒狮迎宾,舞龙贺岁,民间秧歌,锣鼓表演,魔术互动……节目轮番上场,喜庆之音不绝于耳。
庙会还将携手各地直播网红,一众知名网红齐聚古城,妙口连珠、玩转爆梗,打造春节爆笑体验季,为年轻群体带来传统文化和新潮文化之间的奇妙化学反应,感受精彩绝伦的视听盛宴,玩转暖冬好时光。
……
“共欢新故岁,迎送一宵中”。封丘县城关镇将以“黄池古巷春节庙会”为媒介,挖掘春节文化的深度、拓展文旅文创的宽度,助推黄池古城文旅行业再上新高度。
2023年1月20日-1月28日,欢迎广大外地游客到黄池古城,观花灯、看演出、品美食、赏民俗,感受新春的祥瑞,拥抱热闹的春节氛围,共享一场前所未有的文化盛宴!(中共封丘县委网信办 李惠娜 李艺菲 供稿)
(文图:赵筱尘 巫邓炎)