点击右上角
微信好友
朋友圈
请使用浏览器分享功能进行分享
【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
文化观察：浙皖闽赣掀省际文化交流热潮******
(新春走基层)文化观察：浙皖闽赣掀省际文化交流热潮
中新网衢州1月18日电 (记者 张斌)随着疫情防控政策优化，省际密切交流逐渐频繁。1月中旬，浙江省衢州市举办了一场跨越浙江、安徽、江西、福建四省的四省边际城市群文化交流活动，掀起了一场全方位的省际文化交流热潮。
“近年来，王希孟的青绿山水《千里江山图》成为文化热点，而两宋之交的衢州画家江参也创作了一幅水墨山水长卷《千里江山图》，同样是传世佳作，收藏在台北故宫博物院。”衢州市文联副主席戴郑娇表示，上承传统、下接时代，这让衢州有了创作《新千里江山图》的策划和构想，一方面可以用艺术的方式表现生态文明发展的科学思想，另一方面也可以推动衢州、黄山两地书画交流，共同将两地的壮丽山水、繁华富庶的社会民情创作成书画长卷，讴歌新时代。
日前，衢州黄山《新千里江山图》创作研讨会在安徽省黄山市召开。会上，衢州、黄山两地书画家共同探讨联合创作《新千里江山图》的可行性方案和具体思路。
“衢黄两地探讨联合创作《新千里江山图》是一件文化盛事，也是一种非常好的文化交流形式。”黄山市书画家胡慧表示，创作《新千里江山图》要在选材上注重突出衢州、黄山本地特色；在呈现方式上，可采用分主题拼接，也可以是长卷。“新安江是钱塘江北源，衢江是钱塘江南源；我们有黄山，衢州有三衢山、江郎山，两地山水相连，文脉相通，天然具有合作《新千里江山图》基础和优势。”
据悉，《新千里江山图》创作研讨会是四省边际城市群文化交流活动的第一站。在江西省景德镇市、上饶市，福建省南平市，相关活动接连举行。
“景德镇一直非常注重追求非遗与文旅的广泛融合，深度融合，‘活态’融合。”在江西省景德镇市举行的衢州——景德镇“儒学文化礼遇陶瓷艺术”沙龙交流、签约活动期间，景德镇市陶瓷文化遗产研究保护中心主任周荣林说。
浙江衢州。 许军 摄活动期间，两地代表围绕陶瓷产业发展和合作深入交流。两地还签署陶瓷产业发展合作协议，为衢州南孔文化与景德镇陶瓷艺术的合作奠定基石。
“中国古典哲学中蕴含着丰富的生态伦理思想、美学思想，对景德镇传统陶瓷艺术产生了巨大的影响力。”大国工匠、中国工艺美术大师曹爱勤表示，衢州是南孔圣地，有着丰富的儒家思想和历史人文资源，将这些与陶瓷设计结合起来，将有着非常广阔的艺术空间可以开拓。
此外，在江西上饶，由衢州市委宣传部、上饶市委宣传部主办的乡村振兴、衢饶共享“百名作家进百村”大型主题采风活动吸引来自浙江省衢州市、安徽省黄山市、江西省上饶市、福建省南平市四地作协的100位作家、诗人，走进上饶的100个村现场采风，希望共同展示乡村蝶变面貌，讴歌时代精神。
在福建南平，衢州南孔文化则与南平朱子文化深入“对话”。据悉，南平是朱子理学的发源地，被誉为“闽邦邹鲁，道南理窟”。衢州是南孔圣地。两地都在传承和弘扬儒学文化方面留下了浓墨重彩的一笔。1月14日，南孔爷爷、朱子爷爷文化IP联名表情包正式上线，南孔文化、朱子文化学术交流会等活动轮番登场，为两地市民献上了一场南孔文化对话朱子文化的人文盛宴。
“在这些可爱的表情包里，南孔爷爷、朱子爷爷不再是高高在上的圣人，而是幽默诙谐、勤劳阳光、开心生活的普通人，这无形中拉近了传统文化与市民的距离。”南孔爷爷IP创始人徐明说，希望能让更多的人了解中国的优秀传统文化。
“衢州、南平地缘相接，文脉相连，推动南孔文化、朱子文化创新性发展、创造性转化，还有着非常大的合作空间。”南平市朱子文化办公室常务副主任陈育进说。
衢州市委宣传部相关负责人表示，四省边际城市群文化交流活动一方面是为了加强四省边际各地市走访交流，积极探索衢黄南饶四地文化交流合作机制，另一方面是为了推动打造四省边际文化文明桥头堡，做强自身，服务周边。(完)
（文图：赵筱尘 巫邓炎） [责编：天天中] 阅读剩余全文（）  视觉焦点
彩神彩票地图 |
)