【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
二十大代表风采丨“燃灯校长”张桂梅：为国育才 为孩子们点亮梦想******
中新网丽江10月8日电 题：“燃灯校长”张桂梅：为国育才 为孩子们点亮梦想
中新网记者 韩帅南
十月，地处滇西高原的丽江夜晚已吹起瑟瑟秋风。晚上9点，丽江华坪女子高级中学校长张桂梅走进每一个班级巡课。经过走廊时，她细心检查每所卫生间，将亮着的灯关闭。“我时常叮嘱孩子们要节约，但这些灯不需要她们来关，让她们安心读书。”节俭、时刻牵挂着山区的孩子们，这已是她多年的习惯。
1996年，张桂梅主动申请来到偏远的华坪县任教。在教学和家访的过程中，她看到了山区孩子对知识的渴望，同时也发现不少山区女孩因为贫困而辍学。这时起，张桂梅就有了一个梦想——创办一所免费女子高中，用教育阻断贫困代际传递。
随后的几年中，她为了筹建学校省吃俭用，四处奔波。“但我发现只凭自己的力量是建不起这所学校的。”张桂梅告诉记者。
转机出现在2007年，在党的十七大上，张桂梅作为党代表勇敢说出了自己的梦想。次年，在各级党委、政府和社会各界支持下，全国第一所公办免费女子高中——丽江华坪女子高级中学(简称“华坪女高”)正式成立。
图为张桂梅正在巡课。 韩帅南 摄华坪女高建校初期，条件设施简陋，教师经验不足，学生基础较差。面对沉重的教学任务，多位教师选择了离职。
“我发现剩下的8位教师中有6位是党员，于是我为了鼓舞他们，就带着他们重温入党誓词，唱红色歌曲。”张桂梅坚信，只要有党组织和党员在，就没有克服不了的困难。这样的气氛也逐渐带动了学生，学生也会跟着一起唱红歌，学习更充满动力。
张桂梅经过思考，提出了“党建统领教学，革命传统立校，红色文化育人”的教育理念。此后，她带领师生唱红色歌曲、忆红色历史、塑红色课堂……在华坪女高，学生的作息被控制在分秒，学习的时间被利用到极致。
“女高招收的学生大多基础比较差，我们得靠着这股拼劲儿，才能实现走出大山的梦想。”张桂梅称。
每天早上5点，张桂梅会用一个小喇叭“吼”学生们起床；深夜，在陪伴学生们自习结束后，她才入睡。十余年来，她被肿瘤、肺纤维化、小脑萎缩等多种疾病缠身，但依然坚持用自己的方式把2000余名大山里的女孩送进全国各地的大学。
“华坪女高的教育方式曾受到外界质疑，但事实会说话。”张桂梅说，该校的大部分学生在进入大学后成绩依然优秀，有不少学生在毕业后选择了人民警察、医护、教师等岗位，以自己的方式为建设祖国出一份力。
张桂梅举例，华坪女高的一位毕业生在从军多年后返校看望学妹。分别时，在校学生说，“学姐你放心走，将来我们也会参军，报效祖国，守护一方平安。”讲到这里，张桂梅红了眼眶，“我在帮助这些学生的同时，她们也在不断给予我力量。”
张桂梅说，华坪女高培养出来的学生勤奋刻苦，有理想，有信念，知道自己是为了什么而读书。
多年来，张桂梅坚持无私奉献，像一束希望之光，照亮山区孩子们的追梦人生。她被尊称为“燃灯校长”，也收获了“全国脱贫攻坚楷模”荣誉称号、“七一勋章”、全国道德模范荣誉称号等荣誉。但张桂梅认为，这些荣誉不属于她一个人，属于共同付出的所有党员和群众。
“我的身份不会改变，会一直坚守初心，继续守护这些山里的孩子，让她们飞出大山，再将希望之光带给更多人。”张桂梅说。
2022年，张桂梅再次当选党的二十大代表。“可以近距离聆听党中央的声音，让我感到无上光荣；同时，我要把二十大的声音带回给山里的党员，一起完成好党的任务，这又是一份沉甸甸的责任。”
“只要我还有一口气在，我就会为党育人，为国育才，让学生们成为合格的社会主义接班人。”张桂梅坚定地说。(完)
| 大发平台地图 |
