【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
在这里，智慧生活触手可及******
【乌镇聚焦】
在这里，智慧生活触手可及
——2022年世界互联网大会“互联网之光”博览会体验
光明网记者 孔繁鑫 邱晓琴 李政葳
数字时代，未来的智能生活是什么样？每年的“互联网之光”博览会，都聚集了各式各样的新技术、新产品、新应用，堪比一场互联网界的“嘉年华”。11月8日，作为2022年世界互联网大会乌镇峰会的重要组成部分，“互联网之光”博览会如约而至。
“一件件令人目不暇接的数字产品，一项项令人先睹为快的‘黑科技’，就是中国与世界各国企业相互携手，建设数字中国、数字社会的‘互联网之光’……”在博览会开幕式上，浙江省副省长卢山这样说。
今年博览会设置了展览展示、新产品新技术发布、人才相亲会三大板块，共有40个国家和地区的400余家中外企业参展。通过“线下实景+线上云展”的方式展示，并首次开设了“互联网之光云展厅”，利用3D、虚拟现实技术，打造沉浸式、365天不落幕的“线上云展”。
“飞艇无人机”由浙江省桐乡市乌镇鹰航科技有限公司自主研发，通过将飞艇技术和无人机技术相结合，让其既能在空中保持足够的机动能力，又能长时间进行空中作业。该产品可广泛应用于直播拍摄、巡查测绘、应急通信等场景。光明网记者 赵金悦摄/光明图片
科技向善惠及民生
“互联网+”正在改变着人们的衣食住行。近年来，新能源汽车日益普及，也加大了人们对充电桩的需求。博览会现场，一辆可以随停随充、无忧续航的智能移动充电桩，吸引了不少“有车一族”的围观。
这款名为“闪电1.0”的充电桩由宁波中意摩源新能源科技有限公司研发。技术工程师李铁介绍，用户可以通过小程序一键呼叫充电桩，接单后充电桩将自动行驶至车辆旁，平均半个小时即可完成充电。据了解，这款充电桩将在上海浦东机场首先投入运营。
在国家医疗保障局展台区域里，来自浙江、河北、海南等地的“村医通”智能终端、互联网医院等案例在这里集中展示。“当地3000多个村卫生室都配备了基层智慧医保平台，村民只需简单几步，就可以完成就医费用结算、医保缴纳等。”海南省医保局信息办主任王衍说。
外卖骑手安全问题一直备受关注。博览会现场展出的一款智能头盔，运用物联网、大数据、人工智能等技术，在设计中加入了传感器和硬件模组，可以有效帮助骑手识别风险。“如果骑手摔倒或受到撞击，头盔会启动SOS模式，可以向紧急联系人发送骑手位置坐标短信。”现场工作人员介绍。
“之江天目”异构智能计算机是之江实验室研发的全球首台基于开放计算规范的千卡规模液冷智能计算机，该计算机可支撑超千亿参数巨量模型的高效、并行训练。光明网记者 潘迪摄/光明图片
数字医疗、移动充电、智能头盔，这些仅仅是博览会上技术惠民的缩影。展区内各类新技术、新产品琳琅满目，不仅亮眼、炫酷、新潮，还深度融入人们生活当中，让科技魅力彰显人性温度。
新技术护航网络安全
对准镜头、张嘴摇头……摄像头在捕捉到观众动作后，屏幕上原本静态的人像瞬间“动”了起来，动作幅度与真人几乎完全一致。在瑞莱智慧展位上，技术人员现场演示了黑客如何利用“AI换脸”破解线上银行的人脸核验系统等场景。
“这背后采用了深度合成技术，要警惕被黑产分子用于新型诈骗。对此，我们可以利用技术创新、技术对抗等方式，持续提升、迭代深度合成检测能力，推动深度合成技术的健康发展。比如，扩展深度合成溯源、深度合成鉴定等。”相关技术人员这样建议。
随着互联网应用的不断发展，网络安全风险已经成为不可忽视的问题。在安恒信息展位上，摆放着各类大会上的纪念“火炬”。从北京奥运会、武汉军运会，到杭州亚运会、成都大运会，诸多大型活动都有安恒信息网络安保服务的身影。
国家电网展示的“水下电缆巡检机器人”主要用于湖泊、河流等水域水下电缆故障巡视和定位查找工作，最大潜入深度可达150米。光明网记者 赵金悦摄/光明图片
“我们通过建立云端7×24小时托管服务，使本地的报警数据上传云端，让身处云上的网络安全专家掌控全局动态，可以及时远程接入处置安全警报，有效护航中小企业网络安全。”安恒信息高级副总裁郑赳说。
在展会过道上，记者遇到卡巴斯基大中华区总经理郑启良，聊起近年来备受关注的勒索软件问题。“与普通网络病毒相比，人们应对勒索病毒攻击需要长期跟踪溯源。近年来，卡巴斯基逐渐打造以预测、防御、响应、检测四大模块为基础的自适应安全体系，可以做到快速响应新兴勒索软件。”郑启良说。
数字化赋能低碳生活
实现碳达峰、碳中和目标，科技创新至关重要。记者在逛展时发现，博览会现场设置了“数字双碳”主题展区。在这里，参展单位带来了多项低碳环保技术，为节能减排提供创新解决方案。
数字化如何应用于电力系统？在国家电网展台大屏幕上播放了不少可借鉴案例。比如，为提高光伏发电利用效率，国家电网桐乡市供电公司联合国电南瑞科技研发“光伏伴侣”装置，在桐乡当地得到率先应用。
11月8日，“互联网之光”博览会开幕。光明网记者 赵金悦摄/光明图片
该公司党建部副主任曹鑫说，桐乡市高桥街道楼下角村太平台区应用“光伏伴侣”装置后，最高相电压与台区出口端电压比由8.86%下降到1.68%，相间电压平衡水平提高了5倍多。“希望搭载这一技术插件接入楼宇电力系统，可以实现楼宇空调温度的自动调节。”
网上点餐时，你是否会选择“无需餐具”？出行时，你搭乘公共交通的概率有多少？通过阿里巴巴的“88碳账户”体系，人们日常生活中的减碳量可以被计算清楚。在阿里巴巴展台，现场数据显示，仅在今年“618电商节”期间，淘宝天猫平台中高效能消费电子商品成交订单对应减碳量就达15.3万吨，人们低碳生活习惯逐渐养成。
在接下来的三天里，博览会现场还将推出“互联网之光发布厅”品牌，遴选优质内容进行新技术新产品首发、理论成果首发和特色场景发布。中国产品主数据标准生态系统、智能车载创新解决方案、2022年长三角新型信息消费示范成果、2022年浙江数据开放创新应用大赛获奖成果等将重磅首发。此外，还将升级打造人才相亲会品牌，以“云聘会+人才空中宣讲会+产业人才发展大会”形式，进一步释放展会红利。
《光明日报》（ 2022年11月09日 09版）
扫描二维码看乌镇峰会电子会刊
