【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

重庆万州：待到枫香层林染 且把美景揽入怀******

　　有些风景，记在脑中，念在心上。

　　从万州城区出发，经G5012高速到龙驹下道，再沿龙白路方向走5公里，会看到一个自驾车辆停靠区，石碑上赫然刻写“三峡恒合旅游度假区”，这是古枫香园必经之地。顺着山路再爬升，眼前的风景移步换形、物换星移。

三峡古枫香园全景。恒合土家族乡政府供图

　　驱车大约30分钟，映入眼帘的是一个海拔约1200米的山间盆地，造型别致的民宿散落其间，天可作帐，地可当床，三千枫香在身旁。举目四顾，披着绿色植被的山脉错落层叠，视线与平日只能仰望的七曜山风车齐平。此行的目的地，三峡恒合旅游度假区核心景区——三峡古枫香园到了。

　　古枫香树、古松树、悬崖景观堪称园内三绝。保存完好的古枫香林，尤为让人惊艳，叶片入秋经霜，幻为春红，艳丽夺目。其中拥有100年以上树龄的古枫香树521株，最大的一株主干高26米，胸径长5米，4个成年人才能合围环抱，相传是蜀汉南浦县民栽种。

三峡古枫香园入口一角。记者 张倩 摄

　　枫木岭有土家天境，游目骋怀，数十里山川尽收眼底；空灵静寂的林中栈道，有上有下、林间清凉，行走其间，悠悠然然。

　　然而这些大自然的馈赠，只为衬托三栋民宿：枫香里、枫香驿、枫香谣。它们被建筑在万千风景里，成了风景的一部分。

　　枫香谣主体以土家吊脚楼风格修建，环境搭配运用老磨盘、老石缸、老陶罐、老木槽、老石料、带皮树枝等元素，极具地域民俗风情；枫香驿采用LOFT星空房、枫叶红颜色的大铝板门头、金属廊架等进行修建，搭配彩色玻璃瓶、钢板刻字等装饰，简约又不失华丽；枫香里造型呈“枫叶形“，环境搭配运用飘落的金属枫叶、“枫香记、南山影”激光投影、《蜀国弦》景墙、“莲花为你开”互动装置等元素，展现出独特的魅力。

民宿区的彩色公路。记者 张倩 摄

　　民宿所用之一物一器，无不收集自民间。院落大门为斑驳石头砌成；长约一米的老树根和青石被镂空作为花盆，置于大厅；房间内的凳子是一截树桩，也可能是一块石头，篮子则是竹丝编制而成。

　　如今，在“生态优先绿色发展”理念引领下，三峡古枫香园化作高山休闲避暑的热门目的地，成为八方游客热情拥抱的“诗和远方”。山色半岭、土家天境、廪君台、1314观景台……这些被文人墨客命名的景点，蕴藏着绿水青山的烂漫。中国五大赏枫胜地之一、全国森林康养基地、三峡最美山岭、重庆避暑胜地……随便一个梦寐以求的“标签”，都是爱上这里的理由。