点击右上角
微信好友
朋友圈
请使用浏览器分享功能进行分享
【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
出境团队游重启！这些新规2月起施行******
中新网北京2月1日电(韦香惠)试点恢复旅行社出境团队旅游业务、涉港澳台营业性演出恢复受理和审批、江苏预备性工作时受伤可算工伤……2月起，这些新规值得关注。
新马泰等20国试点恢复旅行社出境团队旅游
文化和旅游部办公厅发布《关于试点恢复旅行社经营中国公民赴有关国家出境团队旅游业务的通知》。《通知》明确2023年2月6日起，试点恢复全国旅行社及在线旅游企业经营中国公民赴有关国家出境团队旅游和“机票+酒店”业务。国家名单为：泰国、印度尼西亚、柬埔寨、马尔代夫、斯里兰卡、菲律宾、马来西亚、新加坡、老挝、阿联酋、埃及、肯尼亚、南非、俄罗斯、瑞士、匈牙利、新西兰、斐济、古巴、阿根廷。
资料图：在上海市公安局长宁分局出入境接待大厅，市民有序办理个人业务。 中新社记者 殷立勤 摄涉港澳台营业性演出恢复受理和审批
文化和旅游部市场管理司发布《关于优化涉港澳台营业性演出管理政策的通知》。《通知》明确自2023年2月16日起，各地文化和旅游行政部门恢复对涉港澳台营业性演出的受理和审批。暂缓新批涉外营业性演出活动(演职人员已在境内的除外)。
住建部修改《城镇污水排入排水管网许可管理办法》
住房和城乡建设部发布关于修改《城镇污水排入排水管网许可管理办法》的决定，该决定自2023年2月1日起施行。其中明确，城镇排水主管部门应当因地制宜，按照排水行为影响城镇排水与污水处理设施安全运行的程度，对排水户进行分级分类管理。排水户不得向城镇排水设施排放、倾倒剧毒、易燃易爆、腐蚀性废液和废渣；不得向城镇排水设施排放有害气体和烹饪油烟；不得堵塞城镇排水设施或者向城镇排水设施内排放、倾倒垃圾、渣土、施工泥浆、油脂、污泥等易堵塞物；不得擅自拆卸、移动、穿凿和接入城镇排水设施；不得擅自向城镇排水设施加压排放污水；不得有其他危及城镇排水与污水处理设施安全的活动。
新修订的《烈士安葬办法》施行
新修订的《烈士安葬办法》自2023年2月1日起施行。主要修订内容包括：一是调整主管部门，将烈士安葬活动的主管部门由民政部门调整为退役军人工作主管部门；二是完善烈士送迎仪式；三是健全烈士安葬仪式；四是增加搜寻发掘烈士遗骸安葬内容；五是拓展失踪烈士或者境外安葬烈士祭扫纪念途径；六是与战时牺牲人员收殓安葬等规定做好衔接。
不得违规限制证券投资者销户
证监会发布《证券经纪业务管理办法》，自2023年2月28日起施行。《办法》强调经纪业务属于证券公司专属业务，未经证监会核准持牌展业构成违规。要求证券公司严格履行客户管理职责，切实做好客户身份识别、客户适当性管理、账户使用实名制等工作。要求证券公司应当将交易佣金与印花税等其它税费分开列示，保护投资者知情权；为投资者转户、销户提供便利，不得违反规定限制投资者转户、销户。
资料图：第十六届深圳国际金融博览会现场。 深圳市贸促委 供图江苏：预备性工作时受伤可算工伤
江苏省《关于执行工伤保险有关政策的意见》于2023年2月1日起正式施行，条款明确，职工在上班前和下班后的一段合理时间内，搬运、清洗、准备、整理、维修、堆放或收拾其工具和工作服，或者根据法律法规、行业操作规程、用人单位规章制度规定，为完成工作所作的其他准备或者后续事务，视为预备性或者收尾性工作。在此期间受到的伤害均可认定为工伤，从而进一步规范了全省工伤认定工作。
济南：全面恢复举办展览活动
济南市商务局通知，拟定自2023年2月1日起，济南市全面恢复举办各类展会活动。展会举办期间，各会展企业、会展场馆要按照新时期新阶段国家、省、市疫情防控有关要求抓好落实，确保全市各类展会活动安全有序。(完)
（文图：赵筱尘 巫邓炎） [责编：天天中] 阅读剩余全文（）  视觉焦点
家彩网地图 |
)