【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
中央网信办：严肃查处网络炫富、宣扬暴饮暴食等问题******
中新网1月18日电 据国家互联网信息办公室官方微信消息，为营造喜庆祥和的春节网上舆论氛围，中央网信办决定即日起开展为期1个月的“清朗·2023年春节网络环境整治”专项行动。此次专项行动开展时间为即日起至2月底，具体整治以下6方面：
——持续巩固“饭圈”治理成果，切实维护良好网络文娱生态。
一是密切关注春节晚会、春节档影视作品有关情况，整治借机挑唆粉丝群体互撕谩骂、攻击对立等问题，严防“饭圈”问题向体育、电竞等其他领域外溢。二是加强春节期间娱乐明星网上信息呈现规范管理，防止绯闻八卦、隐私爆料等信息占用公共平台资源。三是严禁网站平台借春节活动新设针对明星个人的榜单评选，不得变相诱导应援打榜。四是集中整治各类不良“网红”问题，严肃处置存在炒作劣迹行为史、刻意扮丑等问题的“网红”博主，查处炫耀服刑经历、美化服刑生活的所谓“励志网红”。
——严肃查处网络炫富、宣扬暴饮暴食等问题，避免不良风气反弹回潮。
一是集中清理借“天价年夜饭”“天价年终奖”“瀑布式压岁钱”“巨额红包”“顶级豪宅”“天价彩礼”等刻意炫耀奢侈生活的图文视频信息，不得恶意炒作隐形炫富、故意攀比等问题。二是排查处置刻意展示春节期间暴饮暴食、大吃大喝画面，宣扬铺张浪费的信息。
——集中查处组织实施网络赌博、网络诈骗等违法违规行为。
一是持续清理赌博引流信息，坚决关闭春节期间组织赌博交易的违法网站平台，严肃查处借棋牌类小游戏、夺宝游戏等名义或者利用建群发红包等功能变相从事网络赌博的行为。二是从严整治借“春运红包补贴”“春节集福”“有偿转让福卡”等名义实施网络诈骗问题，严防借“红包雨”“薅羊毛”等活动诱骗用户刷单。
——加大封建迷信和不良现象整治力度。
一是持续清理鼓吹炒作封建迷信陋习的帖文、视频信息，处置提供算命、占卜违规服务等问题。二是严管借低俗着装、露骨动作等方式，打造“酒店媛”“景点媛”“雪媛”“农媛”“外卖媛”等各类低俗人设，进行炒作引流的问题。
——严管网络欺凌、网络沉迷等问题，加大未成年人保护力度。
一是集中清理欺凌恶搞未成年人，或者诱导其从事危险动作的视频内容，持续整治利用“网红儿童”牟利等问题。二是严管利用儿童智能设备、网络游戏、游戏直播等渠道，向未成年人传播色情低俗、血腥暴力信息等问题。三是集中整治违规租号买号，鼓励家长主动为未成年人设置青少年模式，预防未成年人尤其是农村留守儿童沉迷网络。
——深入整治虚假信息等问题，防止渲染灰暗情绪。
一是重点整治春节期间涉经济民生、食品卫生、安全事故等领域造谣传谣行为，加大对突发谣言信息的辟谣力度，及时澄清事实。二是持续加大对涉疫网络谣言的整治力度，查处编造春节疫情走势、杜撰最新防疫政策、伪造抗病毒秘方、虚构病患经历等问题，防止误导公众，造成社会恐慌。三是从严查处炮制年终催债讨债、破产倒闭、哭穷卖惨等虚假情节，借演绎情感纠纷、有悖家庭伦理等低俗庸俗剧情，诱骗网民打赏消费等问题。四是严格管控借发布回乡笔记、返乡见闻等不实信息刻意煽动地域攻击、散布焦虑情绪、渲染社会阴暗面等问题。
