【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
2023年，在温暖中开篇******
北京
一“臂”之力汇“暖流”
厚棉袄、保暖裤，外加一顶棉帽子、一双皮手套，就是外卖骑手陈宇飞在这个冬天的御寒装备。这些天尽管气温稍显“温柔”，可骑上电动车，风呼呼地刮在脸上，还是感觉刀割一样，口罩遮不住的颧骨和眼睛周围冻得通红。
元旦假期过后，每天送餐工作要花费将近10个小时，陈宇飞都争分夺秒地奔波在路上。眼看春节临近，他想多挣些钱给湖北老家的父母。这样一个对时间“斤斤计较”的人，却在1月5日腾出一段难得的“空档”，走进位于北京西直门的献血站。用无偿献血的方式迎接新一年的到来，这让他觉得特别有意义。
“接单的间隙，看到北京市红十字血液中心发布的无偿献血倡议书，就找时间赶过来贡献一‘臂’之力。”陈宇飞笑着对记者说，他核酸转阴早已满7天，想为社会做点儿好事，希望那些急需输血的人得到及时救治。
测量血压、抽血化验，填写好登记表、录入个人信息……在工作人员的引导下，陈宇飞挽起袖子、伸出手臂，献出了一份爱心。这个足以挽救他人生命的行为，让他常年风吹日晒的脸上绽放出质朴的笑容。
将献血证小心翼翼地贴身放好，格外开心的陈宇飞来不及休息，又开始了紧张的送餐工作，匆匆离去的背影好似寒冬里一道温暖的阳光。
就在同一天，多名和陈宇飞一样的外卖骑手与街道机关干部、社区民警、基层保安、快递小哥等共计640人，来到北京市朝阳区安贞街道党群服务中心参与无偿献血，将这份“暖流”传递给有需要的人。
微光成炬，积水成渊。一点一滴的善意，拼凑出社会大家庭的美好。值此元旦春节到来之际，中国慈善联合会倡议全体会员和社会各界“开年行善”，用做一件好事来迎接新的一年，用视频、文字、图像记录身边的慈心善举，让爱心温暖你我，让慈善引领生活，为人民的幸福安康、为社会的和谐稳定、为祖国的繁荣富强，献一份爱心、尽一份力量！
上海
捐资助学温情满满
新年第一天，云南省景洪市第一中学的学生们通过上海市慈善基金会松江区代表处，向帮助过他们的爱心人士寄来了一封感谢信。
孩子们在信中写道：“求学路上，我们迷茫过，放弃过，父亲母亲会因学费拼命地赚钱，看到他们疲惫的眼神和操劳的背影，不禁倍感辛酸，是你们给予了我们资助，让我们不受生活的压力，安心完成学业。这个社会是温暖的，关注和关爱着我们的人很多，我们不应该气馁，我们会用知识改变命运，以优异成绩回报社会。”
澜沧江畔的一声声感恩激荡心灵，2023年伊始，上海市慈善基金会爱心窗口接连迎来捐资助学的热心市民，满满温情，暖流涌动。一份份爱心，为家境困难的孩子减轻了负担，更让他们有了学习的动力。
元旦当天，家住浦东新区的胡雷鸣来到爱心窗口，捐出1.75万元善款，继续结对资助6名困难学生，捐款助学，他已坚持了近20年。72岁的张永革老人带来参与“上海市张永革学雷锋志愿者工作室”开年行善活动的28位好心人捐赠的15150元，同时，他本人再次捐出4000元，分别用于资助一名小学生和救助一名患尿毒症的儿童。黄跃军、范德娟夫妇捐款3000元结对资助一名困难大学生，并代表在国外工作的儿子一家捐款3000元，结对资助了两名家境困难的小学生。就读于卢湾中学初二年级的江稼祺和妈妈一起来到爱心窗口，捐赠1500元继续结对资助一名走在求学路上的小朋友……
在淮海中路1253号，这个名为“凡人善举”的爱心窗口自2018年2月创设以来从不“打烊”，前来奉献爱心的大都是最普通的市民百姓，离退休老人、年轻的父母带着孩子……他们用最传统的方式做慈善，想着能帮一点儿是一点儿。
济南
“火焰蓝”为生命护航
“老人卧床不起，情况比较紧急。”接到求助电话，刚刚完成出车任务的张东晖再次以最快速度赶赴患者家中。
随着近日济南市120院前急救车组工作量日益增多，济南市消防救援支队挑选业务熟练、素质过硬的消防救援人员组成应急转运突击队，张东晖就是其中一员。他和队员们一起，担起急危重症患者转运、医疗保障物资运送、车辆器材防疫消杀、医疗废品清理处置等任务。
张东晖告诉记者，他们负责转运的患者很多居住在老旧小区，没有电梯、楼道狭窄，不仅给救助增加了阻力，对转运车组人员的体力更是极大的考验。一次这样的救援，光是抬着患者下楼少则十几分钟、多则需要半个小时。等到一身汗水地回到急救车上，顾不上顺口气就驾车直奔最近的医院急诊室……但队员们都觉得“再辛苦也值得，这是为了‘小家’更是为了‘大家’。”
一辆辆120急救车从集结地点出发，一次次安全、高效的转运中，“天使白”和“火焰蓝”既是并肩战斗的战友，也成为无话不谈的朋友。他们不辞辛劳，为生命奔赴，在保证绝对安全的前提下，以尽可能更快的速度帮助更多的人。
深圳
新年从“步步行善”开始
身为一名“上班族”，李元晓在元旦假期有了一段难得的闲暇时光。整理房间和读书之余，她在新年第一天来到深圳市福田区香蜜公园，赴一场与“步步行善”新年网络公益行动的约定。
从2016年至今，每年的第一天，很多深圳市民都会走出家门，参加“步步行善”网络公益行动。通过App捐赠步数、公益机构折算现金，每一位普通市民都有机会成为爱的使者，为慈善事业聚能。
当天，来自深圳市关爱行动公益基金会跑团、深圳市慈善会跑团等6支队伍的成员与热心市民一起，跟随2012年伦敦奥运会竞走冠军陈定的脚步，迎着2023年的第一缕阳光冲出起跑线。
今年的第八届“步步行善”活动吸引了外婆敬老包、雏鹰展翅计划、星星守望心智加油站等优质公益慈善项目参与。沿途经过各个打卡点时，一个个公益项目的详细介绍引得李元晓放慢了脚步，平日里工作忙碌，跑步走路就可以做公益的互动方式，让她感到“健康又有爱”。
从1月1日至1月20日，本届“步步行善”线上活动携手腾讯公益开展“一块走”捐步兑换公益金活动。参与者的每一步都将汇聚善意和爱心，凝聚起一束束爱的光芒，为深圳这座城市带来温暖和希望。
“‘步步行善’如同爱心‘放大器’，激发出更多市民向善向爱的传统美德，不断助力提升深圳的城市文明高度和社会治理温度。”深圳市关爱行动组委会办公室专职副主任李青松告诉记者，“步步行善”让普通市民可以随时随地做公益，形成人人可公益、人人愿公益、人人能公益的文明氛围，让关爱他人成为生活的日常，让热心公益成为生活的时尚。
