【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
严查这些人、这些事！中央纪委公报释重大信号******
中新网北京1月11日电(记者 阚枫 袁秀月)10日，二十届中央纪委二次全会公报公布，新一届中央纪委如何开局，下一阶段的中国反腐从何处着手，此次公报释放重要政策信号。
资料图：2015年10月，海南省公安厅组织党员干部前往反腐倡廉警示教育基地参观受教。洪坚鹏 摄这些制度要扎牢
推进反腐败国家立法、完善基层监督体系
3000多字的公报中，对健全全面从严治党的制度体系作出重要部署。
党的二十大报告首次提出“健全全面从严治党体系”的重要任务。在此次公报中，“全面从严治党体系”亦成为关键词。
公报中提到，推动完善党的自我革命制度规范体系。促进完善党内法规制度体系，研究修订党纪处分条例，推进反腐败国家立法，不断健全完善纪检监察法规制度体系。推动完善纪检监察专责监督体系、党内监督体系、各类监督贯通协调机制和基层监督体系，形成监督合力。
自我革命是中国共产党区别于其他政党最显著的标志，是跳出治乱兴衰历史周期率的第二个答案。在专家看来，写好这第二个答案，并将其具体化、操作化，制度体系建设是关键的基础性工作。
“党的十八大以来，我们在党风廉政和反腐败方面取得了巨大成绩，初步构建起全面从严治党体系，要在总结过去十年经验的基础上持续完善健全这个体系，进一步适应新形势、新任务。”中央党校(国家行政学院)教授竹立家对中新网记者分析。
这个监督很关键
确保“不偏向、不变通、不走样”
2023年是贯彻二十大精神的开局之年，公报在论述新一年的纪检监察工作时，“围绕落实党的二十大战略部署强化政治监督”被列在首位。
公报提到，围绕完整准确全面贯彻新发展理念、加快构建新发展格局、着力推动高质量发展等重大战略部署，围绕党中央因时因势作出的决策部署加强监督检查，确保执行不偏向、不变通、不走样。
此外在谈及“四风”问题时，公报同样提到“贯彻党中央重大决策部署”，公报提到，紧盯贯彻党中央重大决策部署不担当、不用力，对政策举措和工作部署片面理解、机械执行、野蛮操作，玩忽职守不作为，任性用权乱作为，权力观异化、政绩观扭曲、事业观偏差等问题。
“近年来查处的腐败大案要案中，对党不忠诚、不老实，当面一套、背后一套的问题较受关注，强化政治监督，在对党忠诚方面强化监督，显得十分必要。”
竹立家说，写好第二个答案，真正落实全面从严治党，确保党中央决策部署全面落地见效，说到底需要干部队伍时刻牢记初心使命，确保永远对党忠诚。
资料图：山西太原，人们前往参观中国共产党反腐倡廉历程展。 中新社记者 韦亮 摄这些群体被点名
年轻干部、“一把手”、代理人
会议公报中，明确提到了几个群体。
对年轻干部，公报要求，高度重视年轻领导干部纪律教育。对“一把手”，公报要求，强化对“一把手”和领导班子监督，督促其严于律己、严负其责、严管所辖。此外，公报还提到，坚决防止领导干部成为利益集团和权势团体的代言人、代理人。
谈到“重点对象”，公报要求，把党的十八大以来不收敛不收手、胆大妄为者作为重中之重，严肃查处领导干部配偶、子女及其配偶等亲属和身边工作人员利用影响力谋私贪腐问题。
竹立家认为，这些群体，可以说是党的十八大以来腐败现象表现比较突出的一些群体。
“例如，年轻干部事关党和国家事业的赓续接力，不收敛不收手的干部顶风作案、影响恶劣，‘一把手’及其身边人腐败、政商勾连等也渐渐成为腐败案件的突出特征，这些群体的腐败问题往往对政治生态破坏严重，必须是权力监督的关键点。”
这些领域是重点
金融、国企、政法、粮食购销等
这份中央纪委全会的公报中，还特别提到下一阶段党风廉政工作的重点领域。公报指出，突出重点领域，深化整治金融、国有企业、政法、粮食购销等权力集中、资金密集、资源富集领域的腐败。
在专家看到，这些领域的反腐败工作事关国计民生大局，涉及面大，社会关切度高。
“从近年查处的案件来看，比如金融、国企这些领域的腐败问题会对国家资源造成重大破坏、重大损失，甚至引发系统性风险，而政法、粮食购销等领域的腐败问题和不正之风，关乎百姓切身利益，关乎社会公平正义，必须紧盯严打。”竹立家说。
如专家所言，此次公报特别强调了坚决整治各种损害群众利益的腐败问题。此外，坚决查处新型腐败和隐性腐败。坚持受贿行贿一起查，加大对行贿行为惩治力度，营造和弘扬崇尚廉洁、抵制腐败的良好风尚。
在作风方面，公报还提到，严肃整治损害党的形象、群众反映强烈的享乐主义、奢靡之风，对顶风违纪行为露头就打、从严查处，坚决防反弹回潮、防隐形变异、防疲劳厌战。(完)
| 分分赛车地图 |
