【动画】@App开发者们 ，你想了解的SDK安全风险都在这！******
日前 ，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App ，有13款内嵌第三方SDK存在违规收集用户设备信息行为 。
现如今 ，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要 ，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞 、SDK恶意行为、SDK收集使用个人信息三类。
其中 ，SDK恶意行为是指嵌入APP中 的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK 的APP的安全性 ，对用户权益、数据等方面造成严重威胁。典型 的恶意行为如流量劫持、资费消耗、隐私窃取等 。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量 ，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下 ，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情 的情况下，在后台模拟人工点击广告链接进行牟利 。
在SDK收集使用个人信息方面 ，安天移动安全发现 ，应用接入第三方SDK引发的违规收集个人信息问题较为普遍 。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等 。
除了上述 SDK恶意行为外，当前 App 接入 的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现 ，其主要提供用户行为统计功能 ，并在此过程中实现用户终端数据 的收集和上传。
由于该SDK 在不同App中存在模块代码和版本 的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看 ，该SDK 普遍存在违规收集和超范围收集个人信息 的问题 ，并且在月活较低的 App 接入 的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围 的情况 ，并且涉及大量用户隐私路径数据 的访问。
以某知名地图 App为例，在相关检测中发现 ，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址 。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用 的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下 ，应用收集个人信息范围的最小化原则 。而在应用接入的 SDK 中 ，收集个人信息范围 、频度的必要性和最小化原则同样适用于SDK 的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围 ，但其合理性和必要性存疑 ，例如收集个人信息范围为软件安装列表 ，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息 。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外 ，SDK自身还注册监听了多种广播消息 ，在监听到相关消息后则会触发数据 的收集和上传行为 。例如对解锁屏 、电源连接断开事件进行监听 、对用户终端安装 、卸载应用行为进行监听，除此以外 ，还会监听应用前台 、后台的切换行为从而触发数据的收集和上传 。
另外 ，当前 App 接入 的 SDK 中还存在云端控制SDK行为 ，热更新技术控制 SDK 行为，后台拉活、自动下载安装 、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作 ：黎梦竹）
（新春走基层）“兔子王”兔年热销 ：泥韵传神出指端 中国神话IP遇见民间工艺******
中新网济南1月24日电 题 ：“兔子王”兔年热销 ：泥韵传神出指端中国神话IP遇见民间工艺
作者 吕妍
小小三瓣嘴，两只细长耳，金盔金甲大红袍，背插四面靠旗，手持玉杵，携金钵端坐于祥云之上 ，祥云下面以浅浮雕的形式塑造了趵突泉、黑虎泉、五龙潭等独具济南特色 的泉水景观……24日 ，在山东济南“兔子王”非遗传承人杨峰的店铺内，五颜六色的“兔子王”排列整齐。因象征着平安、健康、吉祥，有祛病消灾的美好寓意 ，其在兔年迎来热销。
杨峰介绍说，“兔子王”的原型 是中国神话故事中 的“玉兔”。相传 ，古时有一种怪病蔓延济南 ，在月宫捣仙药的玉兔将药饼捣碎，投在济南“七十二名泉”中 ，喝了泉水 的百姓很快痊愈，人们为感念玉兔，便在中秋时供奉一个泥塑的兔子神。“在北京称其为‘兔儿爷’，济南则叫‘兔子王’。”
图为“兔子王骑虎” 。 祁见月 摄“兔子王”在中国传统民间手工艺中属于彩塑艺术 ，即以泥土为胎，饰以色彩。其制作工艺分为和泥、制胎、翻模、印模 、开模、修胎 、涂大白、开脸儿等10多道工序 ，30多个步骤 。“我创作 的‘泉城兔子王’系列作品，在继承传统的基础上 ，融入了更多地方特色和泉水元素 。”杨峰说 ，包括在“兔王”脸上，以篆书变形的“泉”字绘制脸谱 ，以及融入泉水景观 、咏泉诗文 、泉名印章等 ，作品承载着济南的城市文化。
杨峰称 ，将“玉兔”雕造成金盔金甲的武士，有 的骑着虎 、狮 、象等瑞兽，有的骑着孔雀，仙鹤等飞禽 ，这也 是民间艺人的大胆创造 。还有一种“兔子王”底座下伸出一根长线绳 ，每每拉动线绳时 ，它的手臂和药杵就一上一下地活动 ，并发出吧嗒吧嗒的响声 ，更是广受欢迎。
“我的第一件作品是被一位来自新西兰 的游客买走 的，他说在他们国家兔子也有美好的寓意。”杨峰说。2006年，他参加了新加坡的一个文化艺术旅游展，第一次将作品带出国门 ，“兔子王”也在那次展会上被来自五湖四海的游客带向了世界各地。“很多外国游客专门把‘兔子王’当成礼物带回到他们 的国家 ，我也希望‘兔子王’作为一个文化载体和符号 ，能够在更广阔的空间展示中国传统文化。”
图为五颜六色的“兔子王”整齐 的排列在展柜中 。 祁见月 摄“‘兔子王’也体现了中华神话文化的五彩缤纷 ，从神话故事中，人们创造出许多生动有趣 的形象 ，还将这些形象具象化 ，制成各种作品 ，点缀人们 的生活，这些神话IP也深受孩子们 的喜爱。”杨峰说。
“中国神话故事归属于非物质文化遗产的民间文学类别 ，因其丰富 的内容以及超现实性 ，自古以来就有着广泛的民众基础 ，并且为传统非遗 的各种艺术形式作品 的创作提供了丰富 的素材和造型参考。”山东艺术学院设计学院教授姜海涛表示，中国神话IP从形象到性格都有深入人心的鲜明特征 ，有着庞大 的“粉丝”基础 。以神话原型或元素作为特征，从中挖掘并提炼出让人产生共鸣 的文化符号 ，融合现代审美理念解构进行再创作，做到体现背后 的精神文化涵义，可以让非遗真正实现活态的传承与发展。
姜海涛建议，未来可以在现代文化和数字技术的语境下，在尊重和保护非遗技艺 的基础上 ，通过理念创新、模式创新 ，实现非物质文化遗产由文化遗产向创意资源的转变 ，争取用潮流 的方式焕新传统习俗，打造面向未来的生产和传播方式，兼具内容 、视觉 、品质和功能性，塑造具有全新的生活体验和艺术享受的非遗作品 、文创产品等 。(完)
| 五五世纪地图 |
