彩神lv - 彩神lv

【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

“乙类乙管”后是否会有第二轮感染？疫情信息如何统计？总台独家专访吴尊友******

　　1月8日起新冠病毒感染实施“乙类乙管”，对于疫情监测数据通报、病毒变异是否会引发新一轮感染，我国又将采取怎样的措施继续实施监控，总台央视记者独家专访中国疾控中心流行病学首席专家吴尊友，他就公众关心的问题进行了解答。

　　总台央视记者 史迎春：大家都在担心在国际上的奥密克戎BQ系列，然后包括XBB系列的变异株，它们在我们实行“乙类乙管”，出入境打开以后，进入国内会掀起第二轮的感染，这是大家普遍担心的一个问题，您认为这个问题应该怎么看。

　　中国疾控中心流行病学首席专家 吴尊友：我们也对国际社会的各个国家流行的新毒株的情况进行了解追踪，那么同时对国内发生的疫情也进行了毒株变异的监测，特别是从境外回国人员当中也检测到这些毒株。会不会造成新一轮的疫情，取决于变异的毒株和我们刚刚流行的这些毒株之间，在结构上面有多大的相似性，或者说它的变异差异有多大。从目前来看，因为它的变异也是奥密克戎亚型里面的分支的变异，马上造成新一轮传播的这种风险的话，应该说不会太大。

　　总台央视记者 史迎春：还有一种担心是认为中国人口基数比较大，感染的人口基数也大，会不会产生新的变种，从而影响整个世界的病毒序列，或者说整个世界的病毒的进程。

　　中国疾控中心流行病学首席专家 吴尊友：优化防控策略以后，本地传播的疫情病例数在有一定的水平和规模的情况下，确实存在着新的变异毒株的可能性，我们也密切关注。所以在“乙类甲管”调整为“乙类乙管”的疫情监测方案当中，就专门提到了新冠病毒变异毒株的监测，在现阶段，每天都在进行新的毒株的样本收集和测序，来对它的变化进行监测。从目前的结果来看，我们现在发现的所有的毒株，都是已经在国际共享平台上分享的毒株，也就是说在国外已经报告了，或者说主要是从境外流行以后传入中国，到目前为止还没有发现国内新出现的变异毒株。

　　为指导全国各地做好当前新型冠状病毒感染疫情监测工作，国务院联防联控机制印发了《新型冠状病毒感染“乙类乙管”疫情监测方案》，及时动态掌握人群感染发病水平和变化趋势，科学研判和预测疫情规模、强度和流行时间，动态分析病毒株变异情况，以及对传播力、致病力、免疫逃逸能力及检测试剂敏感性的影响，为疫情防控提供技术支撑。

　　总台央视记者 史迎春：对于之前疫情通报的数字和自己本身的感受，很多公众觉得差距比较大。我们国家一直的疫情统计和发布的疫情信息，是如何去监测和统计报告的？现在有没有相应的调整？

　　中国疾控中心流行病学首席专家 吴尊友：在武汉疫情控制以后，到我们优化防控方案这期间，是叫严格管控时期。每一起疫情的源头、造成感染的毒株，几乎每一个感染者都能够被诊断管理，所以我们采取的是一个计数统计。现阶段由于防控方案的调整，报告病例数和公众感觉的数字，存在着一定的差距。造成这种差距有两个方面的原因，一个是不再实行行政区的大规模核酸检测了，除了重点机构重点人群以外，采取的方法是愿检尽检的方法，这样的话检测的人数、报告的人数就有明显的下降。第二个方面，疫情的感染者主要以轻症为主，多数人还在家庭自我休息调整、进行抗原检测，这一部分也没有纳入到传染病报告，这就造成了这样的差距。为了更好地做好统计工作，联防联控机制制定下发了新冠病毒感染“乙类乙管”疫情监测方案，采取的是多种渠道的监测，包括住院病例的报告监测、核酸抗原检测的数字统计，还有重点机构像养老福利机构的监测，再有像学校学生的呼吸道症状的监测，以及对部分病人的检测。还有我们在全国设立500多个流感哨点监测。我们采用了多种统计方法综合运用，也能够相对准确评估疫情的发生发展趋势，能够对于疫情的发病，流行的强度，流行的趋势，流行的时间做出研判，对防控效果作出评价。在过去几年，欧美国家和全球其他的国家实际上也是采取这样一个统计方法，它主要就是通过抽样的方法来反映总体情况。(央视新闻客户端)

　　（文图：赵筱尘 巫邓炎）