乐中彩票 - -(中国)360百科

【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

积极创新参与宏观经济治理的方式******

　　作者：王欣

　　据报道，2022年国内有7个城市GDP总量进入2万亿俱乐部，分别为上海、北京、深圳、重庆、广州、苏州和成都。综合分析可以发现，这些城市不仅经济建设取得了显著成就，生态环境保护工作也交出了令人满意的答卷。围绕经济高质量发展，这些城市在发挥生态环境保护的引领、优化和倒逼作用方面，已经做出了不少有益的探索和实践。

　　比如，江苏省苏州市的开发强度高、资源约束紧、转型任务重，以占全国0.09%的国土面积创造出了全国约2.1%的经济总量，而且生态环境质量依然保持稳中向好、持续改善态势。究其原因，就在于充分发挥生态环境保护优化经济发展的作用，做好了经济与生态的“双面绣”。近年来，苏州整治“散乱污”企业（作坊）4.7万余家，为引进高产出、低污染的项目腾挪了发展空间，抓住治污攻坚与高质量发展互促互利的契合点，形成了一招多赢的局面。

　　实践证明，在引领、优化和倒逼经济高质量发展，促进经济社会发展全面绿色转型方面，生态环境保护工作是有力的抓手，也是重要的推手。关键是务必坚持因地制宜、因时制宜，坚持问题导向、结果导向，全面研究、积极创新生态环境保护参与宏观经济治理的方式、手段和途径。

　　首先，增强系统观念。生态环境保护参与宏观经济治理是一项涉及面广、复杂程度高的长期性系统性工程，绝不能局限于传统思想上的污染防治工作。要统筹产业结构调整、污染治理、生态保护、应对气候变化等，协同推进降碳、减污、扩绿、增长，在多重目标中寻求最佳平衡点，既要“清澈见底”也要“鱼翔浅底”，既要“源头治污”也要“源头清洁”，既要“降碳”也要“增汇”。因此，要认识属地生态环境自然禀赋优势，也要紧盯生态环境保护工作短板，充分发挥生态环境保护的引领、优化和倒逼作用，扬长补短，不断增强生态环境保护融入宏观经济的深度和广度、推动经济社会绿色转型的力度和速度。

　　其次，强化攻坚意识。当前，对于生态环境保护参与宏观经济治理、促进经济与环境协同发展，有的人思想认知上还不够全面深刻，甚至仍有误区，而且现实工作中也有这样那样的困难和矛盾。加上治污攻坚的成效尚不够稳固，在推动绿色发展的道路上仍有不少难关要过，因此，务必保持战略定力，面对高污染高耗能产业更新换代等推进难度较大的工作任务，要统筹各部门政策和力量，密切协同。该依法倒逼的绝不后退一步，该帮助优化的要主动上前一步，该鼓励引领的要争取先人一步，确保步步为营。

　　第三，突出创新思维。统筹经济社会发展和生态环境保护，以实现减污降碳协同增效为总抓手，更加自觉地推进绿色发展、循环发展、低碳发展，没有现成的经验做法可供参考和借鉴，况且各地经济社会发展和生态环境保护水平不同，面对的形势和问题也各有所异。因此，务必结合实际，根据属地经济社会发展和生态环境保护的新情况新特点，适时更新理念、创新思维，不断丰富生态环境保护深度参与宏观经济治理的新方式、新手段。比如，国家相继出台了支持绿色发展的财税、金融、投资、价格政策和标准体系，如果简单地照搬硬套，难免出现“水土不服”等问题，这就需要各地进一步完善和细化相关举措，更好地发挥绿色金融的激励与约束作用。（王欣）

　　（文图：赵筱尘 巫邓炎）