【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
传统文化需要符合时代潮流的创新表达******
“天妤”，一个沉睡千年的飞天少女，被神秘空间元境唤醒后，回想起千年前之事。当年，洞窟受损，壁画脱落。如今，苏醒过来的她，决定来到人间收集碎片，复原壁画，重佑人间……“天妤”不是玄幻小说中的人物，而是一个虚拟数字人。过去一年，“天妤”以收集壁画碎片为线索，将中国传统文化元素进行数字化演绎，持续向世界讲述中国传统文化的故事，在海内外收获了大量拥趸。(见1月4日《光明日报》)
所谓数字人，是指通过计算机图形渲染、动作捕捉、深度学习、语音合成等技术打造的虚拟或仿真人物。从初代平面二次元形象，到以虚拟主播为代表的数字人2.0时代，数字人不断更新迭代。2022年，数字人大量涌现，除了“天妤”，还有中国文物交流中心的“文夭夭”、新华网的“筱竹”、浙江卫视的“谷小雨”、敦煌研究院的“伽瑶”、国家博物馆的“艾雯雯”、中华书局的“苏东坡数字人”等，他们或化身为文博场所的导游，或成为文化短剧的主角，或担任对外传播的文化大使，以又潮又酷的方式讲述着中国传统文化。
文化是一个民族最深沉的血脉基因和历史智慧。传承弘扬传统文化，是提高国家文化软实力、塑造民众文化自信的重要环节。在迅猛发展的数字化时代，传承弘扬传统文化要尽力避免陷入“注意力危机”，要打好“注意力争夺战”，把传统文化中的精髓提炼出来，再以受众喜闻乐见的方式把它推广出去、传承下去。
如今，科技赋能于人们工作、学习、生活等方方面面，与现代社会深度融合，它也完全可以成为推动传统文化传承与创新的一种力量，使传统文化“活”过来、“动”起来，走进越来越多人的烟火生活。
用数字人传播传统文化，更贴近年轻人的诉求与审美。年轻人是国家未来的接班人和建设者，也应该成为传统文化的学习者、践行者、传承者，年轻人与传统文化可以也应该“破圈”相拥。数字人既有好看的“皮囊”，又有丰满的“灵魂”，对年轻人的吸引力和影响力不可小觑。据报道，受“天妤”影响，很多青少年给自己化起了“国风妆”，甚至引发海外美妆达人竞相模仿。
2021年10月，由北京理工大学等科研院所共同发起的“虚拟数字人”项目——“数字梅兰芳”亮相，其通过高逼真度实时数字人技术，复原了京剧大师梅兰芳先生的形态、声音及面部表情，以另一种形式传承京剧文化。彼时，“梅兰芳孪生数字人”现身梅兰芳大剧院，与台下观众互动：“距离我上一次登台已经过去了60多年，没想到我们又重逢了，要感谢科技的进步，期待我们今后的见面会有更多的形式。”“数字梅兰芳”吸引年轻人与京剧国粹亲密接触，让人们看到了传统戏曲振兴的更多希望。
近年来，随着文化自信理念深入人心，“国潮”“国风”正在变成年轻人的时尚和情怀。在这个大背景下，传统文化故事符合现代审美的新讲法、年轻化讲法应该更多。传统文化多一些生动鲜活，传承和表达多一些创造性，我们的传统文化自然会星河长明，璀璨夺目。
何勇海
