近日，国家计(ji)算机病毒应急处(chu)理中心监测发现(xian)15款(kuan)移动App及1款(kuan)SDK存(cun)在隐私(si)不合(he)规行(xing)(xing)为(wei)，涉嫌超范(fan)围(wei)采(cai)集个人隐私(si)信息(xi)。今年(nian)2月份，工(gong)信部(bu)信息(xi)通信管理局也通报了今年(nian)第一批(pi)侵害用户权益(yi)行(xing)(xing)为(wei)的(de)App，有(you)13款(kuan)内(nei)嵌第三方SDK存(cun)在违(wei)规收集用户设备(bei)信息(xi)行(xing)(xing)为(wei)。
伴随移动(dong)互联(lian)(lian)网时(shi)代(dai)到(dao)来(lai)，App与(yu)人们(men)工作生活(huo)的关联(lian)(lian)日(ri)益(yi)密切。如(ru)今(jin)，大量App借助(zhu)SDK实现特定功能，提供便捷服务，满足用(yong)户多样(yang)(yang)需要。但与(yu)之相关的安全(quan)问题，同样(yang)(yang)不容忽视。
何为SDK？与App有何关联？
最新数(shu)据显示，国内(nei)市(shi)场上App已(yi)(yi)达252万款。当(dang)前(qian)，App功能复杂程度及版本迭(die)代速(su)度大幅提(ti)升，已(yi)(yi)进入(ru)为大众提(ti)供(gong)精细化、场景化服务阶段(duan)。
“应(ying)用开(kai)发(fa)者(zhe)为提高(gao)迭(die)代(dai)速度、降低开(kai)发(fa)成(cheng)本及丰(feng)富(fu)业务(wu)(wu)功能(neng)(neng)，除了自主(zhu)开(kai)发(fa)外，还(hai)会内(nei)嵌SDK，从而(er)快速接(jie)入和实现某类业务(wu)(wu)功能(neng)(neng)。”安天移动安全高(gao)级副总(zong)裁陈家林说。
安天移动(dong)安全风险应用检测预警平台统计发(fa)现，目前，我国(guo)80％以上App集(ji)成了第三方(fang)(fang)SDK，平均(jun)每个App集(ji)成数量近20款(kuan)。中国(guo)信息通信研究(jiu)院与腾讯(xun)公(gong)司联合发(fa)布的《软件开(kai)发(fa)包(bao)（SDK）安全研究(jiu)报告（2021年）》中提(ti)到(dao)，被(bei)100款(kuan)以上App所集(ji)成的第三方(fang)(fang)SDK已(yi)超3万款(kuan)。
何为SDK？《TC260－PG－20205A移动互联网应(ying)用程序(xu)（App）中的第(di)三方(fang)(fang)软件(jian)开(kai)发工具(ju)包（SDK）安全指引（征求意(yi)见稿）》中将其定(ding)义为，辅助开(kai)发某一类软件(jian)的相关文(wen)档、范例和工具(ju)的集(ji)合；第(di)三方(fang)(fang)SDK则指由第(di)三方(fang)(fang)服务(wu)商(shang)或开(kai)发者提供工具(ju)包。
“就像(xiang)一(yi)家工厂(chang)在制造电视或汽(qi)车(che)时，为(wei)实(shi)现更好的(de)性能，从外界购买一(yi)些具有特定功能的(de)零(ling)件组装(zhuang)在产品里。”一(yi)家资讯类平台的(de)工程师(shi)田强这样打比方。
记者了解到，第三(san)方(fang)SDK提供的(de)App功能服(fu)务包括(kuo)消息(xi)推送、支付、广(guang)告、行为分(fen)析统计、第三(san)方(fang)登录(lu)等。有的(de)SDK用于特定的(de)品(pin)类(lei)(lei)应用中，比如，社交类(lei)(lei)App通(tong)常(chang)接入即时消息(xi)类(lei)(lei)SDK，网(wang)赚(zhuan)类(lei)(lei)App则会接入安(an)全风控类(lei)(lei)SDK。
嵌(qian)入了(le)便(bian)利，也(ye)嵌(qian)入了(le)风(feng)险
从本次(ci)工信部通(tong)报的SDK违(wei)规(gui)问题可以看出(chu)，除多款SDK涉及违(wei)规(gui)获(huo)取设备(bei)(bei)ID外，还有1款涉及违(wei)规(gui)收(shou)集设备(bei)(bei)传(chuan)感器信息(xi)，1款涉及违(wei)规(gui)收(shou)集设备(bei)(bei)安装列(lie)表。
对此，陈家林坦言，目前市面(mian)上的第三方SDK生态比较复杂，对于App开发者(zhe)来说，第三方SDK运(yun)行(xing)时的行(xing)为可能(neng)(neng)并不(bu)(bu)透明；同一SDK引入不(bu)(bu)同App或App的不(bu)(bu)同版本中(zhong)，其版本、功能(neng)(neng)、模块可能(neng)(neng)存在差(cha)异。“很多(duo)场景下App开发者(zhe)难以全(quan)面(mian)评估SDK的安全(quan)性(xing)，且难以掌(zhang)握SDK的全(quan)部(bu)运(yun)行(xing)行(xing)为。”陈家林说。
“我们曾采用过一款记录日志运行数据的SDK组件。几年前该SDK组件出现漏洞，平台数据安全因此遭遇严重威胁。”田强回忆，黑客通过该第三方SDK漏洞，可以登录服务器并获取操作权限，任意处置里面的用户数据APP软件开发公司。
安天(tian)移动安全(quan)近日发布(bu)的《移动互联网应用(yong)供应链（SDK）行为(wei)安全(quan)性现状研(yan)究报告》中提到，SDK恶(e)(e)意(yi)行为(wei)包(bao)(bao)括流量(liang)劫持、隐私窃取、静默下载(zai)安装、恶(e)(e)意(yi)广告、远程控(kong)制等(deng)；SDK风险(xian)行为(wei)包(bao)(bao)括违规收集个人信(xin)息(xi)、云端控(kong)制SDK、欺骗误导用(yong)户(hu)下载(zai)App、伪装或匿名推送消息(xi)等(deng)。
“App接(jie)入第(di)三方(fang)SDK提供服(fu)务(wu)，在厘清个人(ren)信息处理责任边(bian)界、实施安全措施等(deng)方(fang)面(mian)，增加(jia)了复杂度和(he)安全隐患。企业如(ru)何(he)规范App接(jie)入的各(ge)类第(di)三方(fang)SDK服(fu)务(wu)，已成为数据(ju)合(he)规的难点之一。”中(zhong)(zhong)国电子(zi)技(ji)术(shu)标准化(hua)研(yan)究(jiu)院(yuan)网络安全研(yan)究(jiu)中(zhong)(zhong)心测评(ping)实验室副主任何(he)延哲说(shuo)。
警惕违规收(shou)集用户个人(ren)信息乱象
去(qu)年年底，国家(jia)计算机(ji)网络应急技术处理协(xie)调中心、中国网络空间安全协(xie)会发(fa)布的(de)《App违法违规收集使用个人信息监测分析报告》显(xian)示，第三方SDK收集行为普遍存在，由该行为不规范引发(fa)的(de)App违规问题日益凸(tu)显(xian)。
“我们在(zai)检测中也证实了(le)这类问题。具(ju)体包(bao)括在(zai)用(yong)户同意(yi)隐(yin)私政(zheng)策前就开始收集个人信(xin)息、隐(yin)私政(zheng)策中未明确(que)提及接入(ru)SDK数据收集情况、SDK收集个人信(xin)息范围与隐(yin)私政(zheng)策描述(shu)不相符(fu)等。”陈家林说。
从个(ge)(ge)人信息(xi)(xi)处(chu)(chu)(chu)理(li)角度(du)而言，何延哲认为(wei)，在(zai)理(li)想情况下第(di)(di)三(san)(san)方(fang)(fang)SDK和(he)App存在(zai)“委(wei)托处(chu)(chu)(chu)理(li)”“各自(zi)独立处(chu)(chu)(chu)理(li)”及“共(gong)同处(chu)(chu)(chu)理(li)”三(san)(san)种模式(shi)：如果第(di)(di)三(san)(san)方(fang)(fang)SDK需遵循(xun)与App开发者的约(yue)(yue)定目的及方(fang)(fang)式(shi)处(chu)(chu)(chu)理(li)个(ge)(ge)人信息(xi)(xi)，即(ji)第(di)(di)三(san)(san)方(fang)(fang)SDK受“委(wei)托处(chu)(chu)(chu)理(li)”，App开发者承(cheng)担告知同意职责；如果App开发者无(wu)法充分定制或限制第(di)(di)三(san)(san)方(fang)(fang)SDK处(chu)(chu)(chu)理(li)个(ge)(ge)人信息(xi)(xi)行为(wei)，此时双(shuang)方(fang)(fang)属于(yu)“各自(zi)独立处(chu)(chu)(chu)理(li)者”，App开发者需告知第(di)(di)三(san)(san)方(fang)(fang)SDK处(chu)(chu)(chu)理(li)个(ge)(ge)人信息(xi)(xi)规则；如果App与第(di)(di)三(san)(san)方(fang)(fang)SDK约(yue)(yue)定共(gong)同决定处(chu)(chu)(chu)理(li)个(ge)(ge)人信息(xi)(xi)，双(shuang)方(fang)(fang)可能成为(wei)“共(gong)同处(chu)(chu)(chu)理(li)者”，都应(ying)该(gai)以个(ge)(ge)人信息(xi)(xi)处(chu)(chu)(chu)理(li)者的名义(yi)对用户明示告知。
然而，在实(shi)际开发运营中，两者关(guan)系相比理想(xiang)模式(shi)往往更为复杂。何延哲(zhe)建议，App能够与用户直观(guan)交互并提(ti)供(gong)服(fu)务(wu)，应该承担(dan)更大告知职责；如(ru)果第三方SDK提(ti)供(gong)服(fu)务(wu)必须处理个人信息，需要(yao)主动(dong)详细告知处理规(gui)则。
应遵循最小化(hua)、必要(yao)性设计原则
第三方(fang)SDK嵌入App时，也嵌入了(le)风(feng)险(xian)元素。对(dui)此，从事出行类平(ping)台研(yan)发工(gong)作(zuo)的(de)客户端工(gong)程(cheng)师陆阳(yang)认(ren)为，一线工(gong)程(cheng)师不能只(zhi)关(guan)注软(ruan)件(jian)开(kai)发业(ye)务，应该对(dui)所(suo)使用的(de)SDK基本信息有清晰、必(bi)要的(de)认(ren)识，并与安全团队(dui)配合，选(xuan)出既符(fu)合业(ye)务诉求又能够保证安全性的(de)SDK。
陈家林认(ren)为(wei)，从产业链角度看，SDK提供者需(xu)遵守个人(ren)信息保护法(fa)、数据安全(quan)法(fa)等(deng)相关法(fa)规以及App用(yong)户(hu)权益政策要求，在涉及个人(ren)信息收集和使用(yong)行为(wei)上(shang)秉持最(zui)小化、必(bi)要性设计原(yuan)则；App开发(fa)者在选择和接入SDK时(shi)，需(xu)要重点(dian)评估(gu)SDK提供商及其SDK安全(quan)性。
针对用(yong)(yong)户权(quan)益，何(he)延哲认为(wei)，如(ru)果基于用(yong)(yong)户同(tong)意(yi)(yi)使用(yong)(yong)SDK服务，用(yong)(yong)户有撤(che)回同(tong)意(yi)(yi)权(quan)利；如(ru)果SDK收集用(yong)(yong)户信(xin)息是(shi)为(wei)履行法定(ding)义务，则不宜提供(gong)停止(zhi)或拒绝功能(neng)；如(ru)果SDK与App为(wei)委托关系，应由App方对限制或拒绝处理个(ge)人信(xin)息作出(chu)响应。
近年来，国家(jia)相关单位的部分(fen)标准文件(jian)中，已(yi)提(ti)出(chu)App和SDK的安全技术要求(qiu)和规范指(zhi)引，部分(fen)处(chu)于征求(qiu)意(yi)见稿阶段。记者也了解到，根(gen)据欧(ou)(ou)盟《通用数据保(bao)护条例(li)》（GDPR）要求(qiu)，欧(ou)(ou)洲的广告互动协会开始尝试(shi)“同意(yi)管理(li)平台模式（CMP）”。何延哲表示，该(gai)模式本身有助于使(shi)个(ge)人(ren)信(xin)(xin)息(xi)(xi)处(chu)理(li)更合(he)(he)规，具有一定(ding)借鉴性。而(er)真正适合(he)(he)我国法律框(kuang)架和App、SDK开发产业生态(tai)的个(ge)人(ren)信(xin)(xin)息(xi)(xi)处(chu)理(li)模式，还需(xu)要各方持(chi)续研究尝试(shi)。作者：孔繁鑫 李(li)政葳 编辑：王(wang)子钰
