近日，國家計(ji)算機病毒(du)應急處理中心監測發現15款移動App及1款SDK存(cun)在隱私(si)不合規行(xing)為，涉(she)嫌超(chao)范(fan)圍采集個(ge)人隱私(si)信(xin)(xin)息。今年(nian)2月份，工信(xin)(xin)部信(xin)(xin)息通信(xin)(xin)管理局也通報了(le)今年(nian)第一(yi)批侵害用戶權益(yi)行(xing)為的App，有13款內嵌第三(san)方SDK存(cun)在違規收集用戶設備(bei)信(xin)(xin)息行(xing)為。
伴隨移動互聯(lian)網時代到來，App與(yu)人(ren)們工作生活的關(guan)聯(lian)日益密切。如今(jin)，大量App借助(zhu)SDK實(shi)現特定功能，提(ti)供便捷服務，滿足用戶多樣需要。但與(yu)之(zhi)相關(guan)的安全問題(ti)，同樣不容忽視。
何(he)為SDK？與App有何(he)關聯？
最新數據顯(xian)示，國內市場(chang)上(shang)App已達252萬款(kuan)。當(dang)前(qian)，App功能(neng)復雜程度及(ji)版(ban)本(ben)迭(die)代(dai)速度大幅提升，已進(jin)入為(wei)大眾提供精細化、場(chang)景(jing)化服務(wu)階段。
“應(ying)用(yong)開發(fa)者(zhe)為(wei)提高(gao)迭(die)代速度(du)、降低(di)開發(fa)成本及(ji)豐富業(ye)務功(gong)能，除了自主開發(fa)外，還(huan)會內嵌SDK，從(cong)而快速接入和(he)實現(xian)某類業(ye)務功(gong)能。”安(an)天移動安(an)全(quan)高(gao)級副總裁陳家林說。
安(an)天移動安(an)全(quan)風險應用檢測(ce)預警平臺統計(ji)發現，目(mu)前，我國80％以(yi)上(shang)App集成(cheng)了第三方(fang)SDK，平均每個App集成(cheng)數量近20款。中國信(xin)息通信(xin)研究(jiu)院與騰訊公司聯(lian)合發布的《軟件(jian)開發包（SDK）安(an)全(quan)研究(jiu)報告（2021年）》中提(ti)到，被100款以(yi)上(shang)App所集成(cheng)的第三方(fang)SDK已超3萬款。
何為(wei)SDK？《TC260－PG－20205A移動互聯網應用程序（App）中(zhong)的第(di)三(san)(san)方軟件開(kai)發工(gong)具包（SDK）安全指引（征求(qiu)意見稿）》中(zhong)將(jiang)其(qi)定(ding)義(yi)為(wei)，輔(fu)助(zhu)開(kai)發某一類軟件的相關文檔、范例和(he)工(gong)具的集合；第(di)三(san)(san)方SDK則指由第(di)三(san)(san)方服務(wu)商或開(kai)發者(zhe)提供工(gong)具包。
“就像一家(jia)工(gong)廠(chang)在(zai)制(zhi)造電視(shi)或汽(qi)車時，為(wei)實(shi)現(xian)更(geng)好(hao)的(de)(de)性能(neng)，從外界購買一些(xie)具(ju)有(you)特定功能(neng)的(de)(de)零件(jian)組裝在(zai)產(chan)品里。”一家(jia)資(zi)訊類平臺的(de)(de)工(gong)程師田強這樣(yang)打比方(fang)。
記者了解到(dao)，第(di)三方SDK提(ti)供(gong)的App功能服務包括消(xiao)息(xi)推送、支付、廣(guang)告、行為分析統計、第(di)三方登(deng)錄等。有的SDK用于特定的品(pin)類應用中，比如，社交(jiao)類App通常接(jie)(jie)入即時消(xiao)息(xi)類SDK，網賺類App則會接(jie)(jie)入安全風控類SDK。
嵌入了(le)便利，也嵌入了(le)風險
從本次工信(xin)部通報的SDK違規問題可以看出，除多款SDK涉及違規獲(huo)取設(she)備ID外，還有1款涉及違規收(shou)(shou)集設(she)備傳感器(qi)信(xin)息，1款涉及違規收(shou)(shou)集設(she)備安裝列表。
對此，陳(chen)家(jia)林坦言，目前市面(mian)上的(de)第三(san)方SDK生態比較復雜，對于App開發(fa)者來說(shuo)，第三(san)方SDK運行(xing)(xing)時的(de)行(xing)(xing)為(wei)可能并不(bu)透(tou)明(ming)；同(tong)一SDK引入不(bu)同(tong)App或App的(de)不(bu)同(tong)版本(ben)(ben)中，其(qi)版本(ben)(ben)、功(gong)能、模塊可能存在差異。“很多場景下(xia)App開發(fa)者難(nan)以全(quan)面(mian)評估SDK的(de)安全(quan)性(xing)，且難(nan)以掌(zhang)握(wo)SDK的(de)全(quan)部運行(xing)(xing)行(xing)(xing)為(wei)。”陳(chen)家(jia)林說(shuo)。
“我們曾采用過一款記錄日志運行數據的SDK組件。幾年前該SDK組件出現漏洞，平臺數據安全因此遭遇嚴重威脅。”田強回憶，黑客通過該第三方SDK漏洞，可以登錄服務器并獲取操作權限，任意處置里面的用戶數據APP軟件開發公司。
安天移動安全(quan)近日發布的《移動互聯網應用供應鏈（SDK）行為安全(quan)性現狀研究(jiu)報(bao)告》中提到，SDK惡意(yi)行為包括(kuo)流量劫持(chi)、隱(yin)私(si)竊取、靜默下載安裝(zhuang)、惡意(yi)廣告、遠程(cheng)控(kong)制等；SDK風險行為包括(kuo)違規收集個人信息(xi)、云端控(kong)制SDK、欺騙誤導用戶下載App、偽裝(zhuang)或(huo)匿名推送(song)消息(xi)等。
“App接入第(di)(di)三(san)方SDK提供服(fu)務，在厘清個人信(xin)息(xi)處理責任邊(bian)界(jie)、實施安全措施等方面，增加了復(fu)雜度和安全隱患。企業(ye)如(ru)何(he)規范App接入的各類第(di)(di)三(san)方SDK服(fu)務，已(yi)成為數據合規的難點之一(yi)。”中國電子(zi)技術標準化研(yan)(yan)究院網絡安全研(yan)(yan)究中心測(ce)評實驗室副主任何(he)延哲說(shuo)。
警惕違(wei)規收集用戶個(ge)人信息亂(luan)象
去年年底，國家計算機網(wang)絡(luo)應急技(ji)術處理(li)協(xie)調(diao)中(zhong)心、中(zhong)國網(wang)絡(luo)空間安全(quan)協(xie)會(hui)發(fa)布(bu)的(de)《App違法(fa)違規收集(ji)使(shi)用個人(ren)信息監(jian)測分析報告》顯示，第三(san)方SDK收集(ji)行為普遍存(cun)在(zai)，由(you)該(gai)行為不(bu)規范(fan)引發(fa)的(de)App違規問題日益凸顯。
“我們(men)在檢(jian)測(ce)中也(ye)證實了這類問題。具(ju)體(ti)包(bao)括在用戶同意隱私政策(ce)前就(jiu)開始收集(ji)(ji)個人(ren)信息(xi)、隱私政策(ce)中未明確提及接入(ru)SDK數據收集(ji)(ji)情況(kuang)、SDK收集(ji)(ji)個人(ren)信息(xi)范圍與(yu)隱私政策(ce)描述不相符等。”陳(chen)家林說。
從個(ge)人(ren)(ren)信(xin)息(xi)(xi)處(chu)(chu)理(li)(li)角(jiao)度(du)而言，何延哲(zhe)認為(wei)，在(zai)理(li)(li)想情況下第三方SDK和App存在(zai)“委托(tuo)處(chu)(chu)理(li)(li)”“各自獨立處(chu)(chu)理(li)(li)”及“共同(tong)(tong)處(chu)(chu)理(li)(li)”三種模式：如(ru)果(guo)第三方SDK需遵循(xun)與(yu)App開(kai)發(fa)(fa)者(zhe)的(de)約定(ding)目(mu)的(de)及方式處(chu)(chu)理(li)(li)個(ge)人(ren)(ren)信(xin)息(xi)(xi)，即第三方SDK受(shou)“委托(tuo)處(chu)(chu)理(li)(li)”，App開(kai)發(fa)(fa)者(zhe)承擔告(gao)知(zhi)同(tong)(tong)意(yi)職(zhi)責；如(ru)果(guo)App開(kai)發(fa)(fa)者(zhe)無法充分(fen)定(ding)制(zhi)或限制(zhi)第三方SDK處(chu)(chu)理(li)(li)個(ge)人(ren)(ren)信(xin)息(xi)(xi)行為(wei)，此時雙方屬于“各自獨立處(chu)(chu)理(li)(li)者(zhe)”，App開(kai)發(fa)(fa)者(zhe)需告(gao)知(zhi)第三方SDK處(chu)(chu)理(li)(li)個(ge)人(ren)(ren)信(xin)息(xi)(xi)規則；如(ru)果(guo)App與(yu)第三方SDK約定(ding)共同(tong)(tong)決定(ding)處(chu)(chu)理(li)(li)個(ge)人(ren)(ren)信(xin)息(xi)(xi)，雙方可能(neng)成為(wei)“共同(tong)(tong)處(chu)(chu)理(li)(li)者(zhe)”，都(dou)應該以個(ge)人(ren)(ren)信(xin)息(xi)(xi)處(chu)(chu)理(li)(li)者(zhe)的(de)名義對用戶明示(shi)告(gao)知(zhi)。
然(ran)而(er)，在實(shi)際(ji)開發運(yun)營中，兩(liang)者關系相(xiang)比理(li)想(xiang)模式往(wang)往(wang)更為復雜。何延哲建議，App能夠(gou)與用(yong)戶直觀交(jiao)互并提供服務，應該承擔更大告知職責；如果第三方SDK提供服務必(bi)須(xu)處(chu)(chu)理(li)個人信息，需(xu)要主動詳細告知處(chu)(chu)理(li)規則。
應遵(zun)循最小化、必(bi)要(yao)性設計原則
第三方(fang)SDK嵌入(ru)App時，也(ye)嵌入(ru)了風(feng)險元素(su)。對(dui)此，從事出行(xing)類平臺研(yan)發(fa)工(gong)作的(de)客(ke)戶端工(gong)程(cheng)師(shi)陸陽(yang)認(ren)為，一線工(gong)程(cheng)師(shi)不能只關注軟件開發(fa)業(ye)務，應(ying)該對(dui)所使用(yong)的(de)SDK基(ji)本信(xin)息有清晰(xi)、必要的(de)認(ren)識，并(bing)與安(an)全團隊(dui)配合，選出既(ji)符合業(ye)務訴求又能夠保證安(an)全性(xing)的(de)SDK。
陳家林認為，從產業鏈角度看(kan)，SDK提(ti)供者需遵(zun)守個(ge)人信(xin)息(xi)保護法(fa)(fa)、數據安全法(fa)(fa)等相關(guan)法(fa)(fa)規以及(ji)App用(yong)戶權(quan)益政策要(yao)求，在涉及(ji)個(ge)人信(xin)息(xi)收集和(he)使用(yong)行為上秉持(chi)最小化、必要(yao)性(xing)設計原則(ze)；App開發者在選擇和(he)接入(ru)SDK時，需要(yao)重點評估SDK提(ti)供商(shang)及(ji)其SDK安全性(xing)。
針對(dui)用戶(hu)權益(yi)，何延哲認為(wei)，如(ru)果(guo)基于用戶(hu)同意(yi)使用SDK服(fu)務，用戶(hu)有撤回(hui)同意(yi)權利(li)；如(ru)果(guo)SDK收集(ji)用戶(hu)信息是為(wei)履行法定義務，則(ze)不宜(yi)提(ti)供停止或拒絕(jue)功能；如(ru)果(guo)SDK與App為(wei)委托(tuo)關系，應(ying)由App方對(dui)限制或拒絕(jue)處理個人(ren)信息作出響應(ying)。
近年來，國家相關(guan)單位的部分標準文件(jian)中，已提出App和SDK的安全(quan)技(ji)術要(yao)求和規范指(zhi)引，部分處于(yu)征求意見(jian)稿階段。記者也了解到，根據歐(ou)盟《通(tong)用數據保護(hu)條例》（GDPR）要(yao)求，歐(ou)洲的廣告互動協會開始(shi)嘗(chang)試“同(tong)意管理(li)平臺模(mo)(mo)式（CMP）”。何(he)延哲(zhe)表示，該模(mo)(mo)式本身有助于(yu)使個(ge)人(ren)信息(xi)處理(li)更合規，具有一定(ding)借鑒性。而(er)真(zhen)正適合我(wo)國法律(lv)框架和App、SDK開發產(chan)業生態的個(ge)人(ren)信息(xi)處理(li)模(mo)(mo)式，還(huan)需要(yao)各方持續研究嘗(chang)試。作者：孔繁鑫(xin) 李政葳(wei) 編輯：王子鈺(yu)
