现如今,大量App借助SDK实现特定功能,提供便捷服务,满足用户多样需要,但APP使用SDK也可能带来相关安全问题,包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中,SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性,对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同,恶意劫持App流量,可能对App造成损害;隐私窃取指SDK在用户不知情或误导用户的情况下,隐蔽窃取用户的通讯录、短信息等个人敏感信息,隐蔽进行拍照、录音等敏感行为,并发送给恶意开发者;广告刷量指SDK在最终用户不知情的情况下,在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面,安天移动安全发现,应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中,包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外,当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现,其主要提供用户行为统计功能,并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同,因此对其在不同月活范围 App 中的数据收集行为进行抽样分析,从结果上来看,该SDK 普遍存在违规收集和超范围收集个人信息的问题,并且在月活较低的 App 接入的版本中,还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况,并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例,在相关检测中发现,在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外,还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序(App)收集个人信息基本要求》中明确定义了不同业务场景下,应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中,收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围,但其合理性和必要性存疑,例如收集个人信息范围为软件安装列表,但实际除了收集安装应用包名信息外,还收集了安装应用运行状态信息等,这就涉及超范围收集个人信息。
例如,某统计类 SDK除了应用开发者本身主动调用相关事件接口外,SDK自身还注册监听了多种广播消息,在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听,除此以外,还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外,当前 App 接入的 SDK 中还存在云端控制SDK行为,热更新技术控制 SDK 行为,后台拉活、自动下载安装、误触下载等风险行为。
(监制:张宁 策划:李政葳 制作:黎梦竹)
曾发出“最后一电”震动全国 抗日老兵卢庆贻去世******
“此电恐为最后一电,来生再见。”这是抗日战争期间震动中国的“最后一电”中最为著名的一句话。
这封电报出自1944年的衡阳保卫战,约17000名中国士兵面对超过10万日军,坚守衡阳47天,打退日军多次进攻,直到弹尽粮绝时发出了这封被称为“最后一电”的电报。这封电报后经报纸报道,闻名全国,激励了国人的抗日热情。
2023年1月9日,当年发出了“最后一电”的发报员、抗战老兵卢庆贻的儿子卢先生向北京青年报记者表示,其父亲在1月8日上午10时55分于湖南湘潭去世,享年94岁,“父亲一直教育我们做人要诚实,要走正道,堂堂正正做人。他曾谈起战争时命悬一线的经历,但直到此前有人调查相关的历史时,他才说起自己就是著名的‘最后一电’的发报人。”
卢庆贻13岁报名参军
湘潭市退役军人事务局此前发布的文章中介绍,1941年,刚满13岁的卢庆贻报名参军,投身抗日,被分配到第十军军部。1944年,为扭转太平洋战场不利局面,日军急于打通从中国东北到东南亚的大陆交通线,疯狂实施所谓“一号作战计划”,扼守粤汉铁路的长沙、衡阳是主战场之一。当年5月底,第四次长沙会战爆发。日军主将找到中国守将的战法漏洞,狡猾地实施作战计划。当年6月,长沙沦陷,衡阳北面再无阻挡,日军大举南下进犯。第十军奉命死守衡阳,寸土不让,等待援军,但双方实力悬殊,守军只有17000余人,日军兵力超过10万人,还动用大量飞机大炮对守军阵地和衡阳城狂轰滥炸。
1944年8月6日发“最后一电”
文中介绍,卢庆贻曾回忆说,1944年6月下旬,日军三个师团对衡阳城发起第一次强攻,从地面和空中进行狂轰滥炸。但守军士气高涨,沉着应战,顶住敌人猛烈炮火,日军阵地几乎没有向前推进一步。“日军还使用了毒气,我军整整一个排的人都被毒死。城内的防毒面具都被送到前线,但还是远远满足不了需要,后来只能把毛巾打湿后围在脸上防毒。”卢庆贻说。此后,中国军队又先后打退了日军的两次强攻,但守军粮食弹药补给吃紧,援军却迟迟不到。8月6日,守军拟好了一道电报,由译电员交给卢庆贻,卢庆贻随即将电报发往芷江,后经由芷江空军台转往重庆。此后,卢庆贻被日军俘虏,万幸在被日军强迫劳动时逃脱,抵达贵阳后,才第一次从报纸上看到了他拍发的“最后一电”全文。
70多年后仍能背完整段电文
卢庆贻的儿子告诉北青报记者,父亲当时是部队中的电报员,当时译电员给卢庆贻的是电文代码,他自己并不清楚发布的电报具体内容,直到抵达贵州才了解到自己当时拍发的电报引发了全国热烈的反响。
据新华社此前报道,70多年后,卢庆贻在接受采访时仍能一字不差地背完整段电文。衡阳沦陷后,不少阵亡中国士兵遗体暴露于野,长时间没得到安置。抗战胜利后,包括卢庆贻在内的60多名第十军士兵赶到战场,用4个多月时间收集了3000多具阵亡将士遗体,全部合葬在衡阳城郊张家山一带。卢庆贻的儿子说,近些年父亲还曾和他一起去过张家山,“父亲给我讲当年这一带的情况,回忆当年的故事。”1946年,卢庆贻回到老家务农,再也没有出去。
据新华社报道,2015年9月3日,卢庆贻作为抗战老兵代表,受邀到北京参加纪念中国人民抗日战争暨世界反法西斯战争胜利70周年大阅兵,并于当天坐上第11号阅兵车接受检阅。在卢庆贻卧房里,墙上挂着很多他参加抗战纪念活动的照片,桌上摆着各种荣誉和纪念勋章。“跟那些牺牲的战友相比,我算幸运的。无数将士官兵献出宝贵生命,才换来如今的和平生活。”卢庆贻说,“我们要珍惜和平,希望永远不要再有战争。”
卢庆贻的儿子向北青报记者表示,目前家人正在操办老人的后事,“父亲曾给我们讲过战争的残酷,谈起他九死一生的经历。但一直没提起自己就是‘最后一电’的发报人,直到前些年有研究者得知他是衡阳保卫战的亲历者,找他了解情况,老人才讲述了自己发出‘最后一电’的经过。在日常生活中,他也一直教育我们一定要做个诚实的人,要走正道,做一个正派的人。”
文/本报记者 屈畅 统筹/孙慧丽
(文图:赵筱尘 巫邓炎)