点击右上角
微信好友
朋友圈
请使用浏览器分享功能进行分享
【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
东西问·中外对话 | 对于中国，“气候经济学之父”这样赞“碳”******
对于中国，“气候经济学之父”这样赞“碳”
刘亮
当前，全球极端天气现象频发，IPCC(联合国政府间气候变化专门委员会)最新报告显示采取气候行动刻不容缓；新冠疫情冲击更加大了中低收入国家应对气候变化的难度。面对日趋紧迫的气候变化问题，全球气候治理如何破局？发达国家和发展中国家如何增信释疑，更好地携手合作？为什么说“双碳目标”的提出进一步彰显了全球气候治理领域的中国担当？
中新社“东西问·中外对话”近日邀请伦敦政治经济学院格兰瑟姆气候变化与环境研究所所长尼古拉斯·斯特恩勋爵(Lord Nicholas Stern)与中新社记者刘亮就全球气候治理相关话题展开对话。
图为伦敦政治经济学院格兰瑟姆气候变化与环境研究所所长尼古拉斯·斯特恩勋爵(Lord Nicholas Stern)。本人供图尼古拉斯·斯特恩是“从经济学角度看气候变化”的第一人，被誉为“气候经济学之父”。
斯特恩指出，新冠疫情大流行表明，每个国家都面临着传染病、生物多样性丧失和气候变化等全球性威胁，每个国家都应该认识到人类所面临的风险。为更好应对气候变化，发达国家和发展中国家需要加大合作和行动力度。同时，发达国家要尽快兑现其在气候资金上的承诺。
谈及近年来中国的气候治理行动，斯特恩认为，中国在持续加大应对气候变化的行动力度。“双碳”目标的提出则让中国迎来进一步展现气候治理担当的好时机。
对话实录摘编如下：
刘亮：根据《联合国气候变化框架公约》(UNFCCC)，“共同但有区别的责任”是全球气候治理的重要基石。在您看来，各缔约方在气候治理问题上遵循这一原则的重要性何在？
斯特恩：针对“共同但有区别的责任”的原则，1992年的《联合国气候变化框架公约》明确指出，发达国家应该在应对气候变化方面发挥领导作用。因为自工业革命以来，它们对很大一部分的温室气体累积排放负有历史责任，并且也有资金可用于减缓和适应气候变化。我们应该意识到，要实现净零排放并防止全球进一步变暖，所有国家——无论富裕还是贫穷，都需要采取强有力的行动。
需要注意的是，所有国家都将从可持续、有包容性和有弹性的经济转型过程中受益。尽管在最初的框架中，绿色发展被视为一种成本更昂贵的发展模式，但如今，情况已明显有所改善。
刘亮：气候资金是国际应对气候变化的“硬骨头”。此前，发达国家承诺到2020年每年向发展中国家提供1000亿美元的气候资金。但目前距第一笔气候资金仍有较大缺口。您如何看待这一情况？如何更好地完善发达国家与发展中国家之间的气候资金供资机制？
斯特恩：富裕国家未能履行到2020年对发展中国家的财政支持增加到1000亿美元的集体承诺，这是一种背信行为，应尽快纠正。加拿大和德国政府在COP26(《联合国气候变化框架公约》缔约方大会，简称COP)之前制定的交付计划表明，1000亿美元的目标应在2022年或2023年实现。但同样重要的是，较富裕国家当下应与较贫穷国家合作，大幅提升可持续发展领域的投资水平。要做到这点，各方需要更进一步关注融资的组成结构，为投资创造环境，这些将有助于推动发达国家在未来几年更好地兑现其承诺。
刘亮：《巴黎协定》要求建立国家自定贡献(INDC)机制。但目前弥合INDC与温控目标之间的差距仍是谈判的难点。INDC会否动摇UNFCCC“共同但有区别的责任”的基石？在您看来，如何更好地弥合二者间的差距？
斯特恩：《巴黎协定》承诺，所有国家共同将全球气温上升幅度控制在2摄氏度以内，努力将升温控制在1.5摄氏度以内，并在本世纪下半叶实现全球净零排放。同时，科学研究也表明，将温控目标控制在1.5摄氏度以内对气候问题很关键。但目前的“国家自主贡献”与这些目标并不一致，所有国家需要共同努力，进一步彰显承诺的雄心。
刘亮：从《京都议定书》到《巴黎协定》，全球气候治理问题取得里程碑式的突破。在此过程中，中国也发挥了重要推动作用。在您看来，中国过去和现在在气候治理问题上的表现有何不同？这种身份的转变意味着什么？
斯特恩：中国在持续加大应对气候变化的行动力度，尤其在过去几年，中国作出不少承诺。如承诺在2060年之前实现碳中和，并停止为其他国家的燃煤发电站提供资金等。与此同时，中国的作为对其他发展中国家起到的榜样作用也至关重要。
当前，中国迎来了进一步展现自己气候治理担当的好时机。如果中国能在2030年前实现碳达峰，这将使到2060年前实现碳中和的目标变得更容易，也将给中国和世界都带来好处。
刘亮：随着中国“双碳”目标的提出，外界有声音担心地方为了降能耗采取限产等激进措施，进而影响经济稳定增长。对此您如何看？
斯特恩：“双碳”目标的提出有助于中国实现可持续、包容性和弹性的经济增长。
低碳发展和经济发展并不矛盾。追求低碳目标可以以更强、更好的方式推动经济发展。然而，向零碳和气候适应型经济的转型确实需要妥善的管理，确保在转型过程中，要较为公平地处理富人和穷人之间，消费者、企业和政府之间的关系。例如，高碳企业的工人需要接受再培训，并重新分配到新的机构或单位工作等。
能源转型可以推动经济发展和增长，并提供新的发展机遇和就业机会。同时，清洁技术的投资和零碳转型的加速给中国带来了巨大的经济机遇，将进一步提高中国在世界经济中的竞争力。
刘亮：目前距《巴黎协定》的签署已过去5年。面对疫情的暴发，您对气候变化问题是否有不同的看法？后疫情时代，气候治理有哪些问题值得关注？
斯特恩：在过去六年中，气候变化的影响越来越大，并日益影响我们的周遭环境。
我认为，许多国家现在可以看到更可持续、更具包容性和弹性的经济发展和增长模式的吸引力。这场疫情大流行表明，每个国家都面临着传染病、生物多样性丧失和气候变化等全球性威胁。每个国家都应该认识到我们所面临的风险，以及为了走上更可持续的经济发展道路，我们迫切需要扩大相关领域的投资规模。
从投资角度上看，目前，疫后经济复苏的投资是我们实现可持续、有韧性和包容性增长需要的投资方向。
刘亮：去年，COP26已在英国格拉斯哥落下帷幕。您如何评价此次大会取得的进展？这对今年的COP27大会又意味着什么？
斯特恩：COP26取得了许多重大进展，包括中美两国就气候行动合作发表联合声明等。
但我们也知道，提交给COP26的经修订的国家自主贡献与《巴黎协定》的目标仍有差距，富裕国家也未能兑现到2020年每年筹集1000亿美元支持发展中国家气候行动的承诺。
COP26取得的进展应促使各国在2022年底前提交更强有力的减排承诺，并共同制定一项新的气候融资计划，为未来向发展中国家提供更多的资金支持。
（文图：赵筱尘 巫邓炎） [责编：天天中] 阅读剩余全文（）  视觉焦点
大发平台地图 |
)