点击右上角
微信好友
朋友圈
请使用浏览器分享功能进行分享
【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
挖掘机“舞”起来！各地“拼开工”，经济发展添活力******
中新网2月4日电(中新财经记者 谢艺观)挖掘机铁臂高举，装载车来回穿梭，脚手架上焊光闪耀，施工人员紧张而有序地忙碌着……
春节假期结束，全国多地一大批重大项目集中开工，一幅幅热火朝天的施工场景，为地区经济发展注入活力。
1月31日，武汉市2023年一季度重大项目集中开工活动现场。周钢 摄各地“拼开工”，全力以赴冲刺开门红
兔年开工第一周，最忙的地方可能要数全国各地的施工现场了。为实现一季度经济“开门红”，各地加足马力。中新财经记者注意到，近日，河南、陕西、云南等多地重点项目集中开工，吹响加速建设的“集结号”。
1月28日，春节假期后首日，河南省就迎来第七期“三个一批”项目建设活动，数千个项目集中签约、开工、投产，其中，仅开工项目就达1271个，总投资1.6万亿元。
同日，陕西省第一季度795个重点项目开工，总投资5646亿元，年度投资2285亿元；云南省举行了2023年一季度重大产业项目调度暨开工推进会，今年一季度计划开工项目675个，总投资1973亿元，年度计划投资764亿元。
在河北雄安新区，北京大兴国际机场到雄安新区的“轨道交通大动脉”建设正加紧进行。1月28日，雄安新区举行2023年一季度重点项目集中开工活动，开工项目共43个，总投资416亿元。
1月31日，武汉市2023年一季度重大项目集中开工活动举行，共有305个亿元以上重大项目参与集中开工，总投资3020亿元，涵盖了先进制造、现代服务、基础设施、民生改善和生态环保等重点领域。
“推动经济稳定增长的各个动力或要素中，最重要的就是消费投资。而在投资领域，相关项目的开工建设问题尤为重要。”中国人民大学中国资本市场研究院联席院长赵锡军向中新财经记者表示。
1月28日，雄安新区2023年一季度重点项目集中开工活动现场。 刘向阳 摄“从目前情况看，各地行动都较为迅速，纷纷启动相关投资项目，这也体现了地方推动经济稳定增长的决心。”赵锡军认为，只要这种行动能够持续，不断取得成效，对今年经济的总体恢复增长，具有非常重要的作用。
多地定下年度投资“目标”，新基建成重点
多地重点项目集中开工，同时，部分省市还公布了2023年全年重点项目投资情况。
如，广东今年将安排省重点建设项目1530个，总投资约8.4万亿元，年度计划投资1万亿元；福建确定2023年度省重点项目1580个，总投资4.09万亿元，年度计划投资6480亿元。
从近期各地集中开工项目以及披露的年度重大项目清单看，5G、特高压、城际高速公路、大数据中心等新基建成为投资重点之一。
除了公布重点项目投资计划，多地也针对2023年投资设定了“小目标”。
GDP总量连续34年居全国首位的广东，近日明确了“确保全年固定资产投资增长8%，基础设施投资和工业投资实现两位数以上增长”的目标。
上海市发改委副主任阮青1月29日在发布会上表示，综合考虑重大项目安排及资金要素等保障，将全年固定资产投资目标设定为增长5%左右，总规模将迈上1万亿元的新台阶。
被称为“最强地级市”的苏州，2023年也将目标设定为“固定资产投资增长5%左右”。
中国宏观经济研究院投资研究所综合室副主任杜月认为，发挥好投资的关键作用，有利于从提升供给体系质量和效率和扩大当期需求两个方面共同发力，推动经济运行整体好转，实现质的有效提升和量的合理增长。
1月29日，福建福州，中铁工人在滨海快线施工工地作业。王东明 摄“真金白银”安排上，确保项目顺利开展
推进重要投资项目的落地落实，发挥有效投资在高质量发展中的关键作用，需要“真金白银”的支持。
国家发改委日前表示，国家层面，春节前后将集中下达一批中央预算内投资，支持新型基础设施领域重大项目建设。
国家发改委还提到，坚持“资金、要素跟着项目走”，继续用足用好推进有效投资重要项目协调机制的经验做法，统筹用好中央预算内投资、地方政府专项债券、政策性开发性金融工具、结构性货币政策工具、制造业中长期贷款等资金，强化要素保障。
争取资金支持，扩大有效投资，各地也在行动。
广东省发改委主任艾学峰近日在发布会上表示，将积极推动一批项目新增纳入国家相关规划和方案盘子，争取国家政策资金用地等支持，力争今年国家基于广东专项债额度超过去年。
近日，上海市政府印发的《上海市提信心扩需求稳增长促发展行动方案》中提到，用好国家政策性开发性金融工具(基金)、专项债券、制造业中长期贷款、基础设施REITs等扩大投资政策和工具，加快2023年地方政府专项债券发行和使用，做好重点项目储备和申报工作。
在赵锡军看来，投资项目在建设期间，除了设计规划、可行性研究等前期工作外，真正操作时很重要的一点就是资金安排。“只有资金到位，项目才能顺利开展，形成有效的实物工作量。”
“因此，项目开始实施的时候，保证项目资金能够持续不断地供应，是地方政府和项目实施者一个很重要的工作。”赵锡军称，就目前来看，在资金安排上，中央和各相关部门有各种政策支持，地方政府也会根据项目的特点、规模等，确定相关资金的供应方案和相应的一些安排。
近期，多地披露2023年预算报告。数据显示，多地2023年提前批专项债限额相比2022年有所增加。如，河北省预算报告显示，2023年提前批专项债额度为1286亿，相比去年增长73.8%。
赵锡军表示：“在当下，一个筹措资金的重要渠道就是通过债券市场发行债券，为重点项目的顺利推进提供资金保障。目前各地对于发行地方政府专项债，筹措资金支持地方重点项目，均非常重视。”(完)
（文图：赵筱尘 巫邓炎） [责编：天天中] 阅读剩余全文（）  视觉焦点
大发平台地图 |
)