【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
一片茶叶 从安溪走向世界******
安溪，地处闽南金三角泉州、厦门、漳州中间结合部，是中国乌龙茶之乡。“从宋元时期开始，只要船能到的地方，就有安溪的茶。”谈到安溪茶的发展历史，魏月德自豪地说道。
茶农正在茶园采摘茶叶（受访者供图）
作为海上丝绸之路上的常客，中国茶一直是对外重要的中国符号。而安溪铁观音作为乌龙茶中最为璀璨的一颗明珠，也一直在世界的舞台上展示着其独有的魅力。
“安溪县的产茶历史始于唐朝，宋元时期安溪茶叶作为重要的外销商品，通过海上丝绸之路走向世界。至明代中叶，安溪全县已经大面积种植茶叶。清朝雍正年间发现了安溪铁观音这一珍稀茶树品种，20世纪初，安溪铁观音成为畅销东南亚的‘侨销茶’。侨居东南亚各国的安溪人，积极行销家乡的乌龙茶，倡导饮用家乡的乌龙茶。”魏月德介绍。
铁观音母树前的石碑（受访者供图）
七泡有余香，独具观音韵。原产于福建省泉州市安溪县的铁观音，已有300多年的历史。在这里有一个关于铁观音的美丽传说：300年前，魏月德的祖先魏荫发现一株破石而出的茶树，便将此茶树在打石坑压苗繁殖，日后成为了中国最有名的茶之一。
今年5月20日，安溪铁观音茶文化系统被联合国认定为全球重要农业文化遗产。11月29日，在包含铁观音制作技艺的“中国传统制茶技艺及其相关习俗”被列入联合国教科文组织人类非物质文化遗产代表作名录。传承了300多年的铁观音，如今还在继续发挥属于它的活力，护佑着所有安溪人民，如今安溪铁观音也已成长为安溪的民生产业和富民产业。
魏月德在进行制作工艺中的摇青步骤（受访者供图）
“在我们安溪全县茶园面积有60万亩，年产量6.2万吨，涉茶总产值250亿元。安溪茶叶出口日本、东南亚、欧盟等63个国家和地区。很多茶农因茶脱贫，因茶致富。农民纯收入的50%以上来自于茶产业。在我们安溪，茶承载了百万茶乡人的富裕之梦。”今年59岁的魏月德已经与茶打了44年交道了。
从刚开始接触茶时的不喜欢到喜欢到热爱，再到现在肩负传承的使命，魏月德很是感慨。2008年，魏月德被评为国家级非物质文化遗产乌龙茶制作技艺铁观音制作技艺代表性传承人。他也开始把越来越多的精力用在传播铁观音制作技艺和文化上。
魏月德在进行制作工艺中的凉青步骤（受访者供图）
“我的一生，只做一件事情，就是铁观音。”为了做好这件事，魏月德用了15年的时间编制出版了《铁观音秘笈》。“我请县文史馆的一个专家帮忙执笔，我口述，他来写。我把祖辈留下来的技艺，和自己半辈子摸索出来的经验，都写到了这本书里。”魏月德用了15年的时间编制出版了《铁观音秘笈》。
除此以外，他还出版《铁观音的前世今生》《魏荫与铁观音》和《魏荫铁观音探源》等著作，为安溪铁观音制作技艺的传承与研究作了不懈努力。
“我不希望铁观音技艺只藏在一个家族的‘秘笈’里，它应该传播向全世界。物质是需要用文字去进行保留的，一个人的保存是会失传的。一个好的东西，要让大家能够分享，能够保存。”魏月德说。对学茶、做茶、爱茶的人，魏月德一向来者不拒，几十年来，徒弟已有数百个，学有所成出师者数名。
魏月德说：“我永远都是一名安溪铁观音茶文化推广的志愿者。只要学茶的人还在，铁观音传统制作技艺的传承就不会中断。”如今，那颗300年的母树依然枝繁叶茂，铁观音茶树也早已遍布全国各地，更从中国走向了世界……（岳沛 靳铃涵）
