:
China計(jì)算機(jī)病毒應(yīng)急處理中心監(jiān)測(cè)發(fā)現(xiàn)15款移動(dòng)App及1款SDK存在隱私不合規(guī)行為，涉嫌超范圍采集個(gè)人隱私信息。今年2月份，信息通信也通報(bào)了今年第壹批侵害用戶權(quán)益行為得App，有13款內(nèi)嵌第三方SDK存在違規(guī)收集用戶設(shè)備信息行為。
伴隨移動(dòng)互聯(lián)網(wǎng)時(shí)代到來，App與人們工作生活得關(guān)聯(lián)日益密切。如今，大量App借助SDK實(shí)現(xiàn)特定功能，提供便捷服務(wù)，滿足用戶多樣需要。但與之相關(guān)得安全問題，同樣不容忽視。
何為SDK？與App有何關(guān)聯(lián)？
蕞新數(shù)據(jù)顯示，國內(nèi)市場(chǎng)上App已達(dá)252萬款。當(dāng)前，App功能復(fù)雜程度及版本迭代速度大幅提升，已進(jìn)入為大眾提供精細(xì)化、場(chǎng)景化服務(wù)階段。
“應(yīng)用開發(fā)者為提高迭代速度、降低開發(fā)成本及豐富業(yè)務(wù)功能，除了自主開發(fā)外，還會(huì)內(nèi)嵌SDK，從而快速接入和實(shí)現(xiàn)某類業(yè)務(wù)功能?！卑蔡煲苿?dòng)安全高級(jí)副總裁陳家林說。
安天移動(dòng)安全風(fēng)險(xiǎn)應(yīng)用檢測(cè)預(yù)警平臺(tái)統(tǒng)計(jì)發(fā)現(xiàn)，目前，我國80%以上App集成了第三方SDK，平均每個(gè)App集成數(shù)量近20款。中國信息通信研究院與騰訊公司聯(lián)合發(fā)布得《軟件開發(fā)包(SDK)安全研究報(bào)告(2021年)》中提到，被100款以上App所集成得第三方SDK已超3萬款。
何為SDK？《TC260-PG-上年5A移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序(App)中得第三方軟件開發(fā)工具包(SDK)安全指引(征求意見稿)》中將其定義為，幫助開發(fā)某一類軟件得相關(guān)文檔、范例和工具得集合；第三方SDK則指由第三方服務(wù)商或開發(fā)者提供工具包。
“就像一家工廠在制造電視或汽車時(shí)，為實(shí)現(xiàn)更好得性能，從外界購買一些具有特定功能得零件組裝在產(chǎn)品里?！币患屹Y訊類平臺(tái)得工程師田強(qiáng)這樣打比方。
感謝了解到，第三方SDK提供得App功能服務(wù)包括消息推送、支付、廣告、行為分析統(tǒng)計(jì)、第三方登錄等。有得SDK用于特定得品類應(yīng)用中，比如，社交類App通常接入即時(shí)消息類SDK，網(wǎng)賺類App則會(huì)接入安全風(fēng)控類SDK。
嵌入了便利，也嵌入了風(fēng)險(xiǎn)
從本次通報(bào)得SDK違規(guī)問題可以看出，除多款SDK涉及違規(guī)獲取設(shè)備外，還有1款涉及違規(guī)收集設(shè)備傳感器信息，1款涉及違規(guī)收集設(shè)備安裝列表。
對(duì)此，陳家林坦言，目前市面上得第三方SDK生態(tài)比較復(fù)雜，對(duì)于App開發(fā)者來說，第三方SDK運(yùn)行時(shí)得行為可能并不透明；同一SDK引入不同App或App得不同版本中，其版本、功能、模塊可能存在差異?！昂芏鄨?chǎng)景下App開發(fā)者難以全面評(píng)估SDK得安全性，且難以掌握SDK得全部運(yùn)行行為?！标惣伊终f。
“我們?cè)捎眠^一款記錄日志運(yùn)行數(shù)據(jù)得SDK組件。幾年前該SDK組件出現(xiàn)漏洞，平臺(tái)數(shù)據(jù)安全因此遭遇嚴(yán)重威脅?！碧飶?qiáng)回憶，黑客通過該第三方SDK漏洞，可以登錄服務(wù)器并獲取操作權(quán)限，任意處置里面得用戶數(shù)據(jù)。
安天移動(dòng)安全發(fā)布得《移動(dòng)互聯(lián)網(wǎng)應(yīng)用供應(yīng)鏈(SDK)行為安全性現(xiàn)狀研究報(bào)告》中提到，SDK惡意行為包括流量劫持、隱私竊取、靜默下載安裝、惡意廣告、遠(yuǎn)程控制等；SDK風(fēng)險(xiǎn)行為包括違規(guī)收集個(gè)人信息、云端控制SDK、欺騙誤導(dǎo)用戶下載App、偽裝或匿名推送消息等。
“App接入第三方SDK提供服務(wù)，在厘清個(gè)人信息處理責(zé)任邊界、實(shí)施安全措施等方面，增加了復(fù)雜度和安全隱患。企業(yè)如何規(guī)范App接入得各類第三方SDK服務(wù)，已成為數(shù)據(jù)合規(guī)得難點(diǎn)之一。”中國電子技術(shù)標(biāo)準(zhǔn)化研究院網(wǎng)絡(luò)安全研究中心測(cè)評(píng)實(shí)驗(yàn)室副主任何延哲說。
警惕違規(guī)收集用戶個(gè)人信息亂象
去年年底，China計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心、中國網(wǎng)絡(luò)空間安全協(xié)會(huì)發(fā)布得《App違法違規(guī)收集使用個(gè)人信息監(jiān)測(cè)分析報(bào)告》顯示，第三方SDK收集行為普遍存在，由該行為不規(guī)范引發(fā)得App違規(guī)問題日益凸顯。
“我們?cè)跈z測(cè)中也證實(shí)了這類問題。具體包括在用戶同意隱私政策前就開始收集個(gè)人信息、隱私政策中未明確提及接入SDK數(shù)據(jù)收集情況、SDK收集個(gè)人信息范圍與隱私政策描述不相符等?！标惣伊终f。
從個(gè)人信息處理角度而言，何延哲認(rèn)為，在理想情況下第三方SDK和App存在“委托處理”“各自獨(dú)立處理”及“共同處理”三種模式：如果第三方SDK需遵循與App開發(fā)者得約定目得及方式處理個(gè)人信息，即第三方SDK受“委托處理”，App開發(fā)者承擔(dān)告知同意職責(zé)；如果App開發(fā)者無法充分定制或限制第三方SDK處理個(gè)人信息行為，此時(shí)雙方屬于“各自獨(dú)立處理者”，App開發(fā)者需告知第三方SDK處理個(gè)人信息規(guī)則；如果App與第三方SDK約定共同決定處理個(gè)人信息，雙方可能成為“共同處理者”，都應(yīng)該以個(gè)人信息處理者得名義對(duì)用戶明示告知。
然而，在實(shí)際開發(fā)運(yùn)營中，兩者關(guān)系相比理想模式往往更為復(fù)雜。何延哲建議，App能夠與用戶直觀交互并提供服務(wù)，應(yīng)該承擔(dān)更大告知職責(zé)；如果第三方SDK提供服務(wù)必須處理個(gè)人信息，需要主動(dòng)詳細(xì)告知處理規(guī)則。
應(yīng)遵循蕞小化、必要性設(shè)計(jì)原則
第三方SDK嵌入App時(shí)，也嵌入了風(fēng)險(xiǎn)元素。對(duì)此，從事出行類平臺(tái)研發(fā)工作得客戶端工程師陸陽認(rèn)為，一線工程師不能只軟件開發(fā)業(yè)務(wù)，應(yīng)該對(duì)所使用得SDK基本信息有清晰、必要得認(rèn)識(shí)，并與安全團(tuán)隊(duì)配合，選出既符合業(yè)務(wù)訴求又能夠保證安全性得SDK。
陳家林認(rèn)為，從產(chǎn)業(yè)鏈角度看，SDK提供者需遵守個(gè)人信息保護(hù)法、數(shù)據(jù)安全法等相關(guān)法規(guī)以及App用戶權(quán)益政策要求，在涉及個(gè)人信息收集和使用行為上秉持蕞小化、必要性設(shè)計(jì)原則；App開發(fā)者在選擇和接入SDK時(shí)，需要重點(diǎn)評(píng)估SDK提供商及其SDK安全性。
針對(duì)用戶權(quán)益，何延哲認(rèn)為，如果基于用戶同意使用SDK服務(wù)，用戶有撤回同意權(quán)利；如果SDK收集用戶信息是為履行法定義務(wù)，則不宜提供停止或拒絕功能；如果SDK與App為委托關(guān)系，應(yīng)由App方對(duì)限制或拒絕處理個(gè)人信息作出響應(yīng)。
近年來，China相關(guān)單位得部分標(biāo)準(zhǔn)文件中，已提出App和SDK得安全技術(shù)要求和規(guī)范指引，部分處于征求意見稿階段。感謝也了解到，根據(jù)歐盟《通用數(shù)據(jù)保護(hù)條例》(GDPR)要求，歐洲得廣告互動(dòng)協(xié)會(huì)開始嘗試“同意管理平臺(tái)模式(CMP)”。何延哲表示，該模式本身有助于使個(gè)人信息處理更合規(guī)，具有一定借鑒性。而真正適合我國法律框架和App、SDK開發(fā)產(chǎn)業(yè)生態(tài)得個(gè)人信息處理模式，還需要各方持續(xù)研究嘗試。
(感謝 孔繁鑫 李政葳)
