佰家富app论坛_佰家富app代理

【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

几十吨的“胖子”如何“接吻”？太空“红娘锁”今年迎“多场考试”******

　　中新网上海5月10日电 题：几十吨的“胖子”如何“接吻”？太空“红娘锁”今年迎“多场考试”

　　作者 郑莹莹 马帅莎

　　北京时间5月10日凌晨，“快递小哥”天舟四号货运飞船出发了。几个小时后，它抵达目的地，与在轨运行的中国空间站组合体进行快速交会对接。从“发货”到“签收成功”，“天舟四号”仅花了约6.5个小时。

　　“从视频里看，我们感觉对接过程是一瞬间完成的，实际上，这整个过程包含了接触、捕获、拉回、锁紧、密封等一系列动作，从对接准备指令发出，到对接锁紧完成，10多个动作一气呵成。”中国航天科技集团八院载人航天工程载人飞船、货运飞船系统副总指挥顾侧峰介绍说。

　　中国是继美、俄之后，世界上第三个独立掌握交会对接技术的国家。只有突破交会对接技术，才能开展空间站的组装建造，提供物资运送对接、人员天地往返等。交会对接，是两个航天器在空间轨道上会合，并在结构上连成一个整体的技术，被称为“太空之吻”，交会对接所使用的对接机构则被称为“红娘锁”。

　　从2011年“神舟八号”与“天宫一号”的“太空初吻”开始，中国已成功实现19次精准对接，为中国空间站建造奠定技术基础。

　　几十吨的“胖子”如何“接吻”？

　　作为对接机构的研制单位，中国航天科技集团八院表示，2022年，对接机构将迎来一场“大考”。在“天舟四号”成功与空间站组合体交会对接后，中国空间站还将迎来神舟十四号，问天、梦天两个实验舱等飞行任务，特别是两个实验舱各自与天和核心舱的对接过程，将是对接机构的重量级“太空接吻考试”。

　　面对数十吨级的实验舱，对接机构需要确保对得准、对得稳。而其实早在对接机构设计之初，中国航天科技集团八院805所的对接机构分系统设计师们就充分考虑到了未来空间站建造的需求：对接机构需要适应8吨至180吨之间的各种吨位的对接，以及各种方式的对接，包括偏心对接。

　　为了让两个重量级的航天器在“太空接吻”时可以轻盈、优雅，设计师们系统性地提出了可控阻尼的控制思路，可以有效缓冲对接机构捕获后产生的巨大撞击能量。

　　“红娘锁”成“太空连廊”

　　问天、梦天两个实验舱发射后，经状态调整和转位，将长期“停泊”于中国空间站，成为航天员在空间站工作、生活的主要场所。而此时的对接机构，就是航天员往返于工作、生活区的重要通道。

　　为了将三个舱段(问天、梦天两个实验舱以及天和核心舱)长期、紧密地固定在一起，对接机构必须锁得牢、锁得紧。此时，对接机构上的12把对接锁起到了关键作用。

　　据透露，在后续实验舱的对接任务中，对接机构上的12把对接锁将与天和核心舱的对接机构共同完成锁紧工作，并让其处于自锁状态，以防止外力作用下的非正常解锁。同时，在锁紧的过程中，对接机构对接框面的密封圈将被压紧，以形成密封的连接通道，为航天员在空间站的工作、生活提供一个安全的环境。(完)

　　（文图：赵筱尘 巫邓炎）