现如今,大量App借助SDK实现特定功能,提供便捷服务,满足用户多样需要,但APP使用SDK也可能带来相关安全问题,包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中,SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性,对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同,恶意劫持App流量,可能对App造成损害;隐私窃取指SDK在用户不知情或误导用户的情况下,隐蔽窃取用户的通讯录、短信息等个人敏感信息,隐蔽进行拍照、录音等敏感行为,并发送给恶意开发者;广告刷量指SDK在最终用户不知情的情况下,在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面,安天移动安全发现,应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中,包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外,当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现,其主要提供用户行为统计功能,并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同,因此对其在不同月活范围 App 中的数据收集行为进行抽样分析,从结果上来看,该SDK 普遍存在违规收集和超范围收集个人信息的问题,并且在月活较低的 App 接入的版本中,还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况,并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例,在相关检测中发现,在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外,还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序(App)收集个人信息基本要求》中明确定义了不同业务场景下,应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中,收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围,但其合理性和必要性存疑,例如收集个人信息范围为软件安装列表,但实际除了收集安装应用包名信息外,还收集了安装应用运行状态信息等,这就涉及超范围收集个人信息。
例如,某统计类 SDK除了应用开发者本身主动调用相关事件接口外,SDK自身还注册监听了多种广播消息,在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听,除此以外,还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外,当前 App 接入的 SDK 中还存在云端控制SDK行为,热更新技术控制 SDK 行为,后台拉活、自动下载安装、误触下载等风险行为。
(监制:张宁 策划:李政葳 制作:黎梦竹)
这个特别的日子普京单膝跪地,致辞释放三大讯息******
中新网2月3日电 (记者 孟湘君)纪念碑前敬献花圈并默哀,音乐会上发表致辞,会见爱国与青年组织代表……
日前,以这样的方式,俄罗斯总统普京表达了对斯大林格勒保卫战胜利80周年的纪念。
距普京下令俄军对乌克兰展开特别军事行动满一年,只有20多天了。在这样一个战争历史和现实考验交织的特殊时刻,普京的一举一动,自然让西方媒体高度关注。它们希望搞清楚,普京究竟释放了一些什么样的重要讯息。
第一个讯息:不要忘了历史教训
2023年2月2日,普京前往曾经的斯大林格勒,追忆战争岁月。那里在20世纪60年代,更名为伏尔加格勒。
伏尔加格勒的马马耶夫山岗上,矗立着“祖国之母”巨型雕像,陈设着有长明火的荣军殿。普京步入荣军殿献花,并默哀一分钟,缅怀当年的阵亡将士。
其后,普京前往斯大林格勒战役主力战将崔可夫墓前,单膝跪地,献上鲜花。
“我们在此庆祝我国乃至全世界历史上一个最具决定性的重要日子。”
“80年前,在斯大林格勒这片土地上,在伟大的俄罗斯伏尔加河河畔,万恶、无情的敌人被永远赶了回去。”
“漫长、艰苦、激烈的斯大林格勒保卫战”已经结束。
在纪念斯大林格勒保卫战胜利80周年音乐会上,普京的致辞,勾起了俄民众对当年那场残酷战役的回忆。
1942年7月17日开始,次年2月2日结束的斯大林格勒战役,是苏联军队在约10万平方公里区域内与德国法西斯的激烈交战,双方数百万人陆续参战,以苏联获胜告终。
这场战役,因规模、持续时间和参与人数等,被评为二战期间最大战役之一,伤亡人数也创下纪录。俄罗斯卫星通讯社统计显示,纳粹德国损失约150 万人,苏联方面损失约113万人。路透社评价,这是二战“最血腥的战役之一”。
“普京在提醒世界,不要忘了战争残酷的过往”,评论指出,这是他发出的一个讯息,意在提醒和告诫西方一些人,二战的教训应一直被铭记下去。
第二个讯息:不怕西方援乌,俄有后手
不过,引起更多关注的,是普京的另一番话。他在致辞中特别指出,“这件事难以置信,却是事实——我们再次受到带十字的德国豹式坦克的威胁”。
他将此举形容为“现代面目的纳粹主义”,并进一步指出,有人“正将德国拖入新一场与俄罗斯的战争”,“我们一次次被迫击退西方集体的入侵。”
十字标记、德国坦克、纳粹主义……普京点明的这些元素有何含义,以及推动德国松口向乌提供进攻性武器的是谁,再清楚不过了。
1月25日,德国政府宣布,决定为乌克兰组建两个坦克营,第一阶段从联邦国防军库存中,抽调14辆豹2A6坦克交予乌方。
对于西方国家对乌供武问题,普京的态度早已摆在桌面上。俄外长拉夫罗夫指出,任何包含乌武器的物资,都将成为俄方“合法打击目标”。普京此次就强烈警告称,“我们有能拿来回应的,事情不是用上装甲车就能结束的”。
至于拿什么来回应,普京没有明说。但无疑,这是在向西方国家隔空喊话:你们的意图我清楚;事情还没结束;俄罗斯还有后手。总之,“走着瞧”。
俄国家杜马主席沃洛金则更直白地放话称,德国派出与俄作战的坦克将面临和80年前德国法西斯坦克一样的命运,那就是被烧毁。
德国联邦国防军退役中校罗斯也对俄卫星通讯社分析,德国对乌克兰这种供武举动,是为保持乌军作战能力和士气“不会彻底崩溃”。
因为其一,耗时间。
罗斯指出,按北约标准训练坦克手操作坦克,至少需一年,坦克本身要按应对乌战事条件的准备交付,也需时间。
其二,数量少。
这一批德国供应的坦克数量为14辆,罗斯不认为用区区14辆坦克,就能扭转战事局面。
其三,耗资源。
他表示,考虑到俄空军正有目的地销毁乌能源基础设施,而德国“豹式坦克消耗的燃料不少,乌军将“遇到麻烦”。
何况,俄军在带自动制导、侦察无人机的反坦克导弹系统帮助下,很容易将德国坦克作为目标瞄准。
罗斯反问道:“除心理影响外,目前的(坦克)交付还能带来什么样的战术价值?”
第三个讯息:新的有生力量、新的动向
在斯大林格勒保卫战胜利80周年纪念日之际,普京还会见了俄罗斯社会爱国与青年组织代表,并发表讲话。
“需要生活在当下并向前看,但是不了解过去就没有未来”,“没有过去记忆的人民不会有未来”,他对参与会见的代表们说道。
普京同时表示,“所有这一切都是我们珍视的,发展和前进的基础”,“我们的首要任务是保护俄罗斯,为其继续发展和强大创造条件”。
当年参与斯大林格勒战役的,不少是十多岁、二十多岁的年轻人,而一项全俄社会舆论研究中心的调查曾显示,超过30%的俄罗斯年轻人对这段沉痛的历史,知之甚少。
有分析认为,普京选择在纪念日之际与爱国与青年组织会谈,一方面是表达历史需要当代青年加深认识和传承,一方面也是为俄在乌军事行动的大规模动员造势,培养新的有生力量以弥补战场损失。
1月时,俄国家杜马国防委员会主席卡尔塔波罗夫曾表示,该国2023年春季征兵时,可能将年龄条件放宽至30岁以下。
按乌防长列兹尼科夫的说法,俄方已动员多达“50万名士兵”,尝试在2月24日对乌行动满一年之际,发动“新的重大攻势”。
列兹尼科夫称,莫斯科准备以此“纪念”俄在乌开展特别军事行动满一年。而俄方并未置评。至于新“攻势”何时到来,乌克兰局势会不会就此迎来重大转折,或许不久就能知晓。(完)
(文图:赵筱尘 巫邓炎) [责编:天天中] 阅读剩余全文() ![]() 信誉快3地图 |