【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

法澳联合声明插手台海问题 专家：会进一步加剧地区形势复杂性******

　　【环球时报驻法国、澳大利亚特派、特约记者 于超凡 达乔 环球时报报道 记者赵霜 张晗】澳大利亚与法国“2+2”部长级会谈1月31日发表联合声明，表示两国将共同为乌克兰提供数千发155毫米口径炮弹。同时，联合声明提到法澳在印太地区的合作，并将台海问题列入其中。接受《环球时报》记者采访的专家认为，法澳联合声明中涉中国表述的增加，是对美国盟友身份的再次宣示。在美国因素和乌克兰危机的影响下，法澳两国试图作为“印太地区的重要国家”在安全领域发挥影响，应该以促进区域合作、维护地区稳定为目标，硬扯上台海局势对两国及地区而言都是有害无益。

　　据路透社1月31日报道，正在法国访问的澳大利亚副总理兼国防部长马尔斯和外交部长黄英贤与法国国防部长勒科尔尼及外交部长科隆纳举行了“2+2”部长级会谈。除了重点探讨的法澳联合生产“数千发”155毫米炮弹，印太地区防务合作也是主要议题之一。澳大利亚国防部长马尔斯表示，“(法澳)双边关系正在升温”，期待两国国防军事伙伴关系更加深入，在印太地区进行更多的联合演习和军事合作。法国近年来一直谋求通过与地区国家合作来加强其在印太地区的军事存在。

　　澳大利亚《时代报》报道称，马尔斯提出法国是澳大利亚在太平洋地区最近的邻国之一，法国海外领地法属新喀里多尼亚和澳大利亚诺福克岛之间的距离不到700公里。他说：“法国是印太地区的自由民主国家，它拥有一个由全球规则秩序管理的全球愿景。”“从这个意义上说，作为我们最亲密的邻国，法国确实处于澳大利亚与世界上任何国家之间关系的最顶端。”

　　不过，澳媒称，两国在国防合作上仍存在分歧。法国仍寄希望在澳大利亚从英美获得核潜艇前能够向澳出口常规动力潜艇。对此，马尔斯给出了否定的答案。

　　在会后发布的联合声明中，双方在对乌军援、生态转型、军事合作等方面达成一致。除此之外，声明大篇幅谈到法澳在印太地区的合作，包括供应链安全、海上安全、气候变化等领域，以及重申支持东盟的中心地位和东盟主导的区域架构。此外，声明还在“印太地区”部分罕见地谈及台海问题，强调台海和平与稳定的重要性，呼吁在不使用武力或胁迫的情况下，通过对话和平解决两岸问题；重申共同反对单方面改变现状；承诺共同努力支持台湾有意义地参与“国家资格不是先决条件”的国际组织的工作；重申继续深化与台湾在经济、科学、贸易、技术和文化领域的关系。

　　此外，声明还写道：“部长们认识到，在应对气候变化、保护生物多样性、粮食安全和减免最脆弱国家的债务等共同关心的全球问题上，与中国继续合作至关重要。”

　　华东师范大学澳大利亚研究中心主任陈弘1月31日接受《环球时报》记者采访时表示，法澳联合声明此次对中国相关问题的表述与以往相比有所增加，增加的内容与美西方营造的舆论相同，相当于按照美国的剧本宣示自己的立场。然而，澳大利亚虽然有它的利益关切或战略考虑，但不能有损于中国的核心利益。

　　陈弘说，美国在推出“印太战略”后，一直希望将欧洲的力量引入印太地区，作为该地区重要国家的澳大利亚起到了跳板作用。他举例说，马尔斯接下来要去美国，黄英贤也有其他欧洲行程，在这期间，除了乌克兰问题，另一重点就是将欧洲一些力量引入印太地区。

　　中国国际问题研究院欧洲所所长崔洪建告诉《环球时报》记者，从双边的角度来讲，法国和澳大利亚希望通过此次“2+2”部长级会谈进一步缓和受“奥库斯”影响的双边关系；从法国方面来说，则期望通过加强和澳大利亚的关系来推进它的“印太战略”。在该背景下，法澳联合声明谈到台湾问题，是要表示对台海局势的关注。在这一点上，法国和澳大利亚都受到美国、乌克兰危机的影响，两国认为，作为印太地区的重要国家，他们需要保持对该地区安全的影响力。

　　不过，崔洪建强调，法国以及一些推出了“印太战略”的国家要搞协调但不能拿所谓“台海紧张局势”当借口。在涉台问题上不负责任的表态不仅会给这些国家的对华关系造成干扰，还会进一步加剧地区形势的复杂性。（环球时报）