【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
【科普中国智惠农民】揭开青塘粽子的致富“秘方”******
编者按：潺潺湫水河，青青芦苇荡，特殊的地理环境和历史文脉，铸就了前青塘村独特的风俗人情。根据《全国“一村一品”示范村镇认定监测管理办法（试行）》规定，农业农村部对已认定的全国“一村一品”示范村镇运行情况进行定期监测。监测数据经专家审核，初步确定全国乡村特色产业超十亿元镇超亿元村505个，山西省吕梁市临县安业乡前青塘村凭借“粽子”跻身榜单。前青塘村的“小粽子”到底有什么过人之处？粽子如何成为前青塘村的“大产业”？科普中国智惠农民本期《新农人致富路》栏目邀请到山西青塘食品有限公司董事长张侯文，请他来说说小产业如何“粽”出大幸福。
据《临县志》记载，从700多年前的元代起，前青塘村就开始种植粽叶、制作粽子，是远近闻名的粽子村。青塘粽子第八代非物质文化传承人、山西青塘食品有限公司董事长张侯文介绍，当时前青塘村里有一个寺院叫奉天寺，到了端午节，寺内的僧人就煮着吃粽子，村民们闻到了扑面而来的香气，顺着香气便寻到了粽子。此后，奉天寺把粽子的制作工艺流传到了前青塘村。
张侯文介绍，他的祖上继承了青塘粽子的工艺古法，父亲常常在临县范围内卖着粽子，但是一个端午节卖个十来天，只能挣些生活费。守着“金饭碗”，他决心要把产业做大。2011年，张侯文创办了一个“小作坊”，这成为了他事业的起步。2013年，通过引入抽真空、高温灭菌等现代技术，解决了粽子保质期的问题，用现代科技给粽子“安上了翅膀”。自此，青塘粽子销得更远，名声更大。
青塘粽子的礼盒包装背后，还有一段温情故事。张侯文介绍，包装上面的照片画的就是张侯文一家老少。“这是我爸我妈、我家姑娘、我外甥。这是2016年，我父母教孩子们包粽子的场景。”他认为，这样的照片背后，代表了一种传承，是老一代传给新一代手工技艺的传承。
在青塘粽子的包装上，还隐藏着一份设计理念。张侯文介绍，“三座山”，一座绿的、一座黄的、一座半绿半黄的。“绿色是指江米粽，寓意是绿水青山；黄色是指黄米粽，寓意是丰收；一半黄一半绿的是指两米粽，寓意是‘黄金搭档’。三座山合起来以后，组成一个元宝形状。在端午节期间用它馈赠亲友，寓意着送金银、送元宝、送财富。”张侯文介绍。
“坚持老传统，还原老味道，”是张侯文一直坚持的原则。“我们要把老一辈留下来的传统手工技艺和独特味道，让它一直延续下去，这就是青塘粽子在坚持的事业。”青塘粽子的制作工艺，每一道程序都是手工传承下来的。“几百年前怎么做，现在还是怎么做。”张侯文解释道。
先将米泡好、软化，将粽叶清洗、煮沸，便进入包制环节。在每一个粽子的头尖上，放一颗蜜枣，盖一部分米，中间再放两颗蜜枣，上面再盖一部分米，用粽叶合起来将其包裹，最后用马莲绳捆扎起来，便进入煮制环节。
煮制的时候，粽子必须尖对尾、尾对尖，一个一个摆放整齐入锅，拿篦子盖上，用重物压住。使粽子在煮的过程当中不被“翻腾”，避免米膨胀。煮制是最关键的环节，粽子好不好吃，全在火候。青塘粽子的煮制，要经过温火、小火、急火，急火、闷，整整10个小时。在10个小时的过程当中，火候要变4次，最终才能达到粽叶香、米香、马莲香、枣香四味融于一体。
一颗小小的青塘粽子，集合了山西省临县前青塘村农产品的“精华”，也承载了张侯文工匠家族祖祖辈辈的心血。现如今，前青塘村先后被评为“中国历史文化名村”“中国传统村落”“中国美丽休闲乡村”、中国“一村一品”示范村（粽子）、山西乡村旅游示范村。2021年，村集体经济收入首次突破百万元达到128万元，旅游收入达到600万元，村民人均收入首次突破10000元大关。
张侯文告诉记者，他的目标是要把前青塘村打造成“南有嘉兴、北有青塘”的中国北方粽子生产基地、中国特色古村落旅游胜地、山西名副其实的乡村振兴示范村和吕梁山上美丽宜居第一村。（记者/焦子原 武玥彤 支持单位/临县科协）
