彩云网客户端下载 - 彩云网返点

【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

历史中的兔子：早在三国时期就用兔毛制笔******

　　从“玉兔捣药”到“小兔子乖乖，把门儿开开”，兔子已经陪人们走过了漫长的岁月。在中国古代，兔子究竟是什么样的存在？2023年新春之际，华西都市报、封面新闻记者邀请中国社会科学院考古研究所科技考古中心副主任吕鹏，聊聊历史中的兔子究竟是什么样的。

　　兔鼠分道扬镳于6200万年前

　　《诗经》已记载兔肉食用方式

　　虽然在大众看来，兔子毛茸茸的很可爱，但吕鹏告诉记者，其实兔子跟鼠之间，有着密切的关系，“从骨骼形态上看，兔(属于兔形目)和鼠(属于啮齿目)都拥有终身生长的门齿，表明兔和鼠之间有着密切的关系，现代分类学创始人林奈在1735年将兔和鼠一起列入啮齿动物。”

　　而它们分道扬镳，是在6200万年前。20世纪70年代，中国科学院古脊椎动物与古人类研究所李传夔先生研究安徽潜山早古新世(距今约6200万年前)地层出土的动物遗存，发现有“安徽模鼠兔”和“东方晓鼠”。其中安徽模鼠兔为兔形类动物的祖先类型，而东方晓鼠接近于啮齿动物的祖先类型，二者在骨骼形态上具有相互交混的特征，这就表明一方面鼠兔同源，另一方面二者至少在6200万年前已经分道扬镳，兔形类和啮齿类动物走上了各自独立演化的道路。

　　吕鹏告诉记者，家兔传入我国的时间较晚。在我国古代，野兔的利用价值主要是在肉食、狩猎宠物、祭祀、药用、皮毛开发等方面。“兔头在四川人的美食版图上不可或缺，成都人称为兔脑壳，”吕鹏说，“其实在中国古代，野兔的主要用途就是肉食来源。”据《诗经·小雅·瓠叶》中记载：“有兔斯首，炮之燔之……有兔斯首，燔之炙之……有兔斯首，燔之炮之”，描绘了西周时期普通人家将捕获的野兔通过炮、燔、炙等加工方式制作成美食待客的情形。所谓“炮”就是将带毛的动物裹上泥放在火上烧；“燔”指的是用火烤熟食物，而“炙”则是熏烤的意思。据《礼记》记载，正式的宴请当备“六牲”作为荤菜，即豕、牛、羊、鸡、鱼、雁，兔子并未列入其中。虽然只备了兔肉，但主人换了三种不同的烹饪方式，可见其用心。

　　但在中国古代也有另一种说法，那就是孕妇不能食兔肉。东汉《论衡·命义篇》中有过记载：“妊妇食兔，子生缺唇”。“当然这是没有科学根据的迷信说法。”吕鹏解释道。除此之外，兔毛皮保暖性能好、不易缠结，可用以制裘，兔皮可以熬胶，兔毛还可以用来做兔毫毛笔。明代《齐民要术》中转录三国时期韦诞的《笔方》中有写“先次以铁梳兔毫及羊青毛”，可见用兔毛制笔的历史可以早到三国时期。

　　古人曾以活兔陪葬

　　新石器时代就有兔形玉器

　　在文物里，也有不少以兔为题材或者是兔子形象的文物。仅是故宫博物院，就有商代的玉兔、汉代的兔猴铜带钩、唐代的瓷兔、宋代的三彩剔划花兔纹枕、元代的白玉兔形佩、明代的双兔图页等藏品。

　　“按照文物材质来看，在玉石材质文物、陶质文物、青铜器和画像石中常见兔的形象。”吕鹏告诉记者。以距今5300年左右新石器时代的安徽含山凌家滩遗址为例，在此墓地M10中出土有玉兔饰1件，是迄今为止发现年代最早的兔形玉器。

　　山西曲村晋侯墓地8号墓出土的青铜兔尊，则是目前发现最早的、以兔作为尊的青铜器。兔头微伸，呈跃跃欲试状，背上驮一尊口，兔身两侧饰圆形的火纹和雷纹。

　　而在山东嘉祥宋山4号祠堂东壁的东汉画像石中的兔子，则可以代表世俗和神话中两种不同的“兔”形象。吕鹏说：“在画像的上侧，东王公居中，马头、鸡头、狗头带翼神人跪于左右两侧；在画像左侧有面对面站立的两兔，分别用一只前肢扶臼，一只前肢握杵，似在捣药；在画像的下侧，厨房的房梁上悬挂着鱼、鸡、猪头、猪和兔等，这些都是准备烹饪的肉食。”

　　“山东济南洛庄汉墓的陪葬坑，是目前出土动物数量最多、种类最丰富的遗存。”吕鹏说，洛庄汉墓是西汉诸侯王级别的墓，编号为34号的大型动物陪葬坑中出土动物遗存共有110余具，动物种属包括绵羊、猪、狗、兔等4种。其中，兔有45只。

　　吕鹏告诉记者，在这其中比较特别的是，该坑放置了两个兔笼。西侧木笼保存较好，长度1.8米，宽度0.47米，笼中发现多只完整兔骨，“根据笼中兔骨凌乱、笼外可能为外逃之兔的考古现象推测，当时陪葬的是活兔。”(华西都市报-封面新闻记者 刘可欣)

　　(来源：华西都市报 2023年1月29日 A12版)

　　（文图：赵筱尘 巫邓炎）