55世纪_55世纪

【动画】@App开发者们，你想了解的SDK安全风险都在这 ！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App ，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能 ，提供便捷服务 ，满足用户多样需要 ，但APP使用SDK也可能带来相关安全问题 ，包括SDK自身安全漏洞 、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中 的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性 ，对用户权益 、数据等方面造成严重威胁 。典型的恶意行为如流量劫持 、资费消耗 、隐私窃取等 。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取 、上报和展示目标App提供者设定 的目标不同，恶意劫持App流量，可能对App造成损害 ；隐私窃取指SDK在用户不知情或误导用户 的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情 的情况下，在后台模拟人工点击广告链接进行牟利 。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍 。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入 的SDK和数据收集情况、SDK收集 的个人信息范围与隐私政策不相符等 。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现 ，其主要提供用户行为统计功能 ，并在此过程中实现用户终端数据 的收集和上传 。

　　由于该SDK 在不同App中存在模块代码和版本 的不同 ，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低 的 App 接入 的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围 的情况 ，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集 的个人信息类型为设备信息和 Wi-Fi 地址 。而实际上传 的数据中除了包含 WiFi  的BSSID名称信息外，还频繁上传用户安装应用 的列表信息 。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下 ，应用收集个人信息范围的最小化原则。而在应用接入 的 SDK 中 ，收集个人信息范围 、频度的必要性和最小化原则同样适用于SDK 的功能业务场景 。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围 ，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外 ，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息 。

　　例如 ，某统计类 SDK除了应用开发者本身主动调用相关事件接口外 ，SDK自身还注册监听了多种广播消息 ，在监听到相关消息后则会触发数据 的收集和上传行为 。例如对解锁屏、电源连接断开事件进行监听 、对用户终端安装、卸载应用行为进行监听 ，除此以外 ，还会监听应用前台 、后台 的切换行为从而触发数据 的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为 ，热更新技术控制 SDK 行为，后台拉活 、自动下载安装、误触下载等风险行为 。

　　（监制 ：张宁 策划 ：李政葳 制作 ：黎梦竹）

长扬科技完成F轮共计近3亿元战略融资******

　　近日，长扬科技完成F2轮战略融资，F轮融资合计近3亿元。据了解，本轮融资由曦域资本领投 ，景泰投资跟投 ，安澜新扬成为新 的投资方。本轮融资将主要用于长扬科技核心技术创新以及相关研发基础设施建设等 。

　　长扬科技成立于2017年 ，国有资本占比近50%。作为中国工业互联网安全 、工控网络安全 、工业互联网+安全生产领域的领军企业，长扬科技被评为国家高新技术企业和国家专精特新“小巨人”企业。在产业数字化 、双碳等政策背景下 ，长扬科技凭借突出 的综合实力和前景优势 ，不断获得市场和资本青睐，去年以来 ，相继完成完成D轮 、E轮和F1轮战略融资。

　　长扬科技团队核心成员 是工业互联网安全事业 的早期践行者，技术专家为国内工业互联网安全、工控网络安全政策文件制定工作的行业领头人 ，技术研发人员总人数占比企业总人数达75%以上 ， 是目前国内工业互联网安全、工控网络安全 、“工业互联网安全+安全生产”行业中坚技术力量。凭借扎实 的技术积累和行业先发优势，长扬科技申请获得专利 、软著百余项，牵头或参与国标 、行标和团标等技术 、服务类标准建设百余项 ；自主打造12大系列50余款产品 ，全部完成国产化互认证 ，构建集团级工业网络安全保障体系 ，实现对国家关键信息基础设施的全生命周期安全管理 。

　　长扬科技董事长姜海昆表示，随着新一代信息技术与各行各业 的深度融合，我国产业结构也在不断优化 ，全面数字化转型正在迎来快速发展期。在数字化推动生产 、生活方式深刻变革 、提高经济效益的同时，生产制造领域 的全要素 、全产业链 、全价值链的全面连接 、互联互通也对安全提出了更高要求 。在这一新时代背景下 、长扬科技始终秉持护航国家安全 的初心使命 ，贯彻总体国家安全观和国家网络强国战略，不断强化工业领域网络安全技术能力，更好地赋能传统产业转型升级，为国家数字经济发展和新型基础设施建设贡献安全力量 。

　　长扬科技总裁范宇表示 ，长扬科技在国家制造强国战略、网络强国战略的指引下，通过深扎行业市场 ，优化了原有技术优势和产品版图 。目前长扬科技 的产品及解决方案已广泛应用于电力、石油石化、轨道交通 、城市市政、智能制造、钢铁冶金等多个行 ，未来将继续发挥技术优势 ，加大自主研发力度和投入 ，进一步推进技术革新 ，更好地服务于国家网络安全工作，为国家关键信息基础设施稳定运行保驾护航 。

　　曦域资本创始人黄晓黎认为 ，关键信息基础设施 的网络安全形势日益严峻 ，尤其在工业关键基础设施领域，一旦被攻击造成破坏或者数据泄漏 ，可能严重危害国家安全。我国工控网络安全领域长期空白 ，随着等保的落地才逐步离开“裸奔”进入了高速建设期 。长扬从2017年开始耕耘市场 ，帮助大型集团公司建立集团一体化的安全管理能力，处于行业领先位置 ，看好该公司聚焦大型集团客户，长期为头部客户提供集团级工控网络安全解决方案及服务 的能力 。

　　君泓璟泰基金创始合伙人谭晓生认为 ，长扬科技作为国内工控网络安全领域的领导者，公司的工业态势感知产品行业领先，下游客户逐步从能源电力拓展到化工 、钢铁 、汽车 、智能制造 、国防军工等行业。公司创立至今历经多轮融资 ，股东阵容豪华、公司治理规范，是网络安全行业优质 的投资标 的 。（孔繁鑫）

　　（文图：赵筱尘 巫邓炎）