【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

“阳康”后盘点身体“健康资产”******

　　“阳康”后肺还好吗？咳嗽、头晕、用力时心慌、贫血……这些症状要不要紧？近期，针对“阳康”人群的体检需求，不少医院的体检中心纷纷推出为“阳康”市民定制的专项体检套餐，方便市民盘点身体“健康资产”。昨日，记者从医院获悉，专项体检套餐项目可根据体检者个体情况加减，价位在数百元到数千元不等，内容包括肺部CT平扫、超敏反应检测、心血管专项等，受到市民欢迎。

　　文/广州日报全媒体记者任珊珊 通讯员何旭鹏、林伟吟、周晋安

　　热门：有人体检时要求“自费加餐”肺部CT

　　“从去年12月底持续到现在，每天都有‘阳康’市民来咨询能否做些相关检查，每天少则十几人，多则数十人。”中山大学孙逸仙纪念医院体检中心主任陈庆瑜教授说，这些前来咨询的市民要么是在新冠抗原或核酸检测转阴后仍然有咳嗽、气短、胸闷、心慌、失眠等症状，要么是病后消瘦、食欲不佳、乏力、贫血、咽喉不适、嗅味觉减退、鼻炎发作或加重等。

　　记者从多家医院体检中心获悉，肺部CT成为不少单位团检的“热门项目”。一些参加单位团体体检的“阳康”者还会现场要求在团检的项目之外“自费加餐”，加做一些检测项目。“我抗原检测转阴十多天后依旧持续剧烈咳嗽，担心肺部功能没有恢复好。”白领柳女士说，在同事的建议下，她现场自费加做了肺部CT。据了解，像这样“自费加餐”的体检者并不少。

　　“核酸或抗原结果转阴并不等于真正的康复，我们的机体经过病毒的入侵后，器官功能会出现不同程度的损害，常见的有心肺功能、消化功能、免疫功能等，也有些人忧思过重，甚至出现心理问题，有必要通过对自己的‘健康资产’进行盘点来准确掌握身体的恢复状况。”陈庆瑜介绍，本着为市民解忧的原则，该院体检中心在原有检查项目的范围内，推出了“阳康”专项体检套餐。

　　联动：多科医生在线为“阳康”者定制检查检验项目

　　应近期市民“想在年度体检的时候看看身体恢复情况”的要求，中山大学附属第三医院在该院体检中心常规开展项目的基础上，由感染性疾病科、呼吸内科、心血管内科专家通过该院互联网医院，在线为“阳康”市民提供新冠感染后的身体机能全面评估，量身定制个性化的检验检查项目。市民可到医院体检中心或通过医院微信服务号、小程序“中山大学附属第三医院+”或医院APP“新冠体检门诊”开具检查项目。

　　“我‘阳康’半个月后想尽快恢复运动，但是稍微动一动就有点喘，担心心脏还没准备好。想做专项检查，但又不想去挤占门诊的医疗资源，也不知道该查哪些项目。”羽毛球爱好者李先生说，过年前为求一个心安，他在互联网医院线上咨询到相关专科的医生，选择心脏相关的体检项目，并进行了预约。听到“心脏功能正常”的体检结果后，李先生长出一口气，体检医生则建议他循序渐进地提升运动量。

　　提醒：“阳康”专项体检不能代替常规体检

　　陈庆瑜教授表示，“阳康”专项体检不能够代替全面的常规健康体检，个人体检可以通过体检中心公众号预约，有基础疾病和特别不适的人在体检时应提前向主检医生如实陈述，适当加减体检项目。

　　陈庆瑜表示，一般不建议免疫力相对较强、没有相应症状的年轻“阳康”者滥做肺部CT。

　　“我们发现，相当一部分体检者出现的问题不能归咎于新冠。”陈庆瑜介绍，这两年有些人体检不规律，导致摸不清自己的“健康家底”，把“阳康”后感受到的“不舒服”都归咎于新冠病毒感染。

　　此外，陈庆瑜特别提醒，一些高血压、高血脂、高血糖的慢病患者，用药控制较好，但在感染新冠病毒后自行停药或减少药量，停药后血脂反弹明显，而新冠病毒感染可能诱发血液高凝状态，加上天气原因可能导致脑梗甚至肺栓塞的发生。她建议，上述慢性病患者应坚持规律用药，不可擅自停药。