【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
验尸结果、录音笔内容公布！胡鑫宇事件发布会重点来了******
时间：2023年2月2日
内容：通报胡鑫宇事件调查情况
结论：胡鑫宇系自缢死亡，尸体发现地系原始第一现场
胡鑫宇个人情况
胡鑫宇性格内向温和、孤独，在意他人看法，少与人做深入的思想情感沟通，情感支持缺失，缺少情绪宣泄渠道，常有避世想法。
2022年9月到致远中学就读后，因学习成绩不佳造成心理落差，加之人际关系、青春期冲动带来的压力，造成了胡鑫宇失踪前心理状态失衡，有明确的厌世表现和轻生倾向。
存在入睡困难、早醒、醒后难以再入睡等睡眠问题。
存在注意力难以集中、记忆困难等认知功能障碍。
存在内疚自责、痛苦、无力无助无望感、无意义感等情绪问题，经常躺在床上发呆，多次在书本、笔记本上写下了负面情绪的文字内容。
尸体情况
尸体发现地位于铅山县河口镇金鸡山区域的某粮库院内。围墙内侧墙体上生长一棵向内斜生的树木，胡鑫宇尸体缢吊于该树树干凸起处，悬挂点距离地面4.5米。
尸体颈部缢索由两根白色鞋带相接而成。尸体足尖自然下垂，距地面1.47米。
在中心现场没有打斗、拖拽痕迹。
尸体高度腐败。
胸腔、腹腔未见出血，各脏器在位无缺失。
胃组织和肝组织中均未检出常见的农药、鼠药、安眠镇静类成分。
缢索为活套，绕颈形成闭环，颈部残存皮肤皮革样化，可见条形索沟一条，索沟边缘软组织见出血，出血部位与死者缢吊体位相吻合，符合生前缢索压迫形成。
录音笔情况
录音内容不存在人为合成、篡改情况。
2022年10月14日17时40分、23时08分胡鑫宇录制的两段音频清晰表达了自杀意愿。
10月14号17时40分，胡鑫宇站在宿舍5楼阳台上试图跳楼犹豫未决，录音显示胡鑫宇说：“真站到这里反倒是有点紧张了，心脏在狂跳，说实话没有理由，只是觉得没意义，如果真跳下去了会怎样？不确定。跳下去了应该也没人发现，现在至少不会被发现，以后过了几天肯定还是会发现的，刚刚又不跳，哎，我真的是想跳，不想，我应该是不想。”
23时08分录音显示，胡鑫宇再次表达自杀意愿，“已经没有意义了，快零点了，干脆再等一下，直接去死吧，可以的，因为我今天已经有点不清楚了，现在我好想去死，感觉已经没有意义了。”
视频：江西警方通报胡某宇录音笔检验鉴定情况：音频清晰表达了自杀意愿来源：中国新闻网
核心疑问及谣言情况
粮库围墙5米，是否可能进入？
粮库占地面积92亩，围墙高约5米。紧靠围墙外有一渣土堆，渣土堆高度低于围墙约1.5米，渣土堆与围墙间有两棵树木，树木高于围墙。
为何100多天后才发现遗体？
粮库占地面积92亩，围墙高约5米。紧靠围墙外有一渣土堆，渣土堆高度低于围墙约1.5米，渣土堆与围墙间有两棵树木，树木高于围墙。
先后开展四次搜寻，对粮库进行了走访，并对全部建筑物内部开展了搜寻，也对粮库旁的玻璃厂废弃厂房进行了搜寻，但胡鑫宇尸体缢吊地点位于院内约9300平方米树林区域内，未搜寻到位。
2022年11月27日下午搜寻时，走访民警在完成该单位内东北侧废弃宿舍搜寻工作后，前往事发现场附近的树林洼地时，该区域植被茂密，未发现异常情况，就没有继续深入搜寻。
以上情况，说明工作还存在不足，将举一反三，进一步改进工作。
鞋带是否可以长时间承载其躯体重量？
胡鑫宇自缢使用的鞋带系涤纶材质，该材质具有不易腐、拉力强的特点。经侦查试验，同款鞋带在缓慢拉伸状态下最大承重量85公斤。此外，随时间推移，尸体腐败后水分丢失、体重会变轻，延长了鞋带的承重时间，所以没有发生断裂。
这些是谣言
传播较广的胡鑫宇系“熊猫血”问题，经检验，胡鑫宇是O型血，不是网传的RH阴性血。
关于胡鑫宇尸体“双脚平行地面”问题，经现场勘查，胡鑫宇双脚自然下垂。
关于“发现地不是第一现场，尸体是后挂到树林中”问题，经调查访问、现场勘查、尸体检验、物证检验鉴定等工作，认定胡鑫宇系自缢死亡，尸体发现地系原始第一现场。
来源：中国新闻网梳理发布会内容
