彩神 - - (中国)维基百科

【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

坚定不移推动中国特色社会组织高质量发展******

　　作者：孙录宝（山东省创新管理研究院)

　　习近平总书记在党的二十大报告中强调，“高质量发展是全面建设社会主义现代化国家的首要任务”。社会组织是国家治理体系和治理能力现代化的有机组成部分，大力推进社会组织的高质量发展，对于全面建设社会主义现代化国家、全面推进中华民族伟大复兴具有重要意义。必须以习近平新时代中国特色社会主义思想为指导，走中国特色社会组织发展之路。

　　全面加强党对社会组织的领导。要加强党对社会组织的全面领导，尤其是要加强党的组织覆盖和工作覆盖，推动社会组织党建工作水平全面提升。一方面，探索党组织负责人参与决策制度机制，推进社会组织、党组织负责人双向进入、交叉任职，促使社会组织党建从“有形覆盖”向“有效覆盖”转变。另一方面，加强新社会组织党的建设，找到党建工作与行业协会、学会、商会、新社会组织等发展之间的结合点、生长点与发展点。同时，探索应用智慧党建学习工作平台，开创党建工作新模式，推动社会组织党建工作高质量发展。

　　必须推动社会组织的规范发展。改革开放以来，我国社会组织有了很大发展，但也还存在规模偏小，发展不够规范等突出问题。要科学监管、分类指导，引导社会组织将发展重心转移到内涵建设、凝练特色和提高质量上来。加强针对性指导，强化政策协同和实施效果评估，对相关政策的落实和改革效果进行密切跟踪、动态监测、定期诊断。实现规范管理与精准扶持并举，明确奖励细则。

　　必须发挥社会组织的协商作用。党的二十大报告强调了社会组织协商。社会组织协商是社会主义协商民主的重要组成部分。探索社会组织协商路径，首先要强化顶层制度设计，指导地方社会组织协商工作开展，保障社会组织协商的合法性与规范性。其次，完善体制机制，拓展社会组织协商的参与渠道，借助人大、政协、群团组织等搭建社会组织参与协商的中介平台，在政府决策、审批、政策实施前的各环节以及不同议题领域邀请社会组织代表参与。第三，完善社会组织内部治理，提高人才队伍专业化水平和综合素质，提升其协商的专业性和有效性。

　　必须坚持社会组织的公益属性。社会组织与企业的根本区别在于其公益属性，不以盈利为目的，而是弥补市场失灵，协助政府做好公益类事务。要坚持扶贫济困、扶老助残、应急救援、志愿服务、心理慰籍、矛盾调处、环境保护、托育扶幼、创业就业、枢纽支持等领域社会组织的公益属性，规范与扶持并举，不断满足人民需要。健全发展社会组织公益诉讼，建立公益诉讼专项基金，激发社会组织参与公益诉讼的积极性。加强各类型社会组织之间，以及社会组织与司法部门、地方政府、高等院校科研院所等机构的联动，探索开展公益诉讼试点。

　　必须聚力发展公益慈善事业。党的二十大报告提出，引导、支持有意愿有能力的企业、社会组织和个人积极参与公益慈善事业。在以中国式现代化全面推进中华民族伟大复兴中，公益慈善力量发挥着不可替代的重要作用。要推动社会组织积极参与公益慈善事业，在社会捐赠、志愿服务、智力服务、产业帮扶等方面，打造和推出多样化、定制化、专业化、系统化、科学化、智能化等服务模式。应深化社会组织参与慈善事业的进程，因地制宜大力培育社区慈善社会组织，加强政府相关管理部门协作力度，搭建信息平台，为社会组织参与慈善事业提供多元化支持。

　　重视社会组织的社会治理效能。党的二十大报告明确提出要“加快推进市域社会治理现代化，提高市域社会治理能力”。要重视发挥社会组织在市域社会治理中的作用，畅通参与渠道，明确社会组织参与社会治理的方式、参与范围、奖惩办法等，提高社会治理参与效能。要大力培育社会组织品牌，完善社会组织信息披露制度，构建社会组织信誉评价体系，提高社会组织公信力，实现民众对社会组织由信赖到依赖的转变。

　　（文图：赵筱尘 巫邓炎）