凤凰微彩 - 凤凰微彩

【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

【网络中国节·诗画节气】冬至：冬藏之气，至此而极******

   【网络中国节·诗画节气】

冬至：冬藏之气，至此而极

　　作者：侯楠楠

　　冬至到了。《月令七十二候集解》中记载：“冬至，十一月中。终藏之气至此而极也。”古人认为冬至为阴阳交替的时刻，“冬至一阳生，是阳动用而阴复于静也”，从此阴气盛极转衰，阳气开始萌生。冬至三候为“蚯蚓结，麋角解，水泉动”。此时天气仍十分寒冷，因此蚯蚓还蜷缩着身体冬眠；但因阳气初升，山中的泉水开始流动。不过，夏至时“鹿角解”，冬至时“麋角解”，麋与鹿长得那么像，为何分别与两个相反的节气相关？这是因为古人认为鹿角朝前属阳，夏至时阴气初升阳气渐退，鹿角开始脱落；麋角朝后属阴，冬至时阳气初升阴气渐退，麋角开始脱落。

（点击图片观看动态海报）

　　《敦煌二十四节气》原画出自《不可思议的敦煌·与万物共生长》创作展——最佳创作团队奖「豆荚创意」小朋友们的集体创作。动画制作：满晨

　　“冬至不端饺子碗，冻掉耳朵没人管”，吃饺子是北方最普遍的冬至习俗，除此之外，北京地区还要吃铜锅涮肉，而西南地区要吃羊肉汤。都说“冬至大如年”，所以冬至又被称为“亚岁”，意思是仅次于过年。三国时期曹植《冬至献袜送表》中说“亚岁迎祥，履长纳庆”，是的，你没看错，曹植这篇文章的标题中隐藏了另一个冬至习俗：给长辈送鞋袜，祝愿父母健康长寿。

　　“冬至至后日初长”，魏晋时期，皇宫里有用红线量日影的习俗，《岁时广记》中记载，“晋魏间，宫中用红线量日影，冬至后日添长一线”。从周朝开始，君主还要“以冬日至，致天神、人鬼”，即在这一天通过祭祀为国祈福，《史记·封禅书》也记载，君主在冬至日“礼天于南郊,迎长日之至”，可见古代各阶层对于冬至日的重视。

　　这么大的节日，没有理由不放假。《太平御览》中记载，汉代的冬至假期是五天，“冬至前后，君子安身静体，百官绝事，不听政，择吉辰而后省事”，冬至当天，皇帝还要大宴群臣，请他们欣赏歌舞。到了宋代，《东京梦华录》中记载，“十一月冬至，京师最重此节。虽至贫者，一年之间积累假借，至此日更易新衣，备办饮食，享祀先祖。官放关扑，庆贺往来，一如年节”。不管有没有钱，忙碌了将近一年的老百姓到了冬至这一天，都要买新衣服、置办宴会、祭祀先祖，官方还允许在这天举行关扑这样的民间博彩活动。

　　冬至过后，就要进入“数九”寒天了。“一九二九不出手；三九四九冰上走；五九六九河开流；七九八九耕牛遍地走，九九燕子来”，这一谚语总结了入九以后的天气变化。如何消磨将近三个月的严冬？古时文人雅士在冬至后，轮流做东，相约聚会，雅集娱乐，谓之“消寒会”，又叫“暖冬会”。据记载，唐朝时，长安有一位巨富王元宝，此人是个社交达人，冬天下大雪的时候，他命仆人将坊巷的积雪打扫干净，自己亲自站到巷口迎接宾客，请客人们到他的家里，大摆宴席，饮酒作乐，称“暖寒之会”。“归来何事添幽致，小灶灯前自煮茶”，近来“围炉煮茶”在年轻人中风靡，成为一种新型社交方式，还真有点像消寒会的“文艺复兴”。

　　不过，“消寒会”终究是士人阶层的高雅游戏，冬至时节大多数地区已经进入农闲时期，民间发明了“九九消寒图”，用以打发漫长的寒冬。第一种在《帝京景物略》有记载：“日冬至，画素梅一枝，为瓣八十有一，日染一瓣，瓣尽而九九出，则春深矣，曰九九消寒图。”在冬至这一天，用白描的手法画梅花一枝，共八十一片花瓣，每天点染一瓣，当梅花都被点染成胭脂色，冬天也就过去了，正如元代杨允孚《滦京杂咏》中所说：“试数窗间九九图，余寒消尽暖回初。梅花点徧无余白，看到今朝是杏株。”还有一种是书写“庭前垂柳珍重待春风”九字，这九个字的繁体字都是九笔，冬至起每日描红一笔，九九正好描完。古人正是通过这样浪漫的方式，将对春的期待一笔一划留下来。

　　在诗人眼里，冬至也是个值得创作的主题。杜甫《小至》诗云：“天时人事日相催，冬至阳生春又来。刺绣五纹添弱线，吹葭六琯动浮灰。岸容待腊将舒柳，山意冲寒欲放梅。云物不殊乡国异，教儿且覆掌中杯。”这里面又有个知识点，在“吹葭六琯动浮灰”一句。“葭管吹灰”是古代一种测定节气的方法，古人认为律历同源，把不同尺寸的律管埋入地下一部分，露出一部分。建一处三重的密室，封闭严实，把十二律管按照对应的月份位子埋好，里面装上芦苇烧成的灰，到了相应的节气，则灰就会被从律管中涌出的阳气吹出来。到了冬至，其中最长的那支律管必有灰喷出来，同时还发出“嗡”的一声。这支律管就是黄钟律管，其声响便是黄钟之音。

　　这么大的节日，人也很容易想家。白居易有一首《邯郸冬至夜》，“邯郸驿里逢冬至，抱膝灯前影伴身。想得家中夜深坐，还应说着远行人”。冬至这一天，白居易在河北的一家酒店里，“抱膝灯前影伴身”，想家，宝宝心里苦，并且宝宝要说出来。白居易觉得，家里人应该此时也在牵挂他吧，这种情理之中的想象，放在这个特殊的时间，令人觉得质朴而深情。

　　看到这里，还不赶快给家里打个电话吗？

光明网×敦煌画院

　　（文图：赵筱尘 巫邓炎）