软件开发包（SDK）安全研究报告

来源：www.pxwy.cn 发布人：彭二胖

2022-01-09 10:22:33|已浏览：213次

近年来，随着移动互联产业的兴起，移动应用软件（Application，App）逐渐渗透到社会生活的各个领域，为大众提供精细化场景化服务。在面向细分领域发展的同时，App种类和数量呈爆发式增长，软件开发工具包（Software Development Kit ，SDK）被广泛集成、应用，为日益丰富的App功能、服务提供了技术上的解决方案。

数字经济时代下，移动应用场景迅速扩展，SDK逐步成为移动业务价值拓展的重要组成部分。然而，由于SDK具有泛用性、灵活性等特点，一旦出现安全问题，不仅自身业务受到直接影响，也会威胁到集成SDK的App业务安全和数据安全，严重的情况下甚至可能影响移动应用系统生态安全。

随着安全形势不断变化，SDK的安全合规问题已经进入各方视野，SDK可能存在的安全漏洞、恶意行为，以及隐藏在App背后不透明地收集使用个人信息等问题逐渐成为各方关注的焦点问题。

报告从场景分析、数据统计、政策标准方面分享了SDK行业发展现状，对SDK行业面临的合规风险、安全风险进行了分析，面向SDK及App开发者提出了安全措施建议，并从实践角度分享案例和经验，为促进SDK行业生态的健康发展提供参考。

SDK通常无法独立展示前台页面，其告知行为往往需要借助宿主App传达给用户，但由于部分SDK未向App告知或完整告知自身所收集的个人信息，或者SDK公开了收集使用规则但App未向用户明示等原因，使得用户对SDK收集个人信息行为毫无感知。还有部分SDK未经用户同意，私自调用权限隐蔽收集个人信息，私自通过自启动、关联启动等方式收集个人信息。SDK未经用户同意收集个人信息，不仅增加了自身的违规风险，也会为宿主App制定收集使用规则，全面列举收集使用的个人信息带来障碍。
SDK实际收集的用户个人信息超出公开文档所声明的系统权限和个人信息。此类行为主要表现为SDK收集与其所提供服务无关的个人信息，强制申请非必要的权限，私自调用权限隐蔽收集个人信息，私自通过自启动、关联启动等方式收集个人信息，自动收集个人信息的频度和时机不合理等。例如，部分SDK会收集非必要的设备信息、网络环境信息，读取用户设备已安装应用程序列表，甚至超范围收集用户通讯录、通话记录、地理位置等敏感个人信息。
SDK帮助App开发者实现登录、支付、推送、数据统计分析等业务功能，存在未经用户授权使用个人信息的合规风险。一方面，SDK收集的个人信息可能涉及个人身份、财产等敏感信息，还可以通过App权限情况获得位置信息、短信信息、鉴权信息等，如果未经用户授权使用，有可能严重损害用户权益。另一方面，第三方SDK可能被各行业各类型的App集成，从而汇集多款App用户个人信息，一旦相关信息被用于实施诈骗、社会工程攻击等违法行为，其危害程度较单个App数据滥用事件更加严重。
一方面，部分SDK存在明文传输用户电话号码、设备MAC地址等个人信息，或者私自向其他应用或服务器发送、共享用户个人信息的情况，可能被宿主App或本地恶意程序截获，导致用户个人信息泄露。另一方面，在未经用户同意的情况下，SDK有可能采取加密等方式私自传输收集的个人信息，如果SDK收集使用个人信息行为及相关信息未完全向宿主App告知，会为宿主App带来额外的合规风险。

目前许多App与SDK通过开放平台在线签署开发者服务协议来约定权利义务，然而开发者服务协议通常缺少专门约束数据安全的规定，同时App针对SDK收集个人信息行为进行技术检测存在一定难度，使得App对嵌入的SDK收集使用个人信息情况难以完全掌控，集成第三方SDK时容易引入个人信息合规风险。服务提供方应如何合法、合规地收集、保存、使用个人信息，App如何对共享给SDK的个人信息、双方权利义务及第三方SDK收集使用个人信息情况等加强管理监督，正逐渐成为移动应用领域亟待解决的问题。

本文由培训无忧网长沙牛耳教育课程顾问老师整理发布，希望能够对想在长沙参加影视动漫培训的学生有所帮助。更多课程信息可关注培训无忧网电脑IT培训频道或添加老师微信：15033336050

注：尊重原创文章,转载请注明出处和链接 https://www.pxwy.cn/news-id-13953.html 违者必究！部分文章来源于网络由培训无忧网编辑部人员整理发布,内容真实性请自行核实或联系我们，了解更多相关资讯请关注程序开发频道查看更多，了解相关专业课程信息您可在线咨询也可免费申请试课。关注官方微信了解更多：150 3333 6050

相关新闻