SDK是英文Software Development Kit的縮寫，是一種輔助開發(fā)某一類軟件的相關(guān)文檔、范例和工具的集合。在移動(dòng)應(yīng)用程序開發(fā)中，SDK通常用于提供某種功能或服務(wù)的插件，方便地嵌入到不同的APP中。近年來，國(guó)家安全機(jī)關(guān)工作發(fā)現(xiàn)，境外一些別有用心的組織和人員，正在通過SDK搜集我用戶數(shù)據(jù)和個(gè)人信息，給我國(guó)家安全造成了一定風(fēng)險(xiǎn)隱患。
SDK在我國(guó)的應(yīng)用背景非常廣泛和深入，涵蓋了移動(dòng)支付、通信、實(shí)名制、移動(dòng)互聯(lián)網(wǎng)、人工智能等多個(gè)領(lǐng)域。
1.移動(dòng)支付的普及：在我國(guó)，移動(dòng)支付已經(jīng)成為了非常普遍的支付方式。SDK能夠?yàn)楦黝愐苿?dòng)應(yīng)用提供支付功能，方便用戶進(jìn)行購(gòu)買和交易。例如，支付寶、微信支付等SDK的廣泛應(yīng)用，使得開發(fā)者可以輕松地將支付功能集成到自己的應(yīng)用中。2.通信行業(yè)的繁榮：我國(guó)擁有龐大的通信行業(yè)市場(chǎng)，而SDK能夠?yàn)楦黝愐苿?dòng)應(yīng)用提供通信功能，包括即時(shí)通訊、短信通知等。這對(duì)于像微信、QQ等需要實(shí)時(shí)通信的應(yīng)用來說，具有非常重要的意義。3.實(shí)名制政策的推行：近年來，我國(guó)推行了一系列實(shí)名制政策，特別是在網(wǎng)絡(luò)領(lǐng)域。這使得很多應(yīng)用需要用戶提供真實(shí)的身份信息進(jìn)行注冊(cè)和認(rèn)證。SDK能夠快速準(zhǔn)確地識(shí)別和驗(yàn)證用戶的身份信息，幫助開發(fā)者實(shí)現(xiàn)實(shí)名制注冊(cè)和認(rèn)證的功能。4.移動(dòng)互聯(lián)網(wǎng)的發(fā)展：我國(guó)是全球最大的移動(dòng)互聯(lián)網(wǎng)市場(chǎng)，移動(dòng)應(yīng)用數(shù)量龐大，種類繁多。為了提高用戶體驗(yàn)和提升服務(wù)質(zhì)量，很多開發(fā)者會(huì)選擇使用SDK來為自己的應(yīng)用增加各種功能，例如數(shù)據(jù)分析、廣告推送、社交分享等。5.人工智能和機(jī)器學(xué)習(xí)的應(yīng)用：近年來，人工智能和機(jī)器學(xué)習(xí)技術(shù)的發(fā)展也為SDK的應(yīng)用提供了新的機(jī)會(huì)。SDK能夠提供各種人工智能和機(jī)器學(xué)習(xí)的算法和服務(wù)，幫助開發(fā)者提升應(yīng)用的智能性和自動(dòng)化水平。
當(dāng)前，SDK以其多樣化、易用性和靈活性等優(yōu)勢(shì)成為移動(dòng)供應(yīng)產(chǎn)業(yè)鏈中最重要的一項(xiàng)服務(wù)，與此同時(shí)也帶來諸多數(shù)據(jù)安全問題。
某些SDK可能會(huì)違規(guī)收集用戶設(shè)備信息，如IMEI、地理位置等，用于數(shù)據(jù)分析和廣告投放等目的。當(dāng)SDK的用戶覆蓋量達(dá)到一定規(guī)模時(shí)，可以通過搜集的大量數(shù)據(jù)，對(duì)不同用戶群體進(jìn)行畫像側(cè)寫，從而分析出潛在的有用信息，比如同事關(guān)系、單位位置、行為習(xí)慣等。
如果SDK存在安全漏洞，用戶的個(gè)人信息可能會(huì)被黑客盜取，導(dǎo)致數(shù)據(jù)泄露。這些信息可能會(huì)被用于詐騙、身份盜用等惡意行為，給用戶帶來?yè)p失。
SDK搜集個(gè)人信息類型
一些SDK可能會(huì)將用戶數(shù)據(jù)傳輸?shù)骄惩夥⻊?wù)器，這可能會(huì)導(dǎo)致數(shù)據(jù)泄露和濫用。例如，一些境外SDK服務(wù)商可能會(huì)通過向開發(fā)者提供免費(fèi)服務(wù)等方式來獲取數(shù)據(jù)，然后將其傳輸?shù)骄惩夥⻊?wù)器，從而給國(guó)家安全帶來風(fēng)險(xiǎn)。
如果SDK被黑客攻擊，他們可能會(huì)篡改收集的數(shù)據(jù)，導(dǎo)致應(yīng)用行為異；蛴绊懹脩舻臄(shù)據(jù)完整性。
一些SDK可能會(huì)將收集到的用戶數(shù)據(jù)用于不正當(dāng)?shù)哪康，如用于商業(yè)競(jìng)爭(zhēng)、政治活動(dòng)等。例如，一些應(yīng)用程序可能會(huì)將用戶的個(gè)人信息出售給第三方，或者用于分析用戶的消費(fèi)習(xí)慣和行為模式，以獲取商業(yè)利益。
消除SDK背后的數(shù)據(jù)風(fēng)險(xiǎn)
我們應(yīng)該怎么做？
根據(jù)中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心統(tǒng)計(jì)數(shù)據(jù)顯示，截止2018年12月，我國(guó)手機(jī)網(wǎng)民規(guī)模高達(dá)8.17億；2018年工信部數(shù)據(jù)統(tǒng)計(jì)，我國(guó)市場(chǎng)上可監(jiān)測(cè)到的移動(dòng)應(yīng)用程序總量達(dá)449萬款；而根據(jù)2019年第三方機(jī)構(gòu)的數(shù)據(jù)報(bào)告顯示，平均每款A(yù)PP使用的SDK數(shù)量達(dá)19.3個(gè)。截至2022年12月，我國(guó)10萬個(gè)頭部應(yīng)用中，共檢測(cè)出2.3萬余例樣本使用境外SDK，使用境外SDK應(yīng)用的境內(nèi)終端約有3.8億臺(tái)。從上述數(shù)據(jù)可以看出，第三方SDK如今在移動(dòng)互聯(lián)網(wǎng)領(lǐng)域被廣泛應(yīng)用。對(duì)此，我們又應(yīng)該做些什么呢？
SDK申請(qǐng)收集用戶信息占比
應(yīng)盡量選擇接入經(jīng)過備案認(rèn)證的SDK，引入境外SDK前應(yīng)做好安全檢測(cè)和風(fēng)險(xiǎn)評(píng)估，深入了解SDK的隱私政策，并利用SDK demo以及APP測(cè)試環(huán)境對(duì)SDK聲明內(nèi)容進(jìn)行一致性比對(duì)，并持續(xù)監(jiān)測(cè)SDK是否有異常行為。
個(gè)人用戶在使用手機(jī)應(yīng)用程序時(shí)，要增強(qiáng)個(gè)人信息保護(hù)意識(shí)及安全使用技能，要選擇安全可靠的渠道下載使用應(yīng)用程序，不安裝來路不明的應(yīng)用，不盲目通過敏感權(quán)限的申請(qǐng)。特別是發(fā)現(xiàn)SDK申請(qǐng)與應(yīng)用功能無關(guān)的權(quán)限時(shí)，需要保持高度警惕。
企業(yè)解決SDK數(shù)據(jù)安全問題的建議：1.選擇可信的SDK：在選擇SDK時(shí)，應(yīng)選擇來自可信賴的供應(yīng)商且被廣泛使用的SDK。同時(shí)，應(yīng)了解SDK的具體功能和用途，避免嵌入不必要的SDK。2.審查SDK的安全性：在集成SDK之前，應(yīng)對(duì)其安全性進(jìn)行審查，包括其代碼、功能和使用方式等。如果可能的話，可以參考其他開發(fā)人員的經(jīng)驗(yàn)和反饋。3.加密數(shù)據(jù)：對(duì)于傳輸和存儲(chǔ)的個(gè)人信息，應(yīng)使用加密技術(shù)進(jìn)行保護(hù)，以防止未經(jīng)授權(quán)的訪問和泄露。4.定期更新SDK：SDK的供應(yīng)商可能會(huì)發(fā)布新版本，修復(fù)已知的安全漏洞。因此，應(yīng)定期更新SDK，確保使用的是最新版本。5.監(jiān)控和檢測(cè)異常行為：通過監(jiān)控應(yīng)用程序的行為和性能，可以及時(shí)發(fā)現(xiàn)異常行為，如未經(jīng)授權(quán)的數(shù)據(jù)傳輸或惡意代碼植入。一旦發(fā)現(xiàn)異常行為，應(yīng)及時(shí)處理并通知用戶。
2021年以來，國(guó)家陸續(xù)出臺(tái)了《個(gè)人信息保護(hù)法》、《網(wǎng)絡(luò)安全法》等律法建立了健全的隱私保護(hù)制度，保護(hù)大數(shù)據(jù)時(shí)代下的個(gè)人信息安全與隱私。對(duì)于每個(gè)用戶來講，我們很難判斷哪些軟件是安全的，因此我們應(yīng)謹(jǐn)慎開放軟件權(quán)限，有意識(shí)的保護(hù)自己的隱私。而作為 SDK服務(wù)商，更要遵守國(guó)家法律，從根源做起，絕不寫入惡意功能。SDK開發(fā)商和使用商都應(yīng)重視SDK的數(shù)據(jù)安全風(fēng)險(xiǎn)，并采取必要措施進(jìn)行防范，以保護(hù)用戶隱私和數(shù)據(jù)安全。