彩云网官方网站 - 彩云官网

【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

汉语盘点年度字词揭晓******

　　“稳”“党的二十大”当选年度国内字、国内词

汉语盘点年度字词揭晓

光明日报记者 谭华

　　国家语言资源监测与研究中心、商务印书馆、光明网联合主办的“汉语盘点2022”揭晓仪式日前在京举行。“稳”“党的二十大”“战”“俄乌冲突”分别当选年度国内字、国内词、国际字、国际词。

　　教育部语言文字信息管理司司长田立新，光明日报社副总编辑陆先高，中国出版集团有限公司副总经理、党组成员陈永刚，商务印书馆党委书记、执行董事顾青，商务印书馆总经理李平，快手科技副总裁、执行总编辑徐静芸，评议专家中央民族大学教授蒙曼、清华大学教授沈阳、北京外国语大学教授张天伟、武汉大学教授赫琳、北京语言大学教授杨尔弘、华中师范大学教授何婷婷、中国传媒大学教授邹煜等揭晓并点评年度字词，华中师范大学教授刘延申宣读获奖网友代表名单。

　　冬奥冠军武大靖、任子威、徐梦桃，参与深度访谈，分享冬奥故事。著名作家梁晓声为活动泼墨题字。

　　年度国内字、国内词，年度国际字、国际词选出

　　2022年的中国，万众一心，踔厉奋发。党的二十大胜利召开，再次掷地有声宣告中国共产党的初心使命，宣告人民至上的信念。中国式现代化领航新征程，为社会发展保驾护航，带领国家行稳致远。冬奥会各国健儿激情竞技，舞动冰雪，一起向未来。团结协作，精准防控，保健康防重症，为重点人群健康护航。

　　最终，“稳”和“党的二十大”当选国内字词。稳，体现在经济要稳中求进，社会要长期稳定；改革要蹄疾步稳，发展要行稳致远；中国饭碗要端稳，就业民生要保稳。党的二十大，谋共富之业、扬改革之帆、行法治之道、筑未来之基，事关党和国家事业继往开来，事关中国特色社会主义前途命运，事关中华民族伟大复兴。

　　2022年的世界，风云变幻，危机不断。奥密克戎变异株全球蔓延，但人类已做好更充分准备。卡塔尔世界杯激情上演，在岁末年终让人感受足球的魅力。北溪管道泄漏，欧洲能源成本激增。俄乌冲突硝烟四起，传奇人物相继逝去，战乱之中没有真正的赢家。最终，“战”和“俄乌冲突”当选国际字词。看上去矛盾与纷争在世界范围内依然存在，但其实解决冲突的钥匙就在人类手里，即通过对话协商妥善解决分歧。世界各国是否具备足够的胸怀与智慧，是否理解人类社会命运与共，是止战的关键。

　　年度十大流行语、十大新词语发布

　　2022年度十大流行语、十大新词语是国家语言资源监测与研究中心基于大数据语料库，利用语言信息处理技术筛取，并经过专家评议而选出的。这些热词新语记录了社会焦点的变迁，勾勒出语言生活的图景。

　　此次活动发布的2022年度十大流行语是：党的二十大、中国式现代化、全过程人民民主、端稳中国饭碗、数字经济、太空会师、一起向未来、我的眼睛就是尺、电子榨菜、俄乌冲突。专家解读称，2022年，“党的二十大”胜利召开，“全过程人民民主”彰显优势，“太空会师”标注航天领域里中国高度，“数字经济”驱动社会生产方式改变和生产效率提升。“年度流行语是语言生活的重要组成部分，反映时代特征，勾勒大事小情。”

　　2022年度十大新词语是：中国式现代化、全人类共同价值、全球安全倡议、新型实体企业、冰雪经济、数字人、数字藏品、场所码、精准防控、雪糕刺客。解读专家认为，年度新词语记录生活新变化、社会经济新发展，串联着2022年人们共同经历的点点滴滴：“中国式现代化”构建人类文明新形态，弘扬“全人类共同价值”；冬奥“冰雪经济”被点燃，炎夏“雪糕刺客”需警惕；“新型实体企业”以独特数字能力有效提高整个供应链效率，融“实体”与“数字”为一体，此刻抗疫保供压力之下，正在释放独特能量。

　　形式更加丰富，“盘点”深入人心

　　“汉语盘点”活动至今已走过十七个年头，旨在“用一个字、一个词描述当年的中国与世界”，鼓励全民用语言记录生活，描述中国视野下的社会变迁和世界万象。今年活动各家合作方凝心聚力，充分发挥自身特长，运用各种形式对活动进行宣传。光明网构建活动主页面，征集字词、收集投票，对活动进行持续报道。学习强国实时关注、推送相关报道。微博发起话题讨论，联动国家博物馆、广东省博物馆等文博类账号，号召网友多形式展示自己的年度字词。方正字库为活动提供字体支持，用多样字体书写年度字词。新华社、人民日报、中央广播电视总台、北京日报等众多媒体关注活动，持续报道。涵芬文创还为获奖网友准备了精美礼品。在各方的共同努力下，今年活动的话题热度不断高涨，影响力进一步提升。

　　今年，在日本、马来西亚、新加坡等地，年度汉字评选活动也在火热进行。2022年日本年度汉字为“战”，马来西亚、新加坡年度汉字均为“涨”。中国台湾地区年度汉字为“涨”，海峡两岸年度汉字为“思”。评选活动体现了汉字文化圈的民众对汉字文化的认同，推动了汉语的传播，扩大了汉字文化的影响。

　　语言文字是文化传承的载体，是国家繁荣发展的根基，表达和传递着一个国家文化的魅力、一个民族的凝聚力。主办方介绍，“汉语盘点”将不断拓展影响力，以美丽的汉语忠实记录中国与世界的脚步，创新性展现语言文字，创造性弘扬中华文化，为增强中华文明传播力影响力、建设社会主义文化强国不断作出努力。

　　《光明日报》（ 2022年12月22日 09版）

　　（文图：赵筱尘 巫邓炎）