SDK 插件窃取隐私，你的隐私安全还能保障吗？

免费获取chatGPT 3.5 账户，或购买GPT 4.0plus 会员账户，扫描文章内微信公众号二维码，或加微信：yuke36

隐私保护是个大问题，但并不是每位人都在乎它。

”

科技发展至今日，我们的隐私安全仍然无处遁形。

315爆光50尾款App的同伙插件

明天，在因疫情迟来的315晚宴上爆光了一些手机应用中存在第三方SDK插件，盗取用户信息的情况。这种违法插件除了可以将你的邮件全部传走，甚至包括网路交易验证码也不在话下。

据315年会报导，2019年11月，在广州市消费者权益保护委员会委托第三方公司对一些手机软件中的SDK插件进行测试的时侯，就发觉一些SDK里存在的问题。

SDK是Kit的简写，即”软件开发工具包”，通常来说，SDK可以实现安卓开发工具、广告推送、图像辨识或联通支付等功能。通过SDK插件，App开发者不再须要针对每项功能进行开发，极大减短了产品的开发周期。

技术人员一共检查了50多款手机软件，这种软件中分别包含了北京氪信信息技术有限公司和上海招彩旺旺信息技术有限公司的SDK插件。而这两个公司的插件，都存在在用户不知情的情况下，擅自盗用用户隐私信息的问题。涉及到的手机App达50多款，包括苏宁易卡、遥控器、最强电筒、全能遥控器、91急速购、天天回收、闪到、萝卜商城等。

据介绍，这两个插件会读取这部设备的IMEI、IMSI、运营商信息、电话号码、短信记录、通讯录、应用安装列表和传感信息。

你以为这就完了吗，更可怕的是，这种App里的SDK在读取完成后，就会悄悄地将数据传送到指定的服务器储存上去。

细思极恐！吓得我赶紧删除了所有邮件。

据悉，检查人员也强调：

“虽然SDK只是一个看似普通的插件，并且由于它对所有的手机App具有通用性，好多手机软件可能都嵌入了同一个SDK，因而一旦某个SDK盗取用户个人隐私，将会涉及诸多手机软件。”

对此，网友也惊呼：“大数据时代，我们竟然毫无安全可言”。

从人脸辨识5毛起售再到被App擅自盗用信息，我们的隐私安全究竟应当怎样谈起，这一话题也在知乎引发热议。

SDK插件是如何盗取用户隐私的？

正如上文所说，卸载App也并不是万全之策，所以，你们更好奇的还是SDK插件怎么泄露隐私的？

回答这个问题之前，我们先了解下SDK插件的信息搜集情况。

按照南都此前发布的《常用第三方SDK搜集使用个人信息测评报告》（以下简称《报告》）显示：

通过对60款App进行5-30分钟时长不等的逐一检查后发觉，可以将SDK实际搜集的信息界定为五类：

搜集用户信息方面，据统计，在测量时间内，60款App使用的966个SDK中，有150个获取了IMEI、IMSI等手机设备信息，在所有类别中最为频繁；其次是Wi-Fi联接信息（IP地址、MAC地址）、扫描周围热点、Wi-Fi热点信息（SSID）、运营商与基站信息等各种网路信息，都有35个以上SDK获取；还有10个SDK获取了用户行为信息，例如屏保、安装/升级/卸载App。

据悉，用户的电话号码、地理位置、手机视频和相册等个人信息也被一些SDK获取，尤其是地理位置信息，被32个SDK获取。

值得注意的是，钉钉、铁路12306、闲鱼等App使用的支付宝SDK，派派、陌陌等App使用的声网SDK,百度帖吧App以及高铁12306App使用的梆梆安全SDK都搜集了传感信息。好多情况下，步数、心跳等与健康相关的个人信息就是通过“传感器”权限搜集。

手机里的传感主要用于运动计步。它的工作原理和耳机一样，都是记录振动。每每手机麦克风发出的声音，这种振动就会被加速度传感记录出来。只要把这种细微的振动变化进行还原，就可以辨识破解出耳机里的谈话内容。

更可怕的是，手机App对加速度传感的调用，并不是高权限，可以在不寻问的情况下悄悄开启。在这些情况下，不论是苹果，还是安卓手机，都逃过被盗听的命运。

所以，这种信息的重要性你懂的。

这么，重点来了，这种SDK插件为何能这么轻易的获取那么多信息呢？

一个很重要的诱因就是好多App在隐私新政中并没有为其设限。

《报告》显示，不少App并没有做到搜集前告知。例如，中国建行手机建行App的某SDK可以“对环境或通话录音”，却没有提供任何隐私新政；宜人财富App和宜人贷欠款App使用的SDK获取了用户的地理位置，但两款App的隐私新政都没有提到会搜集位置信息。也就是说，用户的隐私很可能在不知情的情况下被SDK搜集了。

所以，搜集用户信息是第一步，用搜集的信息来“作恶”就是第二步了，其实，这并不是指那些企业本身。

由于不仅App个性化推送的须要，还离不开一条规模大、链条长、利益大的蓝色产业链。

这个产业链背后在做哪些，你们也有所了解。

简单来说，上游负责供货；中游负责信息处理与再加工，产生规模化市场；下游负责“应用变现”，通过联通盗窃、恶意营销等非法渠道攫取高额收益。产业链结构完整，各类信息明码标价。

依据2017年发布的《电子商务生态安全蓝皮书》推测，中国“网络黑产”从业人员早已超过150万，市场规模高达千亿级别。

以黑产中较为重要的交易产品——个人App帐号密码为例。数十亿帐号密码，被黑灰产业所把握，她们大多数都是通过撞库、刷库导致帐号失窃，而盗号衍生的产业链年获利超百万元。

而据数据统计，每位人手机中平均有56款App，少一点的可能十多个，多一点的，上百都有可能。中国应用商店数目有200多家，上架的App有500多万款。

这么，这种App有可能停止搜集你的数据吗？

答案是：不可能。

App不去挖掘用户的数据，就很难获得用户痛点和喜好，没有对用户痛点和喜好的洞察，就难以提供合适的产品和解决方案，也就未能创造商业价值。

怎样避免这样的隐私爆光侵犯？

这么，一个老生常谈的问题是怎样防止我们的信息被泄露呢？可能好多人的第一看法其实是卸载这类App，但绝对严禁其实不是一条好路子，还是要从源头入手。

首先，对于企业而言，记录用户数据难以防止。好多厂商会记录用户的匿名数据，但侵害用户隐私的关键在于，领到用户数据后有没有脱敏，怎么运用这种数据。所以，对于厂商而言，更为重要的工作应当是通过系统层面的更新，尽可能严格规范开发者行为，而不是让开发者举着你根本不会看的用户许可，冠冕堂皇取走你的隐私。

对于开发商而言，则要尽可能选择有一定市场基础的第三方SDK，尽量使用苹果和微软商店里选用的SDK进行集成。

其次，从新政层面上来规范，《数据安全管理办法（征询意见稿）》第三十条规定，网路营运者对接入其平台的第三方应用，应明晰数据安全要求和责任，督促监督第三方应用营运者强化数据安全管理。

《信息安全技术个人信息安全规范》修订草案则要求，涉及SDK等第三方嵌入或接入的手动化工具的个人信息控制者，宜举办技术检查确保第三方的个人信息搜集、使用行为符合约定要求；宜对其搜集个人信息的行为进行审计，发觉超出约定行为的及时切断接入。

在315爆光后，住建部明日也表示将在第一时间组织相关单位进行认真核查，依法依规严厉取缔涉事企业。

下一步，将采取常态化监管举措，强化联通互联网应用程序App综合整治。聚集产业力量，促使技术手段建设，急剧提高技术检查水平。强化监督检测，加强对各种违法行为的处置和爆光力度，对未经用户同意搜集使用用户个人信息等违法行为，依法给以取缔，着力维护用户合法权益。

最后，从个人层面来讲，在下载App时，最好选择恶意密度较低的应用商店，例如苹果的、安卓手机的应用商店，不要在一些恶意App密度高的应用商店下载。

在安装App时，会弹出各类权限申请，此时一定要注意位置信息、手机通信录等隐私权限，不常用的不要给。

据悉，要定期清除手机显存数据，不要把身分证相片、银行卡号等关键信息留在手机内，定期查看手机应用权限。

还要当心来源不明的二维码扫描、注册申请等，一些补助、礼品很有可能是黑灰产为了搜集个人信息的诱饵，2块钱获得的数据被转手能够卖出10块钱。

发觉信息被泄漏后，也不要自诩倒霉。按相关规定，消费者有权要求网路服务提供者删掉个人隐私信息，能够向公安和互联网管理部门进行投诉举报。

其实，没有人喜欢主动出卖隐私，也不会有人认为数据被擅自调用是合情合理的事情，一旦这种后台行为的调用渐渐清晰和明朗化，系统也乐意给出更多限制性手段后，固守自己的私密数据，大约就不会成为一个困局了。

参考资料：

往期推荐

免费获取chatGPT 3.5 账户，或购买GPT 4.0plus 会员账户，Gmail 邮箱注册，异常，停用相关问题，扫描文章内微信公众号二维码，或加微信咨询：yuke36