点击右上角微信好友

朋友圈

请使用浏览器分享功能进行分享

正在阅读:【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!
首页> 网安频道> 要闻 > 正文

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

来源:光明网2022-04-11 19:22

  随着移动互联网的快速发展,手机App的功能复杂程度和版本更新速度不断提升。基于对手机App及其接入的第三方SDK(软件开发工具包)的分析和研究,近日,安天移动安全从SDK给应用开发者和App用户可能带来的安全风险和权益问题的角度,对SDK行为安全性现状作出专项报告解读。

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

(图源网络)

  焦点1:第三方SDK使用情况如何?

  报告显示,应用开发者为了提高应用的迭代速度、降低开发成本以及提供更加丰富的业务功能,除了自主开发App的相关功能代码,还会接入由第三方开发的功能代码模块,从而快速接入和实现某类业务功能。

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

(图源网络)

  目前,常见的第三方开发的功能代码模块类型有广告SDK、支付SDK、消息推送SDK、用户行为统计SDK等。

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

  应用开发者往往和第三方SDK开发者签订某种开发接入的协议约定,获取到接入的SDK开发工具包,通过接入demo(样稿)示例和开发文档,以调用通过相关API(应用程序接口)的方式获取SDK提供的功能和服务。

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

  实际应用中,SDK的使用场景会更为多样化。除了SDK提供者提供开发工具包供应用开发者接入的形式外,还包括SDK提供者提供URL(统一资源定位系统)请求API、非Java(计算机编程语言)实现的SDK代码模块,以及可供应用开发者内嵌至其URL请求API中的外链地址或脚本等形式。

  焦点2:国内主流SDK提供者有哪些?

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

  从国内主流的SDK提供者来看,主要可以划分为3种类型——

  综合性的SDK提供者:

  旗下会开发多款SDK产品,用于向应用开发者提供多样性的SDK功能。例如,极光、个推、友盟等SDK提供者。

  特定品类SDK提供者:

  SDK主要针对特定品类应用提供其所必须的某种功能,旗下SDK产品的类型较为单一。例如,数盟、数美主要提供安全风控类的SDK

  手机终端厂商:

  手机终端厂商会基于系统功能特性为应用开发者提供更为便利的SDK功能服务,既降低应用在特定手机终端系统上功能开发的成本,也能够有效利用系统提供的多样化功能服务,为应用实现更多功能。

  焦点3:手机App接入SDK需注意哪些问题?

  集成第三方SDK的优势显而易见:首先,应用程序可以获得专业公司在各个领域提供的高质量资源;

  其次,如果应用程序将类似PayPal(在线支付服务商)的第三方SDK包含在内,它就可以执行像付款这样复杂的功能。尤其是对于小型的开发团队,这些SDK有助于提高应用的开发效率。

  另外,广告平台这种第三方SDK,还可以帮助应用程序的开发者获得收益。

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

  在这个过程中,应用开发者(通常以中小开发者为主)往往难以全面评估接入SDK的安全性,以及SDK的全部运行行为。如果第三方SDK存在某些恶意或风险的代码、行为,则会被引入到App中,给应用开发者和App用户带来不可估量的安全风险和权益问题

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

  多项研究也证实,一些第三方SDK存在隐私泄露问题。除了侵犯用户隐私以外,有些第三方SDK还会采取不安全的实现方式,增加其宿主应用程序的攻击面,从而对用户安全造成威胁。甚至是一些信誉较好软件公司的SDK,也被发现存在严重的安全漏洞。

  这些漏洞带来的攻击包括:将敏感数据泄露到公开可读的数据源,代码注入攻击、账户劫持,将受害者设备连接到攻击者控制的Dropbox(一款免费网络文件同步工具)账户等。

  有业内人士表示,当应用程序开发人员将第三方SDK加入到应用程序中时,会将某些权限、组件、数据等信息添加到manifest(一种软件,可以运行任何应用程序的代码)文件中。而第三方SDK可以与主机应用程序共享manifest文件中的权限。

  换言之,即使SDK在开发文档中没有声明需要某些权限,如果manifest文件作了声明,那么SDK也可以使用这些权限……

  监制:张宁 策划:李政葳 制作:姚坤森 

[ 责编:孔繁鑫 ]
阅读剩余全文(

相关阅读

您此时的心情

光明云投
新闻表情排行 /
  • 开心
     
    0
  • 难过
     
    0
  • 点赞
     
    0
  • 飘过
     
    0

视觉焦点

  • 德意志银行股价暴跌引担忧

  • 天津:求职招聘忙

独家策划

推荐阅读
2023年3月24日,重庆市万盛经济技术开发区关坝镇凉风生态渔村春意盎然,生态如画。
2023-03-25 22:45
2023年3月23日,重庆万盛,山清水秀的黑山谷景区。
2023-03-25 20:08
2023年3月22日,重庆万盛石林景区,各式各样的花儿竞相绽放,姹紫嫣红处处洋溢着生机与活力,彰显出浓浓春意。
2023-03-23 19:14
2023年3月22日,浙江省湖州市德清县综合为老服务中心禹越分中心正式启用。该中心结合老年人就近就便养老的实际需求,集便民服务、文化体育、医疗养老、膳食营养等多种公共服务与生活服务为一体,打造适老化、多元化、智能化养老服务体系。
2023-03-23 10:36
2023年3月21日,第三届大学生艺术博览会在湖北武汉国际会展中心开幕,展期为3月21日至26日,来自国内外156所高校艺术专业的学生参展。
2023-03-22 10:42
2023年3月18日,山东日照经开区"天天有岗位月月有招聘"第六场专场招聘会在奎山体育中心举行,求职者向企业咨询岗位信息。该区先后组织6场专场招聘会,70余家企业发布岗位7000余个,现场达成就业意向1780人。
2023-03-19 10:41
2023年3月18日,河南洛阳,为期两天的中国小浪底轮滑文化节竞赛活动开赛。本次比赛设轮滑马拉松、速度轮滑(公路赛)、自由式轮滑等5大类10多个小项,来自全国各地154支代表队的2174名选手报名参赛。
2023-03-19 10:41
3月16日,北京,七彩云南亮相2023中国国际珠宝展。
2023-03-17 13:12
2023年3月16日,北京,中国国际珠宝展在中国国际展览中心开幕。
2023-03-17 13:12
2023年3月14日,中国国际羽毛球大师赛在江西瑞昌揭幕。
2023-03-15 10:08
2023年3月13日,安徽黄山休宁县,茶农在有机茶园采摘春茶。春回大地,嫩芽吐绿。眼下,休宁首批春茶已进入采摘期。
2023-03-14 10:06
2023年3月9日,湖南常宁,天气晴好,金色油菜花与村庄、田园、河流山峦相映成景,构成一幅秀美山水田园画。
2023-03-10 09:47
2023年3月9日,湖南张家界国家森林公园组织消防救援人员、索道维护人员和社会专业救援力量在天子山索道联合开展索道高空救援模拟演练
2023-03-10 10:09
2023年3月9日,为期三天的广州文交会在广交会展馆D区举行。广州文交会以“文化的广交会”为发展方向,以文化产业和旅游产业高质量发展为主轴,突出文化与旅游、科技、金融、商贸等领域融合发展等亮点。
2023-03-10 10:05
3月7日,“与春之和——2023江苏省小幅油画作品展”在苏州美术馆开展。据了解,展览共展出237位画家的237件作品,将持续至4月9日。此次展览是2023年苏州美术馆农历年后举办的首次展览。
2023-03-08 11:25
惊蛰节气,广西三江侗族自治县春茶已进入全面采摘期,侗乡茶农抢抓时节,采摘、加工早春茶。茶叶是三江侗族自治县的特色农产品,三江茶获批国家地理标志保护产品。
2023-03-07 10:12
2023年3月5日是"向雷锋同志学习"题词发表60周年,也是全国第60个"学雷锋纪念日",许多集邮爱好者来到"雷锋邮局"选购纪念邮品。
2023-03-06 10:45
2023年3月4日,在泰州市海陵区政府市民广场,志愿者为市民缝纫衣服。
2023-03-05 09:57
2023年3月3日,一艘货轮航行在杏花映衬下的长江重庆巫山段水域。随着气温的回升,长江三峡巫峡两岸,杏花竞相绽放,与碧绿的江水交相辉映,船行其间,如在画中。
2023-03-04 10:01
加载更多