点击右上角微信好友

朋友圈

请使用浏览器分享功能进行分享

正在阅读:【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!
首页> 网安频道> 要闻 > 正文

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

来源:光明网2022-04-11 19:22

  随着移动互联网的快速发展,手机App的功能复杂程度和版本更新速度不断提升。基于对手机App及其接入的第三方SDK(软件开发工具包)的分析和研究,近日,安天移动安全从SDK给应用开发者和App用户可能带来的安全风险和权益问题的角度,对SDK行为安全性现状作出专项报告解读。

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

(图源网络)

  焦点1:第三方SDK使用情况如何?

  报告显示,应用开发者为了提高应用的迭代速度、降低开发成本以及提供更加丰富的业务功能,除了自主开发App的相关功能代码,还会接入由第三方开发的功能代码模块,从而快速接入和实现某类业务功能。

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

(图源网络)

  目前,常见的第三方开发的功能代码模块类型有广告SDK、支付SDK、消息推送SDK、用户行为统计SDK等。

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

  应用开发者往往和第三方SDK开发者签订某种开发接入的协议约定,获取到接入的SDK开发工具包,通过接入demo(样稿)示例和开发文档,以调用通过相关API(应用程序接口)的方式获取SDK提供的功能和服务。

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

  实际应用中,SDK的使用场景会更为多样化。除了SDK提供者提供开发工具包供应用开发者接入的形式外,还包括SDK提供者提供URL(统一资源定位系统)请求API、非Java(计算机编程语言)实现的SDK代码模块,以及可供应用开发者内嵌至其URL请求API中的外链地址或脚本等形式。

  焦点2:国内主流SDK提供者有哪些?

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

  从国内主流的SDK提供者来看,主要可以划分为3种类型——

  综合性的SDK提供者:

  旗下会开发多款SDK产品,用于向应用开发者提供多样性的SDK功能。例如,极光、个推、友盟等SDK提供者。

  特定品类SDK提供者:

  SDK主要针对特定品类应用提供其所必须的某种功能,旗下SDK产品的类型较为单一。例如,数盟、数美主要提供安全风控类的SDK

  手机终端厂商:

  手机终端厂商会基于系统功能特性为应用开发者提供更为便利的SDK功能服务,既降低应用在特定手机终端系统上功能开发的成本,也能够有效利用系统提供的多样化功能服务,为应用实现更多功能。

  焦点3:手机App接入SDK需注意哪些问题?

  集成第三方SDK的优势显而易见:首先,应用程序可以获得专业公司在各个领域提供的高质量资源;

  其次,如果应用程序将类似PayPal(在线支付服务商)的第三方SDK包含在内,它就可以执行像付款这样复杂的功能。尤其是对于小型的开发团队,这些SDK有助于提高应用的开发效率。

  另外,广告平台这种第三方SDK,还可以帮助应用程序的开发者获得收益。

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

  在这个过程中,应用开发者(通常以中小开发者为主)往往难以全面评估接入SDK的安全性,以及SDK的全部运行行为。如果第三方SDK存在某些恶意或风险的代码、行为,则会被引入到App中,给应用开发者和App用户带来不可估量的安全风险和权益问题

【动画】接入手机的SDK或是“暗桩”,这些风险点需要特别注意!

  多项研究也证实,一些第三方SDK存在隐私泄露问题。除了侵犯用户隐私以外,有些第三方SDK还会采取不安全的实现方式,增加其宿主应用程序的攻击面,从而对用户安全造成威胁。甚至是一些信誉较好软件公司的SDK,也被发现存在严重的安全漏洞。

  这些漏洞带来的攻击包括:将敏感数据泄露到公开可读的数据源,代码注入攻击、账户劫持,将受害者设备连接到攻击者控制的Dropbox(一款免费网络文件同步工具)账户等。

  有业内人士表示,当应用程序开发人员将第三方SDK加入到应用程序中时,会将某些权限、组件、数据等信息添加到manifest(一种软件,可以运行任何应用程序的代码)文件中。而第三方SDK可以与主机应用程序共享manifest文件中的权限。

  换言之,即使SDK在开发文档中没有声明需要某些权限,如果manifest文件作了声明,那么SDK也可以使用这些权限……

  监制:张宁 策划:李政葳 制作:姚坤森 

[ 责编:孔繁鑫 ]
阅读剩余全文(

相关阅读

您此时的心情

光明云投
新闻表情排行 /
  • 开心
     
    0
  • 难过
     
    0
  • 点赞
     
    0
  • 飘过
     
    0

视觉焦点

  • 习近平同巴西总统卢拉共同签署联合声明

  • 习近平同巴西总统卢拉共见记者

独家策划

推荐阅读
11月12日至13日,浏阳市委常委、组织部部长、市家居建材产业链链长唐安石带队,市人大常委会党组副书记、副主任、市家居建材产业链副链长张葵红,市人民政府党组成员、副市长、市家居建材产业链副链长谢波等同志参加,赴广东省佛山市开展家居建材产业链招商考察活动。
2024-11-15 17:20
2024年11月12日,江苏省苏州市荷塘月色湿地公园内向日葵竞相绽放,吸引众多游客前来观赏,乐享秋日美景
2024-11-13 15:29
2024年11月12日,湖南省怀化市通道侗族自治县双江镇的烂阳村,山林色彩斑斓,红叶似火,黄叶如金,松柏常青,宛如大自然的调色盘
2024-11-13 15:28
南泥湾是中国军垦、农垦事业的发祥地,是“自力更生、艰苦奋斗”创业精神的发源地。
2024-10-27 17:37
延安地区拥有丰富的煤炭资源,在采矿井约40家,年开采量约5000万吨,但煤质坚硬、自动化程度低等难题严重制约着煤炭产业的发展。
2024-10-27 17:18
近日,在陕西延安举行的“弘扬延安精神,奋进伟大时代” 网上主题宣传系列访谈中,洛川青怡庄园生物科技有限公司副总裁肖小杰介绍,他们企业的苹果按个卖,一个可以卖到10元。
2024-10-25 18:49
堆积起来的生菌木材冒着热气儿,菌种生产厂房里机器轰鸣,滑子菇大棚里农民忙着收“金疙瘩”。
2024-10-25 18:43
你以为的农村是雨天泥泞,还是道路整洁?爬高上低,还是风景无限?高家原则将山体沟道治理作为城市有机更新和创建文明典范城市抓手,让山体沟道,环境大改善。
2024-10-24 18:11
近日,在陕西延安举行的“弘扬延安精神,奋进伟大时代” 网上主题宣传系列访谈中,延安大学经济与管理学院副教授、数字经济专业负责人王珊珊介绍,从卖苹果到卖服务,这是数字技术非常好的一个创新,和产业结合的非常有深度。通过消费者与大自然以及果树的亲密视觉接触,可以提升他们的体验感,增加对苹果这种产品的客户粘性和客户忠诚度。
2024-10-24 18:08
当陕北说书遇到延安美食,碰撞出延安独特的人文魅力。
2024-10-24 18:06
激昂的旋律回荡在空气中,豪迈的歌声飞扬于天地间。壮丽的情怀澎湃在心田里,不朽的精神传承于岁月中……
2024-10-24 17:59
小孩哥小孩姐把安塞腰鼓课间操跳得超燃!
2024-10-24 17:59
青山环绕、绿水蜿蜒,这是吴起南沟村给记者们留下的第一印象。谁能想到,这个位于陕西省延安市吴起县的小村庄,曾经风沙肆虐、植被稀疏。经过二十多年艰辛努力,光秃秃的黄土高坡绿意盎然。
2024-10-24 17:50
在宝塔区河庄坪镇政府的扶持下,延安菌舰生物科技有限公司采用“企业+合作社+农民”模式,带动400余人家门口就业,人均增收2000元。食用菌产业的蓬勃发展,不仅为农民带来稳定收入,更为乡村振兴注入活力。点赞延安菌舰,为农民增收,为乡村添彩!
2024-10-24 17:48
10月23日,“弘扬延安精神 奋进伟大时代”网上主题宣传媒体团来到了延安新材料产业园,亲身体验石墨烯发热背心,感受科技的温暖拥抱。
2024-10-24 11:18
近期,延安市薛张小流域水土保持项目碳汇交易成功!这不仅是一次生态保护与经济发展的双赢,更为延安乡村振兴注入了新的活力!
2024-10-24 11:16
10月22日,“弘扬延安精神 奋进伟大时代”网上主题宣传媒体团来到了位于延安市安塞区南沟村的苹果基地,在这里记者们亲身体验苹果采摘,倾听果农的心声。同时,记者团还开展了一场特别的直播带货活动,助力果农销售苹果。此次活动不仅展现了果农的辛勤付出,也让更多人了解到延安苹果的魅力,为乡村振兴贡献了一份力量。
2024-10-24 11:07
10月23日,“弘扬延安精神 奋进伟大时代”网上主题宣传“逐梦之路”媒体采访团走进延安宜川县,追寻“悬崖造林队”的故事。
2024-10-24 10:27
陕北说书最近火爆出圈,董宇辉在直播中表示向往陕北文化,想成为一个陕北说书人。这一段陕北说书,带你行走在延安的绿水青山间。
2024-10-24 10:21
近日,在陕西延安举行的“弘扬延安精神,奋进伟大时代” 网上主题宣传系列访谈中,延安数据(集团)有限责任公司董事长高延宏介绍,延安的地域特点适宜建立算力中心,要把平台搭建好,把更多的企业引到延安,建立归属在延安的算力中心,更好的服务延安、服务陕西。
2024-10-24 10:18
加载更多