【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

贾科梅蒂的巴黎十四区******

　　贾科梅蒂最有名的雕塑作品《行走的人》，诞生于他那间只有23平方米的工作室兼卧室。他的这间租来的工作室，在他死后物归原主，现在早已成了巴黎14区蒙巴纳斯街区无数外表老旧的公寓房中的一间。只有门口高悬的市政府牌子还能提醒路人，这里曾经住过一位伟大的艺术家，诞生过无数名垂青史的作品。

　　2010年，《行走的人》在英国伦敦苏富比拍卖行以6500万英镑成交，刷新了当时雕塑艺术品拍卖成交价格的世界纪录。

　　阿尔贝托·贾科梅蒂(1901—1966)出生于瑞士意大利语区一个小村，终其一生，他都与那里有着千丝万缕的联系。那是他灵感的源泉、心的归属地、身的休憩所和躲避二战战火的世外桃源。也正是在那里，他在13岁时以当地的山水为主题画下了第一幅水彩画。

　　在这间曾经吸引过许多与他同时代的画家、雕塑家、摄影家、作家、哲学家、记者等前来拜访的工作室里，他对着模特创作素描或雕塑，与同道者高谈阔论，为名为《超现实主义为革命服务》的刊物写稿，同时也在这里居住、生活。屋角放了一张床。在一段时间内，贾科梅蒂和他的夫人以及他的弟弟——这两个长期给他当模特的人——一起住在这间尘土飞扬、连上个厕所都要出门长途跋涉的房间里。在他功成名就、有了支付能力之后，终于有一天他不得不给终日抱怨的夫人和弟弟在巴黎各买了一套公寓，但是贾科梅蒂仍然留在这里创作。从1927年租下这间房一直到死，除去中间有几年回瑞士躲避战火，他在这里租住了40年。

　　这个地方离他的老师安托万·布尔戴尔的工作室不远。他老师的老师、雕塑大师罗丹的家和工作室也在大约两公里的地方。1922年，他接受了父亲、著名后印象派画家乔瓦尼·贾科梅蒂的建议来到巴黎，在“大茅屋”艺术院与后来都逐渐成为世界级大师的那些画家、雕塑家们整天泡在一起。当然，他也免不了晚上去附近的那些著名酒吧和咖啡馆消磨时光，这些地方都离得很近。贾科梅蒂和同时代其他那些气味相投的艺术家们一样，甫一来到法国巴黎，就直奔蒙巴纳斯街区，自此再也没有离开过这里。他们巴黎生活的主要活动范围，也就是在这个直径最多五六公里的小圈子之内。而他们的灵魂，即使在他们离开了巴黎乃至离开了人世之后，也从来没有离开过这里。

　　这也是为什么在贾科梅蒂的遗孀去世、他所有的作品被捐献给了“贾科梅蒂学院—基金会”之后，这个拥有贾科梅蒂最多作品的机构，决定还是在巴黎14区蒙巴纳斯街区，寻找一处能够符合艺术家生前的生活和创作氛围以及身后名望的处所，以便为他建立博物馆。最终他们选定了著名“新艺术”派装饰艺术家保罗·佛劳特亲自设计和曾经长时间生活和创作的私宅，作为贾科梅蒂博物馆。保罗·佛劳特曾经为巴黎第一座百货商厦、著名的百货公司乐蓬马歇做室内设计。而贾科梅蒂在贫困潦倒的时候，也曾和弟弟一起，接下一些室内装饰设计的合同，挣点零花钱、快钱，以保证他们在实在受不了狭小脏乱的工作室兼卧室的时候，能有条件去旁边的饭店住几天，换换环境。

　　博物馆面朝著名的蒙巴纳斯公墓，那里安息着诸如萨特等众多知名知识分子和艺术家。这个贾科梅蒂生前也许从未走进、但一定从窗前多次走过的房屋，向左几十米，就是著名的女权主义者、萨特女友、作家西蒙娜·波伏瓦的故居。而萨特和波伏瓦都属于在贾科梅蒂来到巴黎之后，就迅速在他周围形成的粉丝群中的一员。相信如果贾科梅蒂九泉之下有知，一定也会对这样的安排感到满意。

　　在贾科梅蒂骤然离世之后，他的夫人搬离了那间租来的工作室。幸运的是，对自己丈夫的创作和作品充满深情和自信的艺术家夫人，尽可能地把那间著名工作室的所有摆设原封不动地搬离，包括一面满是贾科梅蒂即兴创作的内墙。这使得工作室现在得以在博物馆中被还原。

　　其实将其称作博物馆是不准确的。它真正的名称是“贾科梅蒂学院”。爱好者们可以来这里参观，看大师的真迹，研究者们则可以在这里进行学术研究。

　　据说，贾科梅蒂的大多数作品，都是在模特已经离开工作室之后才创作完成的。具体的形象只能为他带来灵感，抽象的他们才构成他的素描、绘画或雕塑作品。1937年，贾科梅蒂和来自爱尔兰的戏剧家贝克特(1906－1989)在左岸的花神咖啡馆相遇，很快两人便成为好友，他们一起观察来往的人，讨论艺术。周围形形色色的生活为他们的创作提供了灵感，他们手中或笔下抽象的形象，都来自一个一个生动具体的人物。1961年贝克特的《等待戈多》再次上演，贾科梅蒂欣然为其制作舞台背景。

　　多年来，“贾科梅蒂学院—基金会”将他的作品在世界各地轮流展出，并决定永不出售他的任何一件作品。而与贾科梅蒂作品一个侧面或一个细节相关的内容，则可能成为一次展览、一场交流的主题。

　　(本报记者 何农)