现如今,大量App借助SDK实现特定功能,提供便捷服务,满足用户多样需要,但APP使用SDK也可能带来相关安全问题,包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中,SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性,对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同,恶意劫持App流量,可能对App造成损害;隐私窃取指SDK在用户不知情或误导用户的情况下,隐蔽窃取用户的通讯录、短信息等个人敏感信息,隐蔽进行拍照、录音等敏感行为,并发送给恶意开发者;广告刷量指SDK在最终用户不知情的情况下,在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面,安天移动安全发现,应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中,包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外,当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现,其主要提供用户行为统计功能,并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同,因此对其在不同月活范围 App 中的数据收集行为进行抽样分析,从结果上来看,该SDK 普遍存在违规收集和超范围收集个人信息的问题,并且在月活较低的 App 接入的版本中,还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况,并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例,在相关检测中发现,在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外,还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序(App)收集个人信息基本要求》中明确定义了不同业务场景下,应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中,收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围,但其合理性和必要性存疑,例如收集个人信息范围为软件安装列表,但实际除了收集安装应用包名信息外,还收集了安装应用运行状态信息等,这就涉及超范围收集个人信息。
例如,某统计类 SDK除了应用开发者本身主动调用相关事件接口外,SDK自身还注册监听了多种广播消息,在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听,除此以外,还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外,当前 App 接入的 SDK 中还存在云端控制SDK行为,热更新技术控制 SDK 行为,后台拉活、自动下载安装、误触下载等风险行为。
(监制:张宁 策划:李政葳 制作:黎梦竹)
“绳彩飞扬”助力校园特色体育******
山东省济南市历下区历山学校:
“绳彩飞扬”助力校园特色体育
近日,在山东省济南市历下区历山学校操场上,学生们随着大绳和小绳的翻飞,机智地跳跃、跑动,笑意写在脸上、快乐洋溢心中。这是该校学生正在备战全国跳绳联赛训练的场景,而全校开展跳绳活动正在成为学校的一道风景,“人人会跳绳、天天有比赛、班班有队伍”局面已经形成。
从2018年9月开始,历山学校着力研发实施“绳彩飞扬”特色课程体系,在“以绳健体、以绳会友、以绳促德、以绳增智”的理念引领下,学校以学生体质健康为中心,以体育课堂为载体,以阳光大课间为补充,以“绳彩飞扬”为主题,充分发挥花样跳绳特色项目的育人作用,将校园特色体育文化建设与学校整体文化育人建设紧密结合起来,为学生健康打下了坚实基础。
“绳彩飞扬”课程推动学校特色体育文化发展
近年来,历山学校结合本校实际情况,遵循学生年龄阶段的发展规律,加强对跳绳运动传统文化的传承,引导学生逐步了解跳绳文化,不断丰富跳绳课程内容,同时,将跳绳与音乐等学科相结合,借助音乐的旋律,提升学生对韵律的欣赏和对节奏的把握;立足实践探索编制花样跳绳绳操“绳彩飞扬”课程教材,在学校大课间推广,激发学生跳绳的兴趣,为校园特色文化打好基础。
除了提升学生们的技能,学校还注重跳绳知识和礼节等相关体育文化的教育,将花样跳绳技能教学渗透到体育教育中,由“戏”过渡到“育”的阶段,其内容和形式不断发展变化。同时,学校注重跳绳组合形式等方面的探索与研究,使花样跳绳运动朝着多样性、娱乐性、观赏性的方向发展。经过大量的“练”和“赛”,不仅学生之间的默契配合度得到提升,团队合作意识与能力也得到增强。
学校还充分发挥第二课堂的作用,利用花样跳绳社团弥补学生“练”“赛”的不足。为提高学生兴趣,学校专门成立了“跳绳社团教师指导小组”,以帮助各学习小组的教师学好每一个动作。同时,学校还加大对课程理论的学习研究,参与编写《山东师大基础教育集团跳绳教程》《花样跳绳》校本教程教材,申报课题“跳绳运动对提升小学生体质健康的实践研究”等。
多种方式推动“以赛促练,以练促学”
学校充分考虑跳绳场地较小的特点,利用“天天跳绳”软件,组织全校线上跳绳比赛,组织学生参加山东省第一届线上中小学生跳绳比赛,为学校线上体育教学发展提供了更多借鉴和经验,让“以赛促练”成为学校体育发展的主要路径。
结合学校体育教学实际,学校着力推进“以赛促练,以练促学”活动。第一学期低年级以“一分钟并脚跳”为主,高年级以“8字绕”为主;第二学期学校组织体育节、跳绳吉尼斯活动。同时,借助山东师大基础教育集团办学优势,2021年,学校承办了“童心向党,绳彩飞扬”山东师大基础教育集团跳绳比赛,让整个校园因花样跳绳焕发出新的活力与生机。
“绳彩飞扬”助力学生全面成长
通过特色体育文化引领,学校的体育工作实现了质的提升。
2021年学生体质健康综合评价达标率为96.34%,其中一分钟跳绳达标率高达99.61%。从2018年开始至今,历山学校花样跳绳队在全国跳绳联赛、全省全民健身运动会、全省中小学生线上跳绳比赛、济南市中小学生跳绳比赛上屡次取得优异成绩:18次获得全国跳绳联赛第一名,连续4年获得山东省特等奖,学校“绳彩飞扬”活动获得历下区“阳光大课间”活动评比第一名,学校被评为“山东省校园跳绳推广学校”。
(作者:辛吉荣 王欣欣,单位系山东省济南市历下区历山学校)
《中国教育报》2023年01月10日第9版
(文图:赵筱尘 巫邓炎)