【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

第十轮投票仍未果 美众议院议长选举混乱局面如何收场？******

　　中新网1月6日电 综合报道，当地时间1月5日，美国众院议长选举第十轮投票仍未果，尽管做出了巨大让步，共和党领袖麦卡锡反而一再丢票，未能赢下党内保守派的支持，议长之位持续“难产”。麦卡锡称，共和党人虽未能达成一致，但谈判已取得很大进展。不过，他的反对者则警告称，这场“议长之争”可能拖上数周。

　　美国有线电视新闻网(CNN)指出，在第十轮投票失败后，目前的众议院议长选举，已经成为了164年来投票次数最多的一次。此前最高纪录发生在1859年，当时的投票进行了四十四轮。如果无法选出众议长人选，所有众议员都无法宣誓就职，众议院的正常工作也无法推进。

　　资料图：麦卡锡。 中新社记者 沙晗汀 摄

　　“谈判让麦卡锡显得软弱”

　　继10轮投票后，众议院依然无人赢得当选议长所需的简单多数，即至少218票。共和党在新一届众议院占222席，其中200人在把票投给麦卡锡、21人投给共和党众议员唐纳兹，一人投“缺席票”；民主党人的212票则一致投给了众议院民主党领袖杰弗里斯。

　　据《纽约时报》援引三名知情人士报道称，在过去两天连续六轮投票未能胜出后，麦卡锡私下里同意了反对派提出的更多要求，包括允许一名议员在任何时候强制进行快速投票，把他从议长位置上“赶下来”，这将极大削弱议长权力。

　　一名知情人士透露，麦卡锡还承诺允许右翼派系在强大的规则委员会中挑选该党三分之一的成员。此外，他还承诺将开支法案开放给自由辩论，任何议员都可以在辩论中提出修改，包括那些旨在破坏或否决法案的修改。

　　“事实上，(麦卡锡)正在与共和党人谈判，这让他看起来非常、非常软弱，以至于到了绝望的地步。”一位共和党游说者说道。

　　另据英国广播公司(BBC)报道，共和党人虽然在11月以微弱优势赢得了众议院的控制权，但共和党内部的裂痕由来已久，一群强硬的保守派联合起来反对麦卡锡的提名。

　　“麦卡锡有一段时间没有与核心小组的部分成员交朋友，他树敌很多，”另一位匿名的共和党游说者称。“出于政治原因或个人原因，有些人不喜欢他。”

　　麦卡锡该何去何从？

　　华盛顿的政治观察家已经开始就众议长选举该如何结束提出各种假设。他们预测可能的结果有：麦卡锡坚持并获胜，但做出了各种重大妥协，到完全可能退出选举，转而支持其副手路易斯安那州众议员史蒂夫·斯卡利斯。甚至有一个不太可能的结果是，5名共和党人决定投票给民主党人杰弗里斯，并让他控制众议院。

　　芝加哥大学研究党派关系的政治学家露丝·布洛赫·鲁宾 (Ruth Bloch Rubin) 称，就目前而言，麦卡锡“基本上是党内一方的人质”。

　　麦卡锡已承诺不再做出任何让步，但可能也别无选择。他可以尝试通过出色地完成委员会的任务或担任新的领导角色来赢得顽固派共和党众议员的支持。

　　“他必须给那些反对他的人一些东西来挂在帽子上，”曾为前国会议员游说者的亚伦·卡特勒说道。然而，另一位共和党游说者认为“根本没有通往胜利的道路”。

　　新加坡《联合早报》称，共和党人在民主党人帮助下选出“折中人选”的可能似乎越来越大。进步派民主党众议员卡纳表明，可能支持一名温和派的共和党人成为议长，前提是对方同意与民主党共享传票权，并避免在政府资金和债务上限问题上采取边缘政策。

　　英国《独立报》称，这并不是麦卡锡第一次角逐众议院议长一职，2015年时任众议院议长约翰·博纳辞职后，麦卡锡曾参加竞选，但随后宣布退出并导致投票被推迟。

　　众议院议长选举为何如此重要？

　　在美国政坛，众议院议长是“三号人物”，地位仅次于总统和副总统。众议长是众议院的政治领袖，掌管着众议院议事日程。众议院掌握弹劾权和政府的“钱袋子”。

　　据BBC介绍，众议院议长是美国政治中最重要的角色之一，控制着众议院的立法议程和时间表，以及各委员会的席位。

　　分析称，旷日持久的众议长选举可能会破坏众议院共和党人在优先事项上迅速取得进展的希望，其中包括调查拜登政府和其家人，以及关于美国经济、能源独立和边境安全的立法等。

　　共和党内最激烈的反对来自右翼。《纽约时报》分析称，即便麦卡锡争取到了足够票数，他作为议长显然也会受到右翼的裹挟，因为他在拉票过程中不得不给他们一些承诺。但另一方面，一些共和党内反对派则表示，不相信麦卡锡在最后时刻给他们的承诺。

　　第11轮众议长投票选举正在进行，尚不清楚僵局是否会打破。