查看原文
其他

SDK安全报告 对APP嵌入的SDK监管不足或导致巨大合规风险

闫小川 安全419 2022-08-17

近日,中国信通院联合腾讯发布了2021年软件开发包(SDK)安全研究报告,安全419通过阅读报告全文发现,报告从场景分析、数据统计、政策标准方面分享了SDK行业发展现状,对SDK行业面临的合规风险、安全风险进行了分析,并对SDK及App开发者提出了安全措施建议,同时从实践角度分享案例和经验。


安全419发现,报告涉及的部分内容并不被人们所广泛熟知,其内容将为对SDK行业生态的健康发展提供参考。



报告指出,随着移动互联网产业的兴起,移动应用软件(App)逐渐渗透到社会生活的各个领域,成为线上线下数据交汇的重要节点。根据工信部《2021年上半年互联网和相关服务业运行情况》监测数据,截至2021年6月底,我国国内市场上检测到的App数量为302万款。其中,本土第三方应用商店App数量166万款,苹果商店(中国区)App数量136万款。在数量迅速增长的同时,App也进入了精细化开发阶段,软件开发工具包(SDK)帮助App高效率、低成本地实现各类功能,为缩短App开发周期提供了便利。


SDK应用广泛,行业发展持续活跃


报告对SDK行业发展进行了总结,指出SDK通过专业化分工服务,帮助移动App快速实现业务功能、降低开发成本、缩短开发周期、有效节约资源,具有广泛的应用场景和价值空间,与移动互联网产业高度共生。按照SDK功能划分,目前比较成熟的SDK有广告类、推送类、数据统计分析类、地图类、第三方登录类、支付类等等。


SDK行业面临合规风险、安全风险


安全419关注到,报告指出SDK在提供便利的同时,也面临的合规风险、安全风险问题。

 

报告指出,SDK具有泛用性、灵活性等特点,与App存在密切联系,一旦出现安全问题,不仅自身业务受到直接影响,也会威胁到集成SDK的App业务安全和数据安全,对App的安全治理工作形成阻碍。报告提及目前国内关于SDK安全的要求主要分散在App相关的法律法规和标准中,SDK的合规问题与安全风险已经进入各方视野,相关工作在持续研究和推进,并不断完善。

 

报告对SDK的合规风险进行总结,在个人信息合规风险方面,主要存在SDK未经用户同意收集个人信息、超范围收集个人信息、未经授权使用个人信息,同时进一步的违规传输个人信息。报道进一步指出,App对嵌入SDK的安全管理监督不足是导致一系列问题的根本原因,但也确实存在App针对SDK进行技术检测存在一定难度有关。


引发深思的同时报告进一步指出,不仅App本身收集使用个人信息的合规问题应受到监督,“隐藏”在App中的SDK合规问题也应引起各方重视。


SDK自身的安全风险 漏洞问题不容忽视


App业务功能实现愈发依赖SDK,而SDK除了向App隐藏特定功能外,SDK本身也易出现安全问题,进一步影响宿主App及其用户。因为SDK在设计开发时聚集于功能的实现,安全漏洞难以完全避免,需要通过规范安全开发流程尽量减少漏洞。报道基于现实将SDK安全漏洞划分为五类,也强调了SDK在这一方面需要进一步提高安全性。他们分别是代码源文件安全类、内部数据交互安全类、本地数据传输安全类、通信数据存储安全类和防御检测类。


在安全风险表现最为突出的内部数据交互安全方面报告指出,从技术业务逻辑上看,SDK产品作为某类业务功能的底层实现手段,为宿主App实现业务功能或提供推送、统计、分析等轻量附加功能,与宿主App、系统组件、其他应用进行联调、交互,存在引发安全风险的可能性。调用系统本地浏览器组件过程中存在的安全配置问题是SDK本地交互中存在的典型问题之一。


另外,如果SDK存在组件漏洞,攻击者可以通过这些漏洞对App进行攻击,可能导致App崩溃或信息泄露等严重危害。例如某SDK存在可越权调用未导出组件漏洞,利用该漏洞可实现对集成该SDK的App的任意组件的恶意调用、任意虚假消息的通知、远程代码执行等攻击。


面向开发者的安全措施建设


报告面向SDK开发者提供了诸多建议,但报告也提及,SDK的安全涉及到设计、开发、分发、集成等关键环节,SDK开发者和App开发者都需要关注SDK的安全问题,并根据自己的角色定位,评估和排查相关安全风险。


面向SDK开发者,报告建议从处理个人信息应满足相关法律法规要求、将安全与合规覆盖SDK整个生命周期(并遵循合理、最小、必要原则)、向App开发者提供合规与安全开发指南、与App开发者约定双方在个人信息保护方面的责权等方面研判相关工作;


面向App开发者,报告建议从遵循合法、正当、必要的原则选择SDK,建立SDK安全规范,并依法依规处理与SDK相关的个人信息,同时完善合作协议,对SDK的安全性进行动态监测。


↓↓点击文末“阅读原文”可查看报告全文

THE END

// 推荐阅读

您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存