南都-CFCA-常用第三方SDK_收集使用个人信息测评报告-2019.7-15页_3mb

常用第三方SDK个人信息收集测评报告总结

核心内容

本报告由南都个人信息保护研究中心与中国金融认证中心 (CFCA) 联合发布，旨在分析市场上常用第三方SDK在收集用户个人信息方面存在的问题，重点关注SDK的使用情况、信息收集行为及必要性，以引起社会对SDK安全风险的关注，推动政府监管和行业自律。

主要观点

• SDK使用普遍：在60款用户量较大的App中，平均每个App使用19.3个SDK，其中生活服务类App使用最多，移动金融类App因加固技术难以准确检测。
• 信息收集广泛：SDK收集的信息包括手机设备信息（如IMEI、IMSI）、网络信息（如IP地址、MAC地址）、手机状态信息、用户行为信息及用户个人信息（如电话号码、地理位置、通话记录）。
• 部分SDK存在隐私风险：部分SDK收集的信息超出其功能需求，且App未向用户明确告知，例如支付宝SDK获取手机号、讯飞SDK获取环境或通话录音、TalkingData SDK获取地理位置等。
• SDK权限与信息收集不匹配：部分SDK在代码中能获取的个人信息范围超过其声明的系统权限，可能涉及用户隐私泄露。
• 信息传输不安全：部分SDK向服务器传输未经加密的用户个人信息，增加了数据泄露和滥用的风险。

关键信息

一、测评方法

• 测评对象：60款App，涵盖社交交友、生活服务、休闲娱乐、购物导购、旅游交通、移动金融六大行业，每行业10款。
• 样本采集：通过逆向分析、抓包、函数挂钩等技术手段，从官方网站和应用宝获取APK安装包及SDK官方文档。
• 采集时间：2019年4月至7月，测试时间主要集中在2019年6月至7月。

二、测评结果

1. SDK使用个数和类别

• 60款App共使用至少966个SDK，平均每款App使用19.3个。
• 消息推送类SDK被调用最多，共264次。
• 常用SDK包括微信SDK（47款App使用）、腾讯Open（41款）、小米推送SDK（40款）、华为SDK、支付宝SDK、Facebook SDK、爱彼迎SDK。
• 功能类别：消息推送类、生活服务类、辅助开发类SDK使用较多。

2. 信息收集

• 设备信息：150个SDK获取IMEI、IMSI等设备唯一识别码。
• 网络信息：超过35个SDK获取Wi-Fi连接信息、IP地址、MAC地址、运营商与基站信息。
• 用户行为信息：10个SDK获取锁屏、安装、升级、卸载等行为信息。
• 用户个人信息：32个SDK获取地理位置信息，部分SDK获取电话号码、手机视频和相册信息，甚至环境或通话录音。
• 隐私告知缺失：部分App未在隐私政策中说明SDK收集的信息，例如中国银行手机银行App的讯飞SDK、宜人财富App和宜人贷借款App的TalkingData SDK。

3. 必要性分析

• 根据《网络安全实践指南—移动互联网应用基本业务功能必要信息规范》，SDK收集的信息应符合必要性原则。
• 有部分SDK收集的信息超出了必要范围，例如Ping++、TalkingData、友盟等，涉及支付卡信息、地理位置、传感器数据等。
• 用户未被明确告知SDK收集的信息，且未获得同意，违反了“知情同意”原则。

三、SDK集中分析

1. 系统权限

• 15个主流SDK中，极光数据分析SDK申请系统权限最多（14项），其次是百度地图SDK（10项）、腾讯地图SDK（8项）等。
• 部分SDK能获取的个人信息范围超过了其声明的权限，可能涉及隐瞒收集用户信息。

2. 信息上传

• SDK上传的内容多为设备信息、网络信息和手机状态信息。
• 部分SDK上传未经加密的用户个人信息，如Ping++、TalkingData、携程、百度地图等，增加了信息泄露和滥用的风险。

四、结论

1. 头部互联网公司SDK使用广泛：微信、腾讯、小米、华为、阿里、Facebook等公司提供的SDK被大量App使用，涉及社交、支付、消息推送等功能。
2. 隐私告知不足：部分SDK收集用户个人信息，但App未在隐私政策中说明，用户知情权未被保障。
3. 存在隐瞒收集行为：部分SDK能获取的个人信息范围超过其声明的权限，可能存在隐私泄露风险。
4. 信息传输不安全：部分SDK上传未经加密的个人信息，存在数据安全问题。

五、声明与保留

• 本报告仅针对2019年4月前的样本进行分析，不保证覆盖所有SDK行为。
• 隐私政策和App功能可能随时间调整，报告仅对截止日样本负责。
• 南都个人信息保护研究中心保留最终解释权。

建议与展望

• 应加强对SDK的监管，确保其信息收集行为符合法律法规和用户知情同意原则。
• App开发者应明确告知用户SDK收集的信息及目的，保障用户隐私权。
• 提高SDK信息传输的安全性，避免数据泄露和滥用。

联系方式

• 邮箱：ppa-nandu01@163.com
• 微信公众号：【隐私护卫队】