中国信通院-软件开发包-SDK-安全与合规白皮书-2019-_52页_4mb

软件开发包（SDK）安全与合规白皮书（2019）总结

核心内容

本白皮书由中国信息通信研究院安全研究所与北京市环球律师事务所联合发布，聚焦于第三方SDK在移动应用开发中的安全与合规问题，旨在为App开发者与SDK提供者提供指导与建议。

主要观点

1. SDK的广泛应用
   SDK已成为移动应用开发中不可或缺的工具，广泛用于登录、支付、推送、广告、统计分析和地图等场景，是移动互联网生态的重要组成部分。

2. SDK的安全问题

   • 存在多种安全漏洞，如HTTP误用、SSL/TLS不正确配置、敏感权限滥用等，可能影响App及整个Android生态系统的安全性。
   • 恶意SDK成为病毒传播的新途径，如“寄生推”SDK，可远程控制恶意代码，影响用户隐私与数据安全。
   • 隐蔽收集个人信息问题凸显，用户对SDK的数据收集行为往往缺乏感知，存在隐私泄露风险。

3. SDK的合规问题

   • 在法律层面，SDK可能作为数据处理者或共同数据控制者，需明确其在数据收集与使用中的法律地位。
   • SDK提供者若作为数据处理者，需通过App开发者获得用户的授权，否则面临合规风险。
   • 若SDK作为共同数据控制者，则需与App开发者共同承担数据处理的法律责任。

关键信息

第三方SDK常见类型及应用情况

第三方SDK应用特点

1. 普遍性：超过50%的App使用第三方SDK。
2. 数量多：各类App平均使用10个以上SDK，部分App使用超过30个。
3. 功能多样化：SDK不仅提供基础功能，还涉及数据分析、广告投放、登录验证等。

第三方SDK应用原因

1. 提升开发效率与降低成本：开发者可快速集成SDK实现功能，无需深入技术细节。
2. 增强用户体验：SDK提供灵活、易用的功能，支持个性化服务与定制化体验。
3. 提高兼容性：SDK帮助解决不同机型兼容性问题，扩大用户覆盖范围。

域外经验

欧盟（GDPR）

• 数据处理者与控制者的区分：SDK可能作为数据处理者或共同控制者。
• 合法依据：收集用户数据需获得用户同意，且不得默认同意。
• 告知义务：需明确告知用户收集信息的类型、目的和使用方式。
• 处罚机制：未履行告知义务或未提供选择退出权将面临欧盟数据保护机构的处罚。

美国（CCPA）

• 企业定义：只要收集或出售个人信息，且满足收入或数据量要求，即为受CCPA规制的企业。
• 告知与选择退出：收集个人信息时只需告知，出售时需提供选择退出权。
• 未成年人保护：出售16岁以下用户信息需获得明示同意。
• 监管机制：联邦层面由FTC监管，州层面由各州司法部门执行。

对我国的建议

1. 完善法律法规

   • 在《网络安全法》《电子商务法》等法规中明确SDK的责任与义务。
   • 在《个人信息保护法》《数据安全管理办法（征求意见稿）》等立法中纳入SDK管理相关内容。

2. App开发者合规义务

   • 完善隐私政策，清晰告知用户SDK收集信息的类型与目的。
   • 明确与SDK提供者的合作条款，确保数据共享的合法性。
   • 建立SDK使用前的审核、使用中的监督以及使用后的安全保障机制。

3. SDK提供者合规义务

   • 制定并公开个人信息收集与使用规则。
   • 加强与App开发者的合作，明确数据处理的合规责任。
   • 完善数据安全防护措施，包括数据加密、权限管理、数据访问控制等。

4. 制定SDK安全标准与指南

   • 针对SDK开发、嵌入、安全评估等方面制定标准，提升SDK安全性。
   • 建立SDK安全检测与评估机制，防止恶意SDK的出现。

5. 鼓励行业自律

   • 鼓励SDK企业制定行业规范，推动数据保护与隐私合规。
   • 建立行业自律机制，如签订自律公约、发布合规指南等，提升整体行业水平。

附录：SDK安全与合规实践案例

极光SDK

• 开发者协议与隐私政策：明确SDK使用前提，要求开发者获得用户授权。
• 技术保障：采用加密、访问控制等技术措施保护用户信息。
• 数据标识：使用JID进行数据标识，确保数据安全。
• 数据存储与使用：数据隔离存储，使用脱敏处理，确保隐私安全。
• 数据删除：根据App设置或法律法规进行周期性归档与删除。
• 新技术研发：提供一键登录、号码认证等功能，提升用户体验与安全性。

小米推送SDK

• 开发者协议与隐私政策：明确SDK使用规则，要求开发者获得用户授权。
• 技术保障：采用SSL、AES加密方式，确保数据传输安全。
• 数据标识：使用regID作为唯一标识符，避免用户信息泄露。
• 数据存储与使用：数据隔离存储，仅用于消息推送与统计分析。
• 数据删除：通过App实施数据删除，提供反注册接口。
• 对外合作：数据不对外提供，仅用于内部统计与分析。

TalkingData SDK

• 开发者协议与隐私政策：明确数据使用规则，要求开发者获得用户授权。
• 技术保障：采用分级存储、加密传输、脱敏处理等方式确保数据安全。
• 数据标识：使用TDID替代设备ID，实现数据匿名化。
• 数据存储与使用：数据按业务需求与地区进行分级管理，确保合规性。
• 数据删除：根据业务规则自动化删除数据副本，支持用户撤回同意。
• 新技术研发：关注边缘计算与AI识别技术，帮助开发者识别虚假设备，提升数据治理能力。

总结

SDK在移动应用开发中发挥重要作用，但其安全与合规问题不容忽视。本白皮书指出，SDK在数据收集、处理与共享过程中可能带来隐私泄露、数据滥用、安全漏洞等风险，同时涉及复杂的法律合规责任划分。为保障用户数据安全，需尽快完善相关法律法规，明确各方责任，并鼓励行业自律与技术标准的制定。通过App开发者与SDK提供者的共同努力，提升SDK的合规与安全水平，推动整个移动互联网生态的健康发展。