软件开发包（SDK）安全与合规白皮书_52页_4mb

软件开发包（SDK）安全与合规白皮书（2019）总结

核心内容

本白皮书由中国信息通信研究院安全研究所与北京市环球律师事务所联合编写，旨在探讨第三方SDK在移动应用（App）开发中的安全与合规问题，分析其在当前市场中的应用现状、存在的主要安全风险和法律合规问题，并结合欧盟、美国等域外经验，提出对我国SDK管理的建议。

主要观点

1. SDK广泛应用：第三方SDK已成为App开发的重要组成部分，嵌入SDK的App数量庞大，且平均每款App使用10个以上SDK。
2. SDK安全问题突出：SDK自身存在安全漏洞，如http误用、SSL/TLS配置不当、敏感权限滥用等，可能引发病毒传播、信息泄露等问题。
3. SDK合规问题严重：SDK在数据收集、使用过程中，常缺乏用户知情同意，导致法律合规风险，特别是在数据处理的正当性和透明性方面。
4. 域外经验参考：欧盟通过GDPR对SDK进行严格管理，强调用户同意、数据处理透明性；美国则以CCPA为主，采用Opt-Out为主、Opt-In为辅的模式。
5. 管理建议：应尽快完善相关法律法规，明确App开发者与SDK提供者的责任义务，推动制定SDK安全标准，鼓励行业自律。

关键信息

第三方SDK常见类型及应用情况

第三方SDK应用特点

1. 普遍使用：超过50%的App使用第三方SDK。
2. 功能多样：SDK种类繁多，功能不断扩展，成为App数据枢纽。
3. 数量较多：部分App使用SDK数量超过30个。

第三方SDK主要安全问题

1. SDK自身安全性不足：存在漏洞，可能被用于恶意攻击。
2. 成为病毒传播途径：部分恶意SDK通过动态加载、代码分离等方式传播病毒。
3. 隐蔽收集个人信息：SDK可能在用户不知情情况下收集敏感信息。

第三方SDK主要合规问题

1. 数据处理合法性缺失：多数App未获得用户同意，SDK提供者无法直接获得用户授权。
2. 角色界定不清：SDK可能作为数据控制者或数据处理者，需明确其法律地位。
3. 数据处理透明性不足：SDK行为对用户透明度低，易引发隐私侵权争议。

域外经验

• 欧盟：通过GDPR规范SDK行为，要求获得用户明示同意，强调数据处理的透明性和合法性。
• 美国：CCPA采用Opt-Out为主、Opt-In为辅，要求企业向用户提供选择退出权，对未成年人数据收集有特别规定。

对我国SDK管理的建议

1. 完善法律法规：明确App开发者与SDK提供者的责任义务，引入惩罚条款。
2. App开发者合规义务：完善隐私政策，明确SDK信息收集范围和目的，加强合作方审核与监督。
3. SDK提供者合规建设：制定数据收集使用规则，加强技术防护，完善数据安全体系。
4. 制定SDK安全标准：加快制定SDK开发、嵌入、安全评估等方面的标准和指南。
5. 推动行业自律：鼓励SDK企业制定行业规范，签订自律公约，提升行业整体合规水平。

附录：SDK安全与合规实践

极光SDK

• 开发者协议与隐私政策：明确数据收集、使用、共享的规则，提供合规模板。
• 技术保障措施：采用加密、访问控制、数据隔离等手段保护用户信息。
• 用户标识：通过JID进行匿名化处理，防止用户身份泄露。
• 数据删除机制：提供数据归档与删除服务，确保数据生命周期管理。
• 新技术：提供一键登录、号码认证等功能，提升用户体验与安全性。

小米推送SDK

• 隐私政策与开发者协议：规范数据使用，强调用户授权。
• 技术保障措施：使用SSL和AES加密，保障数据传输与存储安全。
• 用户标识：通过regId进行设备识别，不包含用户个人信息。
• 数据存储：分类管理，分级存储，确保数据安全。
• 数据删除：通过SDK接口实现数据删除，同时根据设备活跃度进行数据清理。
• 新技术：引入边缘计算与AI识别，提升数据安全与分析能力。

TalkingData SDK

• 开发者协议与隐私政策：提供灵活定制服务，明确用户授权机制。
• 技术保障措施：建立数据安全管理体系，采用加密、脱敏、分级存储等措施。
• 用户标识：通过TDID进行用户识别，替代设备ID，提升隐私保护。
• 数据存储与管理：依据法律法规和商业需求进行数据分级存储与管理。
• 数据删除机制：自动化删除数据副本，保留原始日志不少于6个月。
• 新技术：关注边缘计算与AI技术，提升SDK智能化水平。

结语

SDK已成为移动互联网生态中的关键组件，但其安全与合规问题日益突出。亟需通过法律法规完善、技术标准制定、行业自律等方式，提升SDK的安全性和合规性，保护用户个人信息，推动行业健康发展。