原标题：工信部通报13款违规SDK！工信规范治理APP侵权为何要规范SDK？

当你第一次下载使用某应用软件（APP）时，部通报款多半会被要求通过微信、违规为何QQ或者支付宝授权一键登录。侵权对用户来说，工信规范这有可能增加了个人信息泄露风险，部通报款甚至直接被SDK收集了更多的违规为何个人信息。

那么，侵权SDK是工信规范什么？它是如何嵌入一款APP的？治理APP侵权为何要规范SDK？

SDK是什么？

“SDK就是软件开发工具包。”知乎博主刘看山说，部通报款“用以辅助开发某一类软件的违规为何相关文档、范例和工具的侵权集合都可以叫做SDK。”一项功能被封装成SDK，工信规范就可以出售给不想从头搞研发又需要这项功能的部通报款公司。

“对于APP来说，违规为何嵌入SDK是非常普遍的一个现象。”赛迪智库网络安全研究所所长刘权对《中国消费者报》记者说，

“对于用户而言，一个APP的身份认证、数据加密、支付、信用查询、信息核验、安全服务、数据统计等服务功能，被打成一个包，直接通过SDK调用第三方的应用。SDK在APP上的应用很多，其作用就是为程序开发人员提供便捷，通过调用别人做好的模块，需要什么功能就按文档来调用对应接口，具体功能不需要自己开发。”

SDK违规行为不易察觉

近日，工信部最新公布的侵权APP名单里，将13款第三方SDK纳入该名单，公开其存在的具体违规问题。

“目前SDK应用存在诸多问题，如没有明示SDK功能、收集使用信息的规则、目的、方式、范围、用途等。”刘权说。

“基于开发便利和用户研究的需要，往往需要大量的手机用户信息，因为在使用这些信息前往往不能判断哪些信息有价值，所以就会过量地收集一些看起来不必要的信息。”业内观察人士马继华说。

比如很常见的一键登录SDK，实现功能相同，有的收集IMSI（国际移动用户识别码）、WiFi网络信息，有的获取系统设置项等信息，有的则需要WLAN状态等权限，APP想要兼容多个登录入口，就必须声明获取上述全部信息，这就增加了APP过度收集个人信息的风险。

又如，用户为实现订餐功能授权APP调用位置权限，但技术分析发现，APP内嵌的广告类、用户画像类SDK也趁机调用了位置权限。

“SDK的问题相对比较隐蔽，用户往往感觉不到，只是后台的开发者、程序员们才能了解，但这种信息的收集也有可能被用于非法的目的。”马继华说，“因此，有关部门应该定期通过专业技术进行检查测试，保护普通用户的合法权益。”

“SDK作为个人信息保护的一环被关注的时间较短，相关标准和经验较少。”刘权说，“从技术上讲，应组织开发检测平台、软件和工具，鼓励APP厂商或服务商开展自我检查或委托第三方进行检测。从标准上讲，应组织制定SDK信息披露方式及模板，将SDK功能、收集使用信息的规则、目的、方式、范围、用途等问题清晰地逐一列出，以保证用户知情权。”

国家计算机网络应急技术处理协调中心相关负责人指出，部分头部企业已开始重视SDK权限的管理，增加了SDK控制中间件等技术手段，用于管控各类SDK对系统权限的滥用。

如何防范SDK侵权？

“SDK本身不是什么需要防范的东西，它就是一段代码，APP里面也全是代码。”TalkingData法务合规负责人及数据合规官葛梦莹说，“实际上，APP是可以在嵌入之前做好SDK的合规性评估，并向个人用户明确告知其所嵌入的SDK类型、收集的数据类型、处理的目的和方式的，APP对SDK是可以尽到谨慎的选择和评估义务的，是可控的。目前都要求APP在隐私政策里公布SDK的类型、作用范围等。”

“因为SDK的服务对象是APP，不是个人用户，所以最终向个人用户负责的应该是APP。”葛梦莹认为，对监管者来说，首先需要从技术层面上判断SDK的法律角色定位、处理个人信息的合法性基础以及特定角色。以自己名义独立提供服务的第三方才需要自己获得用户同意，自己承担责任。

其次要判断SDK处理行为的合规性，可以利用官方的有相关资质的检测工具做检测，对SDK实际收集的个人信息与其隐私政策中所披露的内容进行一致性判断，对比相关字段是否一致。如果检测出SDK实际收集字段小于其隐私政策所披露的字段，则可认为其符合一致性。

据葛梦莹介绍，工信部此前已经要求互联网企业建立个人信息保护双清单（已收集个人信息清单和与第三方共享个人信息清单），并在APP二级菜单中展示，以便用户查询。披露的内容包括已收集个人信息清单应简洁、清晰列出APP包括内嵌第三方SDK，已经收集到的用户个人信息基本情况，包括信息种类、使用目的、使用场景等。

马继华认为，此次专门提出对SDK的管理，也是保护个人信息向深度发展的体现。监管部门应该联合相关开发企业、消费者代表等，制定个人信息最高收集标准以及相关的处罚规定。

(来源: 中国消费者报·中国消费网）

(责任编辑：娱乐)