技术编辑：宗恩丨发自 思否编辑部
SegmentFault 思否报道丨公众号：SegmentFault
近日在 315 晚会上央视曝光了上海氪信信息技术和北京招彩旺旺信息技术这两家公司，它们通过在 50 多款手机 APP 中植入 SDK 插件，在用户不知情的状况下，偷偷窃取用户的隐衷，设施的 IMEI、IMSI、运营商信息、电话号码、短信记录、通讯录、利用装置列表和传感器信息等都是是被窃取的指标。
在 2019 年 4 月，南都个人信息爱护钻研核心委托中国金融认证核心针对使用率高的 SDK 做了隐衷数据分析报告，报告显示，在测评的 60 款罕用应用软件中，共应用了至多 966 个 SDK，均匀每款 App 应用 19.3 个 SDK，也就是说用户不接触 SDK 简直是一件不可能的事。
此次 315 晚会上通过 SDK 泄露隐衷的 APP 名单 -1
此次 315 晚会上通过 SDK 泄露隐衷的 APP 名单 -2
SDK 英文全称 Software Development Kit，也就是「软件开发工具包」，一般来说 SDK 封装了一些罕用、简单的性能，软件开发者通过调用他人的 SDK 能够大大提高开发效率，缩短开发周期，还能显著的晋升软件性能。但享受这些便当的同时却埋下了危险。
开发者想要让 APP 领有 SDK 中的性能，就必须通过 API 连贯 APP 和 SDK 工具包，在一个 APP 获取了某类权限了后，因为 API 的存在，SDK 提供者进行的代码埋点同样会采集到相应的数据，进而通过 SDK 回传给 SDK 的提供方。SDK 能够通过逾越 Android 零碎接口的形式，执行 linux 命令的来获取信息。从而跳过 APP 获取权限前的询问用户门路，取得用户的隐衷信息。
软件中存在泛滥 SDK 的起因
互联网大厂领有强势的位置和深厚的技术，不须要疾速更新迭代，就可能维持住以文档驱动传统瀑布模型 (Waterfall Model) 的开发流程，但小厂竞争力绝对弱，为了适应客户需要的疾速变动，不得不投身于「麻利开发」。
麻利开发并非某一种特定的开发方法，而是一种应答疾速变动需要的软件开发能力。在麻利开发中，软件我的项目的构建被切分成多个子项目，各个子项目的成绩都通过测试，具备集成和可运行的特色。并且为了满足疾速迭代与小步快跑的要求，引入便捷的第三方 SDK 不仅可能升高开发成本，还能缩小工作量，因而也就显得更为牵强附会了。
依据南都个人信息爱护钻研核心 2019 年的考察显示：
1. 应用最宽泛的 SDK 多来自头部互联网公司
腾讯、小米、华为、阿 里、Facebook 均位列其中
2. 多个 SDK 获取集体敏感信息，App 却未告知用户
SDK 收集的信息中，手机设施信息和网络信息被收集得最为频繁。在用户个人信息方面，出名领取公司 SDK 获取了用户的手机号，但未在对应 App 的《隐衷政策》里明确告知，且这些信息与实现 SDK 的性能有何关系较难看出。
3. 有 SDK 或存在瞒哄收集用户个人信息的状况
局部 SDK 可能通过代码收集用户的个人信息，并且超出了其官网文档所申明的零碎权限，其中不乏支付卡信息、地理位置、传感器数据等集体敏感信息。此外，还有多数 SDK 会向本人的服务器传输用户个人信息。这种行为减少了个人信息泄露、滥用的危险。
从以上信息也不难看出「SDK 泄露隐衷」事件并非偶尔产生。也绝非久而久之就能改善好的。
如何防备
给开发者的倡议：
- 在软件开发时，应该对 SDK 进行逆向操作、以及代码进行扫描，来获知 SDK 进行了哪些操作、采集了哪些隐衷数据。
- 尽可能抉择有肯定市场根底的第三方 SDK，以及尽量沿用 App Store 和 Google Play 里的 App 选用的 SDK 进行集成，这样能够大大降低 App 被下架的危险。
给用户的倡议：
- 倡议立即卸载高风险软件
- 抉择审查更为严格的 iPhone 手机
- 改域名映射，也就是 host 文件，将各种广告域名对应的 IP 强制转换到不可拜访的 IP，达到屏蔽成果。
- 用两个手机，其中一个是非智能机，专门用来沟通隐秘信息，另一个是智能机日常应用。
参考内容：
《罕用第三方 SDK 收集应用个人信息评测报告》- 南都个人信息爱护钻研核心、中国金融认证核心（CFCA）
《SDK 窃取隐衷背地，大环境不变或将所有皆成空》- 三易生存 菠菜