在迟到了近4个月后，央视的315晚会在7月16日晚间拉开了帷幕。尽管此次3·15晚会上虽然互联网行业并不是主角，但在这台晚会上曝光的上海氪信与北京招彩旺旺SDK插件，能够在用户不知情的情况下窃取个人隐私一事，显然也还是让不少朋友大惊失色。根据此次315晚会中公布的信息显示，技术人员检测了50余款APP，而这些APP中分别含有上海氪信信息技术有限公司与北京招彩旺旺信息技术有限公司所提供的SDK。并且这两家公司的SDK都存在用户不知情的情况下窃取用户隐私的情况，并且其还会在对这些数据读取完成后，悄悄传送至指定服务器存储起来。事实上，由于工信部会定期公开通报违规采集个人信息数据的不良APP，因此也让广大消费者认识到，在智能手机中有这么多APP在威胁个人隐私安全。但是相比大家看得见摸得着的APP，SDK这东西无疑就显得要虚无缥缈得多了。而此次央视的315晚会也揭开了一个事实，手机内的个隐私信息被窃取，不单单是因为无良APP的超范围采集，还有更加隐蔽的SDK在默默收集用户信息。那么问题就来了，APP大家都知道是什么，可SDK到底是什么东西呢？其实，SDK（Software Development Kit）指的是软件开发工具包，广义上是指辅助开发某一类软件的相关文档、范例和工具的集合，可以理解为是“软件中的软件“。大家可以把SDK想象成一个虚拟的程序合辑，在这个合辑中有一个个做好的软件功能，而作为开发APP的重要组成部分，SDK能够帮助APP高效率且低成本的实现类似地图、支付、统计、社交，以及广告等一系列功能，也免去了开发者“重复造轮子”的烦恼。在这里以我们熟悉的瑞幸咖啡为例，在打开这个APP查询线下门店时，大家都能在门店地图的左下角发现“高德地图”四个字。但毕竟瑞幸咖啡作为一家新零售企业，显然不太可能自己去申请电子地图的甲级测绘资质，因此使用高德这样导航与位置服务解决方案提供商开放的地图SDK，也就很正常了。事实上在高德开放平台的官网，我们就能够看到其提供给合作伙伴的各式SDK。关于SDK具体的工作模式，在这里还是以瑞幸咖啡为例。在打开瑞幸咖啡APP并打开了GPS定位服务后，APP就会给高德地图的SDK发送一条指令，“报告用户现在的位置”，在高德SDK接收到指令后，其服务器端利用地址解析服务告知用户的具体位置，然后在用户的APP界面里渲染出对应地址的地图信息。当然，这只是一个相对简化的模型，实际上还有SDK服务器与认证服务器等众多中间环节，但相信细心的朋友应该在这一个例子中，看到了SDK是如何泄露用户信息的关键。那就是在查询门店的过程中，用户当前的位置信息其实是从瑞幸的服务器流入了高德服务器再流回的过程，而这也就有了信息泄露的风险。至于高德的服务器与瑞幸咖啡的服务器之间如何实现数据交互，这里要引入API（应用程序接口）这个概念了。其实，API是为了能在各系统之间共享数据而开放的技术接口管道，例如开发者想要让APP拥有SDK中的功能，就必须通过API连接APP和SDK工具包，而API就是为了能让两个要通讯和共享数据的系统平台，按照双方都认可、认为合理、有意义、可理解的方式，发送与接收彼此的信息。因此在一个APP获取了某类权限了后，由于API的存在，SDK提供者进行的代码埋点同样会采集到相应的数据，进而通过SDK回传给SDK的提供方。在这里可能有的朋友就会问了，现在APP获取权限前都是会询问用户的，如果APP都获取不了相关信息，那么作为APP一部分的SDK又是怎么获得的呢？其实，SDK可以通过跨越Android系统接口的方式，执行linux命令的方式来获取。例如只需要执行shell脚本中的“mount -o rw,remount /”，就可以获取文件系统的读写权限，而执行“pm install -r”则能实现静默安装。但随着Android系统本身对于APP获取权限管控力度的加强，超范围获取权限的情况如今已经大量减少。然而，第三方SDK并不仅仅提供给某一垂直领域的APP，其所面对的往往是不同行业不同种类的大量APP，这就导致了第三方SDK的提供者可以从这些不同渠道一点点收集不同类型用户的隐私数据，比如说顺着有定位权限的APP拿到位置信息、顺着有短信权限的APP拿到短信内容等，并最终得出用户画像。既然SDK可能会带来用户隐私泄露的风险，央视的315晚会也揭开了不良企业利用SDK违规窃取用户数据现状的一角，那么这种状况会在此之后得到明显的改善吗？答案可能并不如大家想想的那么好。事实上，斩断SDK违规收集用户信息并不是仅靠一次315晚会就能够解决的，因SDK早已与APP形成了高度共生的关系，如今APP的开发也已经离不开第三方SDK提供的便捷了。准确来说，现在互联网世界的软件开发已经不再是当年，如果没有功能丰富的SDK帮助，各大互联网企业的程序员可能就不是“996”，而是“007”工作制了。随着互联网行业竞争的加剧，大厂由于自身较为强势的地位以及自家深厚的技术栈，导致并不太需要做出过度积极的变化，就能够维持住以文档驱动传统瀑布模型(Waterfall Model)的开发流程，但小厂因为竞争力相对弱势的原因，为了适应客户需求的快速变化，基本都早已拥抱了敏捷开发。敏捷开发并非某一种特定的开发方法，而是一种应对快速变化需求的一种软件开发能力。在敏捷开发中，软件项目的构建被切分成多个子项目，各个子项目的成果都经过测试，具备集成和可运行的特征。并且为了满足快速迭代与小步快跑的要求，引入便捷的第三方SDK不仅能够降低开发成本，还能减少工作量，因此也就显得更为顺理成章了。简而言之，第三方SDK乃至敏捷开发匹配了当下互联网的市场环境，不使用第三方SDK对于很多开发者来说都是不太现实的事情。即便大厂有专门的SDK接入组来进行审核，可许多小厂却基本并没有这一选项，因此这也就意味着未来的SDK嗅探信息行为或许还会长期存在。解决第三方SDK收集用户信息的关键，可能需要落到应用商店的前置审核上。例如苹果的iOS生态下，其实也同样存在滥用私有API的恶意应用，但更多的恶意应用其实已经被App Store的严苛审核拦在门外了，同理Google Play也是如此。然而国内安卓应用市场多且杂乱，诸如手机厂商的应用商店，以及360、豌豆荚、应用宝、百度这种主流渠道相对管理更为严格，可各种二流应用商店的审核，往往却是趋近于无。因此对于用户来说，想要避免自己成为类似上海氪信与北京招彩旺旺这类无良SDK提供方的受害者，就必须选择从主流应用商店下载APP，并尽量不要使用来路不明的APK。当然，如果MIUI 12之中的照明弹与拦截功能能够在其他手机厂商的系统中得到普及，对于避免用户无形之中成为无良SDK受害者的问题，也会有着一定的促进作用。在刚刚发布的这份技术白皮书中，三星展望了未来的6G。
明星带货的本质，或许与带货并没有太多的关系。
本站仅提供存储服务，所有内容均由用户发布，如发现有害或侵权内容，请
点击举报。
