【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

私募备案拟定新规严把行业“入口关”：大中型机构未受影响******

　　记者 昌校宇

　　1月10日，中国证券投资基金业协会(以下简称“中基协”)发布的《私募投资基金登记备案办法(征求意见稿)》(以下简称《办法》)及配套指引征求意见结束。

　　对于业界高度关注的私募基金管理人实缴资本和基金产品初始实缴募集资金规模等条款，接受《证券日报》记者采访的专家、业内人士表示，《办法》相关要求有助于加速行业出清、扶优限劣，对具有一定规模的机构影响不大，更多是约束行业内浑水摸鱼、相对不正规的机构的行为。

　　适度提高管理人登记要求

　　《办法》从基本经营、出资人和从业人员等方面出发，适度提高私募基金管理人登记要求。其中，私募基金管理人实缴资本高于1000万元(创投除外)、出资人必须以自有资金出资且有资产管理等相关经验、从业人员兼职限制等条款被市场热议。

　　清华大学全球私募股权研究院研究部总监李诗林对《证券日报》记者表示，私募基金管理人自身的治理结构、财务能力及从业人员专业化水平是确保私募基金规范运作的核心要素，从长远看，严把行业“入口关”，有利于提升行业规范化与专业化水平。

　　李诗林进一步表示，“至于已完成备案登记的存量私募基金管理人，是否需要按新的要求进行规范，《办法》暂未明确规定，有待协会后续做进一步说明。”

　　对于《办法》对管理人登记提出更高要求，多家具有一定规模的私募证券、私募股权、创业投资基金管理人均表态，目前影响不大。

　　衍盛资产董事长、投资总监章友对《证券日报》记者表示，《办法》立足于保护投资者和规范市场证券投资、研究活动，提出一些规范性要求，其中不乏较多执行性强的意见。从长期看，将倒逼从业人员提高业务素质、机构提高管理规范程度。

　　章友进一步介绍，对于目前已具备一定规模(中等以上)的私募来说，绝大多数的投研和管理体系已相对成熟，受影响不大。《办法》更多是约束行业内浑水摸鱼、相对不正规的机构。

　　除了明确管理人登记标准，《办法》还总结备案常见问题，明确基金备案最低规模要求等，引导私募基金回归本质。

　　就私募基金初始实缴募集资金规模的规定，蒙玺投资认为，“这对私募基金管理人的募资能力提出更高要求。目前来看，对公司业务整体影响较小。”

　　北京利物投资管理有限公司创始人、合伙人常春林建议，小型私募应在符合法律法规相关要求下，合规运营，形成差异化竞争优势和品牌优势，持续为投资人带来合理回报，尽快跨过初创期。

　　李诗林认为，对于产品初始备案资金的要求，初衷是打击一些“买壳”“卖壳”的虚假私募行为，同时也为了保证私募基金管理人设立以后能够维持基本业务收入。不过，预计业内针对这一条款会反馈一些不同意见，特别是对私募股权基金与创业投资基金来说，在实践中，这些基金投资项目从项目接洽、投资协议谈判到完成投资交割等流程、周期较长，因此，这些基金往往是在投资项目确定以后再通知投资者实际缴付出资，而非一开始就将大量资金置于私募基金账上。此外，当前我国正鼓励私募股权及创投基金加大对处于种子期、初创期项目的投资，这些投资往往不需要太多资金，基金规模过大，反而可能会妨碍这些基金对早期项目的投资。因此，建议监管层面再汇集行业内多方面反馈意见，在规范与发展之间寻求适度平衡。

　　《办法》或于上半年落地

　　值得肯定的是，《办法》在基础自律规则层面对实践中出现的新问题作出回应，进一步提升规则的科学性、透明度和有效性，为私募基金行业高质量发展保驾护航。

　　常春林预计，“《办法》或于今年上半年正式落地。”

　　华北地区某小型私募透露，“相关意见已匿名通过券商上报。由于业务实操存在特殊情况，希望监管层面对于初创机构发展中的共性情况，政策预留空间。”

　　中基协数据显示，截至2022年末，存续私募证券投资基金92754只，规模5.56万亿元；存续私募股权投资基金31550只，规模10.94万亿元；存续创业投资基金19354只，规模达2.83万亿元。

　　常春林预计，未来3年至5年，私募基金行业将迎来高速发展期，投资策略也更加多元化。私募基金管理人“二八分化”将更明显，头部、中部私募或占据超过80%的管理规模，尾部私募管理规模占比将逐渐缩小，不具特色、不能够为投资者带来价值的“伪”私募将逐渐被市场淘汰。