汉华信安 | 第三方SDK合规问题的解决之道

据统计，平均每款App嵌入的SDK个数是13.36，也就是说，平均1款App就嵌入了接近14个SDK，App研发企业目前只能通过隐私政策的方式对SDK进行了解，企业没有对应的技术手段、检测思路以及动力对集成的第三方SDK进行检测，来发现SDK实际的个人信息收集行为是否与隐私政策中描述的一致，从而在集成之前就发现SDK的合规问题，减少App由于集成了不合规的第三方SDK而被通报的风险。

据统计，平均每款App嵌入的SDK个数是13.36，也就是说，平均1款App就嵌入了接近14个SDK，App研发企业目前只能通过隐私政策的方式对SDK进行了解，企业没有对应的技术手段、检测思路以及动力对集成的第三方SDK进行检测，来发现SDK实际的个人信息收集行为是否与隐私政策中描述的一致，从而在集成之前就发现SDK的合规问题，减少App由于集成了不合规的第三方SDK而被通报的风险。

按照通报来看，集成了这13款SDK的宿主App应该是具有合规风险的，宿主App为了防止风险需要进行自我整改，在整改过程中目前无外乎四个方案：一、等待被通报SDK的更新，被通报SDK整改完成后替换合规的SDK;二、删除被通报的SDK，使用其它同功能的SDK进行替换;三、删除被通报的SDK，自主研发相同功能;四、删除被通报SDK，不使用对应的功能。这就引出了以下几个问题：

●  等待被通报SDK完成整改，宿主App完全不能掌控，在未更新之前App将一直处于风险中。

●  采用相同功能的SDK进行替换，这个替换上来的SDK是否也存在合规风险?

●  自主研发相同功能，研发周期、研发成本将会有巨大的投入，研发完成以后是否能达到功能替换效果，也是未知数。在研发完成之前，App还是处于风险中。

这几个解决方案就感觉像给孩子洗澡，洗完澡以后，把脏水和孩子一块儿倒了。难道就没有只倒脏水，保留孩子的解决方案吗?答案是有的。

我们来从技术层面进行分析和查找解决方案。之所以第三方SDK行为违规会给宿主App带来风险，主要是宿主App在嵌入第三方SDK并且初始化以后，SDK在个人信息收集行为方面就不受宿主App的控制了，SDK可以采用异步或者其它的技术手段在后台运行代码。如果是恶意SDK的话，很可能出现在后台隐蔽执行恶意行为，App是无法察觉的。如图：App中一般包含自研代码+SDK+开源代码组成，SDK和开源代码与自研代码具有同等运行权限，宿主App无法对闭源的SDK行为拥有掌控能力。要解决这个问题，采用动态行为拦截技术，能有效的通过策略的方式，控制SDK的行为，让宿主App对第三方SDK的行为拥有控制权。如图

动态行为拦截技术，就像在App中加入了一个“合规审核员”，这个“合规审核员”的职责就是，对代码每一次收集用户个人信息的行为进行合规审计，拦截掉违规收集行为。有了这个“合规审核员”以后，哪怕SDK存在违规收集的行为，也能被我们的“合规审核员”给拦截下来。

动态行为拦截技术的应用，能够让您对所有的个人信息收集行为可控。实现个人信息收集清单中描述的业务场景与个人信息的收集关系，与运行过程中实际的收集行为保持一致。比如：购物下单业务场景中，按照最小必要的原则，只需要收集手机号、收货人姓名、收货地址，从技术层面，为了方便用户输入地址信息，可以采用获取GPS信息来帮助用户填写地址，此场景就需要用到1次GPS定位功能。我们可以在购物下单业务场景进入时，采用配置策略的方式，实现业务场景只能获取1次GPS信息，这个业务场景下，无论是SDK还是其他代码，均不能对其他个人信息的获取(如IMEI等)，从而实现了单一业务场景只获取对应的最小个人信息的目的，达到对个人信息合法合规的收集。

动态行为拦截技术是目前已知的最能够快速解决App合规性问题的一种技术。它能实现，运行时对App中未知权限使用的拦截和App中未知个人信息收集行为的拦截，拦截率为100%。应用该技术后，您无需对违规收集的SDK进行整改，可以放心的使用SDK对业务有帮助的功能，违规收集行为会被动态行为拦截技术给拦截下来。此项技术的最大特点是通过拦截的方式快速完成合规性能力提升，让App拥有技术手段来控制个人信息的收集行为。

最后，App合规技术能力主要体现为，集成之前的事前审查和运行时刻的动态行为拦截。运行时刻的动态行为拦截技术，更能够从业务场景的角度来规划个人信息的收集，更有效和可控的掌握个人信息收集的时机、频率，能够让App合理合法的收集个人信息。