南都讯 记者蒋琳 继央视315晚会曝光SDK（第三方软件开发工具包）擅自获取用户隐私的乱象后，一份专门针对SDK的技术指引文件今天公开征求意见。

9月20日，App违法违规收集使用个人信息专项治理工作组（下称“App专项治理工作组”）在京举办“App个人信息保护”主题发布会活动。会上发布了《网络安全标准实践指南—移动互联网应用程序（App）中的第三方软件开发工具包（SDK）安全指引》征求意见稿（文末附全文链接）。

征求意见稿指出，SDK对功能独立的模块，宜进行拆分或向App提供单独的开启关闭选项，不应强制捆绑无关功能。第三方SDK宜建立退出机制，并在官网或个人信息保护政策中透出退出链接，以便个人信息主体行使权利。

被停用后，第三方SDK应删除或匿名化收集的个人信息

第三方SDK是指由第三方服务商或开发者提供的实现软件产品某项功能的工具包，通常不包括企业自己开发的仅供自己使用的通用功能模块。当前，第三方SDK被广泛应用于各类App的开发中，可实现广告、支付、地图、社交等功能。

据悉，征求意见稿针对当前第三方SDK使用过程中存在的自身安全漏洞、恶意SDK、违法违规收集App用户个人信息等问题，向App提供者、第三方SDK提供者给出了针对性的实践指引，旨在减少因第三方SDK造成的App安全与个人信息安全问题。

由于第三方SDK不直接面向用户，行为具有较强的隐蔽性，其造成的安全问题不易被察觉。但一款第三方SDK可能会被多款App集成，因此一旦出现安全问题，就会影响多款App及其用户。

在著名的“寄生推”事件中，SDK开发者通过云端控制的方式对目标用户下发包含恶意功能的代码包，进行恶意广告行为和应用推广牟利，受影响的App多达300余款，潜在可影响近两千万用户。

对此，征求意见稿提出，在集成第三方SDK前，宜对第三方SDK进行来源、代码和行为三方面的安全性评估；集成后宜进行持续动态监测或定期进行安全评估；通过接口调用第三方SDK功能的，宜对接口增加鉴权机制。

App提供者停用某第三方SDK后，宜及时从App中移除该第三方SDK的代码和调用该第三方SDK的代码，存在通过本App共享或收集个人信息的，应敦促第三方SDK提供者按照合作协议约定，删除从本App共享或收集的个人信息或做匿名化处理。

从SDK提供者的角度来说，对功能独立的模块，宜进行拆分或提供单独的开启关闭选项，允许App提供者按需进行选择使用或开启关闭，不应强制捆绑无关功能并以此为由申请无关权限或收集无关的个人信息。

征求意见稿还要求，第三方SDK传输数据宜使用HTTPS安全信道、双向证书校验、证书绑定等安全机制，避免因中间人攻击导致传输数据泄露或被篡改。传输用户个人敏感信息的，宜对个人敏感信息单独进行加密。

第三方SDK宜建立“Opt-out”退出机制

今年的央视315晚会上，曝光了两款擅自获取用户隐私的SDK。它们会未经用户许可读取手机IMEI号、电话号码、短信记录、通讯录、应用安装列表、传感器信息等隐私，读取完成后还会悄悄地将数据传送到指定的服务器存储起来。

由于第三方SDK可以具备收集和使用用户个人信息的能力，却又通常无法直接向用户告知收集使用个人信息的目的、方式、范围，因此违法违规收集使用个人信息的情况时有发生。

南都个人信息保护研究中心与中国金融认证中心（CFCA）去年联合发布的《常用第三方SDK收集使用个人信息测评报告》对60款常用App以及主流SDK进行了测评。结果显示，有的SDK会对环境或通话录音，有的则获取了用户的地理位置，但均未在隐私政策里告知。

此外，部分SDK能够通过代码收集超出其声明权限范围的个人信息。比如仅声明会获取地理位置信息，但其代码包括读取第三方平台账户信息、已绑定的NFC支付卡信息等内容。这些都可能导致SDK隐瞒收集用户个人信息的情况。

征求意见稿提到，若SDK提供者独立决定收集个人信息的目的和类型，宜通过产品界面展示其服务提供者身份。比如电商网站的支付SDK宜在用户注册或使用服务时告知用户，并征得用户的同意。

若SDK提供者作为数据处理者，按照App提供者的要求处理个人信息，或SDK无用户可见的界面，App提供者宜在App启用相关SDK前代为告知用户SDK对个人信息的处理规则，包括SDK提供者的基本信息、收集的个人信息类型和收集目的、是否向其他应用或服务器发送、共享收集的用户个人信息等。

此外，征求意见稿对第三方SDK的要求还包括建立“Opt-out”退出机制。

南都记者注意到，2014年美国联邦贸易委员会也曾在报告《数据经纪商：透明度和问责制的呼吁》中对包括SDK在内的数据经纪商提出，应给予消费者退出的权利。

根据征求意见稿，当个人信息主体不希望使用第三方SDK提供的服务时，个人信息主体可通过“Opt-out”机制行使退出权利。第三方SDK宜在官网或个人信息保护政策中透出“Opt-out”的链接，以便个人信息主体行使权利。

全文：《网络安全标准实践指南—移动互联网应用程序（App）中的第三方软件开发工具包（SDK）安全指引》

编辑：尤一炜

对这篇文章有想法？跟我聊聊吧

蒋琳

尤一炜