搜索

[27778] 2020-07-29_防止APP窃取用户隐私问题，OPPO安全在行动

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-19
2020-07-29_防止APP窃取用户隐私问题，OPPO安全在行动 防 止 A P P 窃 取 用 户 隐 私 问 题 ， O P P O 安 全 在 行 动 原 创   星 星   O P P O 安 全 应 急 响 应 中 心   2 0 2 0 - 0 7 - 2 9 收 录 于 话 题   # 不 断 学 习   不 断 成 长   , 1 8 个 在 2 0 2 0 年 3 · 1 5 晚 会 所 曝 光 的 问 题 中 ， 手 机 A P P 窃 取 用 户 隐 私 的 情 况 再 度 出 现 。 根 据 央 视 报 道 称 ， 部 分 A P P 中 集 成 的 S D K 存 在 未 经 过 授 权 窃 取 用 户 的 个 人 敏 感 信 息 的 情 况 。 O P P O 作 为 一 家 软 硬 服 一 体 化 的 科 技 公 司 ， 软 件 安 全 与 互 联 网 应 用 安 全 是 其 在 安 全 领 域 的 重 要 建 设 部 分 。 O P P O 安 全 团 队 从 实 际 出 发 ， 防 止 A P P 窃 取 用 户 隐 私 问 题 ， 切 实 保 证 用 户 的 隐 私 及 数 据 安 全 。 1 发 现 底 层 问 题 ： 发 现 底 层 问 题 ： A P P 为 什 么 要 集 成 三 方 的 为 什 么 要 集 成 三 方 的 S D K ？ ？ 一 般 来 讲 ， 一 款 A P P 涉 及 内 容 非 常 多 ， 比 如 外 卖 类 的 A P P ， 为 了 提 供 更 好 的 服 务 ， 就 需 要 获 取 用 户 的 设 备 位 置 权 限 ， 同 时 还 要 获 取 用 户 周 边 所 有 餐 饮 店 的 位 置 信 息 ， 这 样 就 可 以 基 于 用 户 的 设 备 位 置 ， 向 用 户 推 送 周 边 的 一 些 美 食 信 息 。 除 此 之 外 ， 为 了 让 用 户 可 以 实 时 看 到 骑 手 送 餐 的 路 径 和 位 置 ， 还 需 要 实 时 获 取 骑 手 位 置 及 地 图 信 息 。 就 这 些 功 能 而 言 ， 其 实 是 涉 及 到 了 另 外 一 个 非 常 专 业 的 领 域 - 地 图 ， 外 卖 类 A P P 开 发 者 要 么 选 择 自 己 做 地 图 ， 要 么 就 和 地 图 类 软 件 合 作 。 一 般 情 况 下 ， 大 家 都 会 选 择 合 作 模 式 ， 由 于 找 地 图 类 合 作 的 A P P 太 多 ， 所 以 地 图 类 软 件 商 干 脆 把 自 己 的 定 位 、 导 航 等 功 能 做 成 了 一 个 软 件 开 发 工 具 包 ， 其 他 A P P 如 果 想 使 用 地 图 类 功 能 ， 直 接 引 用 这 个 功 能 包 就 可 以 具 备 相 关 的 地 图 功 能 啦 。 这 个 软 件 开 发 工 具 包 ， 就 是 S D K 。 根 据 2 0 1 9 年 7 月 中 国 金 融 认 证 中 心 （ C F C A ） 发 布 的 《 常 用 第 三 方 S D K 收 集 使 用 个 人 信 息 测 评 报 告 》 所 述 ， 其 检 测 的 6 0 款 国 内 常 用 A P P 中 ， 平 均 每 款 A P P 使 用 的 S D K 数 目 为 1 9 . 3 个 ， 所 以 ， 在 A P P 中 引 入 别 人 家 S D K 是 一 个 非 常 普 遍 的 事 情 。
2 找 到 解 决 问 题 的 难 点 ： 找 到 解 决 问 题 的 难 点 ： A P P 安 全 隐 私 检 测 的 难 点 在 哪 里 ？ 安 全 隐 私 检 测 的 难 点 在 哪 里 ？ 作 为 A P P 下 载 的 平 台 提 供 方 ， 负 有 对 其 平 台 上 A P P 安 全 、 A P P 合 规 性 的 监 督 责 任 ， 但 是 绝 大 多 数 平 台 在 实 际 审 核 过 程 中 依 然 存 在 以 下 几 个 难 点 ： 难 点 一 ： 难 点 一 ： 利 益 诱 惑 大 。 由 于 移 动 互 联 网 的 蓬 勃 发 展 ， 移 动 终 端 是 一 个 利 益 诱 惑 非 常 大 的 一 个 入 口 ， 几 乎 所 有 的 黑 色 产 业 都 会 盯 住 这 块 蛋 糕 ， 目 前 的 黑 色 产 业 都 是 成 系 统 化 的 ， 分 工 明 确 ， 技 术 “ 过 硬 ” 。 难 点 二 ： 难 点 二 ： S D K 的 黑 盒 检 测 。 S D K 由 于 是 第 三 方 厂 商 开 发 、 封 装 的 ， 对 于 A P P 而 言 S D K 只 开 放 了 部 分 口 子 ， 内 部 代 码 、 逻 辑 等 都 是 不 透 明 的 ， 相 当 于 一 个 黑 盒 子 ， 这 种 黑 盒 的 安 全 检 测 的 难 度 非 常 大 。 难 点 三 ： 难 点 三 ： 恶 意 行 为 的 动 态 下 发 。 目 前 很 多 的 A P P / S D K 表 明 看 没 有 任 何 问 题 ， 但 是 他 的 恶 意 行 为 都 是 通 过 云 端 随 机 下 发 ， 可 以 根 据 不 同 地 区 ， 不 同 人 群 ， 不 同 时 间 随 机 下 发 ， 这 给 检 测 工 作 带 来 非 常 大 的 挑 战 。 3 解 决 底 层 问 题 ： 解 决 底 层 问 题 ： O P P O 安 全 做 了 什 么 ？ 安 全 做 了 什 么 ？ O P P O 安 全 从 用 户 的 利 益 出 发 ， 早 在 2 0 2 0 年 初 就 已 经 在 筹 备 对 A P P 安 全 及 隐 私 检 测 平 台 的 建 设 - O P P O 天 镜 。 O P P O 天 镜 基 于 静 态 分 析 、 动 态 分 析 、 污 点 分 析 等 多 引 擎 技 术 实 现 对 A P P 的 自 动 化 研 判 分 析 。 O P P O 天 镜 于 2 0 2 0 年 7 月 顺 利 上 线 ， 并 同 步 也 更 新 了 软 件 商 店 A P P 的 审 核 规 范 ， 本 次 的 重 大 变 更 点 就 是 增 加 对 A P P 安 全 风 险 及 隐 私 保 护 的 检 测 内 容 ， 覆 盖 以 下 几 个 方 面 ： 恶 意 行 为 的 检 测 。 O P P O 从 保 护 用 户 信 息 完 整 、 保 密 出 发 ， 防 止 A P P 通 过 恶 意 行 为 破 坏 手 机 系 统 ， 包 括 静 默 下 载 安 装 、 远 程 控 制 、 权 限 滥 用 、 动 态 加 载 恶 意 插 件 等 。 黑 灰 产 行 为 。 O P P O 坚 决 保 护 用 户 的 账 户 及 各 类 资 产 安 全 ， 不 允 许 通 过 黑 灰 产 行 为 窃 取 用 户 资 金 或 资 产 ， 破 坏 应 用 生 态 以 及 非 法 牟 利 ， 包 括 利 用 漏 洞 或 欺 骗 行 为 、 后 台 模 拟 广 告 点 击 或 下 载 软 件 、 利 用 用 户 手 机 C P U 、 内 存 从 事 电 子 货 币 计 算 等 恶 意 行 为 。 欺 骗 行 为 。 O P P O 不 允 许 有 欺 骗 用 户 的 行 为 。 A P P 不 得 通 过 伪 装 来 自 可 信 来 源 或 者 其 他 应 用 ， 欺 骗 用 户 点 击 、 安 装 、 输 入 或 跳 转 ， 进 而 获 取 用 户 的 身 份 认 证 凭 据 ， 或 者 更 改 系 统 配 置 等 。 隐 私 保 护 。 O P P O 珍 视 用 户 信 任 ， 将 保 护 用 户 隐 私 作 为 重 要 的 使 命 ， 严 禁 开 发 者 侵 害 用 户 隐 私 的 行 为 ， 包 括 尊 重 用 户 的 选
择 ， 最 小 化 收 集 用 户 的 个 人 信 息 ， 在 用 户 授 权 范 围 使 用 和 分 享 个 人 信 息 等 。   O P P O 安 全 始 终 发 自 内 心 地 尊 重 并 保 护 用 户 隐 私 及 数 据 安 全 ， 致 力 于 让 用 户 安 全 、 流 畅 、 便 捷 地 享 受 产 品 和 服 安 全 始 终 发 自 内 心 地 尊 重 并 保 护 用 户 隐 私 及 数 据 安 全 ， 致 力 于 让 用 户 安 全 、 流 畅 、 便 捷 地 享 受 产 品 和 服 务 ， 在 这 条 道 路 上 ， 存 在 不 同 势 力 及 利 益 的 对 抗 ， 务 ， 在 这 条 道 路 上 ， 存 在 不 同 势 力 及 利 益 的 对 抗 ， O P P O 安 全 将 始 终 秉 持 安 全 将 始 终 秉 持 O P P O 的 本 分 企 业 文 化 价 值 观 ， 一 切 的 本 分 企 业 文 化 价 值 观 ， 一 切 以 用 户 为 中 心 。 一 起 为 了 用 户 ， 以 用 户 为 中 心 。 一 起 为 了 用 户 ， O P P O 安 全 在 行 动 ！ 安 全 在 行 动 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理