移动应用中的第三方SDK隐私合规检测
移动应用中的第三方sdk隐私合规检测
工信部164号文[1]要求对sdk违规处理用户个人信息进行整治，包括违规收集个人信息、超范围收集个人信息、违规使用个人信息、强制用户使用定向推送功能等违规内容。相关整治内容的检测需要结合第三方sdk隐私声明与sdk运行时行为进行判断。本文简要介绍如何提取与解析第三方sdk相关的隐私政策内容以及如何在运行时监控第三方sdk处理个人隐私数据。
（一）app、sdk违规处理用户个人信息方面。
1.违规收集个人信息。重点整治app、sdk未告知用户收集个人信息的目的、方式、范围且未经用户同意，私自收集用户个人信息的行为。
2.超范围收集个人信息。重点整治app、sdk非服务所必需或无合理应用场景，特别是在静默状态下或在后台运行时，超范围收集个人信息的行为。
3.违规使用个人信息。重点整治app、sdk未向用户告知且未经用户同意，私自使用个人信息，将用户个人信息用于其提供服务之外的目的，特别是私自向其他应用或服务器发送、共享用户个人信息的行为。
4.强制用户使用定向推送功能。重点整治app、sdk未以显著方式标示且未经用户同意，将收集到的用户搜索、浏览记录、使用习惯等个人信息，用于定向推送或广告精准营销，且未提供关闭该功能选项的行为。
工信部164号文中对于sdk违规处理个人信息的检测内容：
第三方sdk隐私政策提取与解析
针对第三方sdk隐私声明的提取，按照应用隐私政策呈现的方式，可以分为两种主要形式：1、直接在应用隐私声明中陈述（如图1所示）。2、在隐私声明中提供跳转形式单独表述（如图2所示）。针对第2种情况，需要对第三方sdk隐私声明的文本跳转内容进行提取。
图1 正文中的第三方sdk隐私声明
图2 第三方sdk隐私声明链接
图3 表格形式呈现的第三方隐私政策
调研表明，当第三方sdk的隐私声明以跳转方式另行表述时，目标跳转页面通常通过webview进行呈现，并且当前应用的隐私声明也由webview进行呈现。原因可能在于使用url借助webview进行跳转，不需要另行开发跳转过程，否则需要通过封装intent进行不同应用页面之间的跳转。
对第三方sdk隐私声明内容进行提取，存在两种可行方案。一、获取第三方sdk超链接，进而通过url解析文本。二、获取第三方sdk超链接文字在页面上的位置，通过模拟点击跳转，然后通过uiautomator获取页面文字。第二种方案可由《移动应用隐私合规检测简介及目标检测技术的应用》中所述的方案进行文本定位。但是考虑到部分应用使用表格形式展示接入的第三方sdk的情形，如果通过uiautomator获取页面文字将丢失表格样式信息，增加解析难度。因此优先采用第一种方案，具体步骤为：
1、利用hook技术添加代码 webview.setwebcontentsdebuggingenabled(true)；
2、获取第三方sdk超链接，并跳转；
3、基于chrome devtools protocol [2]获得带样式的文本。
按照第三方sdk内容展示的形式，可以分为三类：1、以表格形式（如图3）；2、无样式列表（如图1）；3、无固定格式。对于第1种形式，根据前文所述可以使用基于chrome devtools protocol的方案可以解决。对于第2种形式，我们开发了一个启发式重复格式行查找算法，找出相邻sdk隐私陈述的分界。而对于第3中形式，除在单行中陈述单个sdk隐私政策的情况外，其余情况目前难以关联sdk主体与其对应的隐私陈述，这种情形在实际的应用中出现较少。
至此，我们完成了隐私政策中的第三方sdk隐私声明的提取与解析，方案小结如下表：
正文中展示 跳转单独展示
表格形式 基于chrome devtools protocol方案 1、获取跳转链接
2、基于chrome devtools protocol方案
无样式列表 启发式重复格式行查找算法 1、获取跳转链接
2、启发式重复格式行查找算法
无固定格式 按行解析 1、获取跳转链接
2、按行解析
小结：
在移动应用隐私合规检测中，第三方sdk隐私声明由于其展现位置展现形式的多样性，自动化提取与解析是比较困难的任务。我们通过调研统计，对常见的第三方sdk隐私声明展现方式进行总结，归纳出一套自动化的解析方案，以增强对第三方sdk隐私违规行为的检测能力。
国内研制出连续单管半导体激光器耦合模块
串行总线的优缺点优点
ADS8588S是具有8通道16位精度同步采样的SAR ADC
针对西门子系列的产品PLC和触摸屏的案例
通过利用FPGA技术实现软件无线电硬件平台设计
移动应用中的第三方SDK隐私合规检测
说好的诺基亚8呢？只剩复刻版3310来玩一把情怀 这配色太亮骚了！
基于RFID的货运中心管理系统，它的优势是什么
5G前传技术和回传技术的标准化进展分析
半导体之离子注入工艺简介
如何在SoC设计中加入低开销、低功耗的音频处理功能
苏宁818购物节，星14青春版助你告别选择困难
HMC591LP5E功率放大器
iPhone7惊喜越来越少 爆料已衍变成明星名人颜值秀场
新唐科技M032LG8AE控制器简介
单片机最小系统组成与I/O输出控制程序知识
PetaExpress云数据库 MongoDB(mongodb数据库)优势
关于人工智能的60条趋势预测
浅谈电子线束加工线材类型
唯样商城“KEMET超级品牌月”来袭！4大福利让你领略百年电容器大品牌魅力！
工信部164号文[1]要求对sdk违规处理用户个人信息进行整治，包括违规收集个人信息、超范围收集个人信息、违规使用个人信息、强制用户使用定向推送功能等违规内容。相关整治内容的检测需要结合第三方sdk隐私声明与sdk运行时行为进行判断。本文简要介绍如何提取与解析第三方sdk相关的隐私政策内容以及如何在运行时监控第三方sdk处理个人隐私数据。
（一）app、sdk违规处理用户个人信息方面。
1.违规收集个人信息。重点整治app、sdk未告知用户收集个人信息的目的、方式、范围且未经用户同意，私自收集用户个人信息的行为。
2.超范围收集个人信息。重点整治app、sdk非服务所必需或无合理应用场景，特别是在静默状态下或在后台运行时，超范围收集个人信息的行为。
3.违规使用个人信息。重点整治app、sdk未向用户告知且未经用户同意，私自使用个人信息，将用户个人信息用于其提供服务之外的目的，特别是私自向其他应用或服务器发送、共享用户个人信息的行为。
4.强制用户使用定向推送功能。重点整治app、sdk未以显著方式标示且未经用户同意，将收集到的用户搜索、浏览记录、使用习惯等个人信息，用于定向推送或广告精准营销，且未提供关闭该功能选项的行为。
工信部164号文中对于sdk违规处理个人信息的检测内容：
第三方sdk隐私政策提取与解析
针对第三方sdk隐私声明的提取，按照应用隐私政策呈现的方式，可以分为两种主要形式：1、直接在应用隐私声明中陈述（如图1所示）。2、在隐私声明中提供跳转形式单独表述（如图2所示）。针对第2种情况，需要对第三方sdk隐私声明的文本跳转内容进行提取。
图1 正文中的第三方sdk隐私声明
图2 第三方sdk隐私声明链接
图3 表格形式呈现的第三方隐私政策
调研表明，当第三方sdk的隐私声明以跳转方式另行表述时，目标跳转页面通常通过webview进行呈现，并且当前应用的隐私声明也由webview进行呈现。原因可能在于使用url借助webview进行跳转，不需要另行开发跳转过程，否则需要通过封装intent进行不同应用页面之间的跳转。
对第三方sdk隐私声明内容进行提取，存在两种可行方案。一、获取第三方sdk超链接，进而通过url解析文本。二、获取第三方sdk超链接文字在页面上的位置，通过模拟点击跳转，然后通过uiautomator获取页面文字。第二种方案可由《移动应用隐私合规检测简介及目标检测技术的应用》中所述的方案进行文本定位。但是考虑到部分应用使用表格形式展示接入的第三方sdk的情形，如果通过uiautomator获取页面文字将丢失表格样式信息，增加解析难度。因此优先采用第一种方案，具体步骤为：
1、利用hook技术添加代码 webview.setwebcontentsdebuggingenabled(true)；
2、获取第三方sdk超链接，并跳转；
3、基于chrome devtools protocol [2]获得带样式的文本。
按照第三方sdk内容展示的形式，可以分为三类：1、以表格形式（如图3）；2、无样式列表（如图1）；3、无固定格式。对于第1种形式，根据前文所述可以使用基于chrome devtools protocol的方案可以解决。对于第2种形式，我们开发了一个启发式重复格式行查找算法，找出相邻sdk隐私陈述的分界。而对于第3中形式，除在单行中陈述单个sdk隐私政策的情况外，其余情况目前难以关联sdk主体与其对应的隐私陈述，这种情形在实际的应用中出现较少。
至此，我们完成了隐私政策中的第三方sdk隐私声明的提取与解析，方案小结如下表：
正文中展示 跳转单独展示
表格形式 基于chrome devtools protocol方案 1、获取跳转链接
2、基于chrome devtools protocol方案
无样式列表 启发式重复格式行查找算法 1、获取跳转链接
2、启发式重复格式行查找算法
无固定格式 按行解析 1、获取跳转链接
2、按行解析
小结：
在移动应用隐私合规检测中，第三方sdk隐私声明由于其展现位置展现形式的多样性，自动化提取与解析是比较困难的任务。我们通过调研统计，对常见的第三方sdk隐私声明展现方式进行总结，归纳出一套自动化的解析方案，以增强对第三方sdk隐私违规行为的检测能力。
国内研制出连续单管半导体激光器耦合模块
串行总线的优缺点优点
ADS8588S是具有8通道16位精度同步采样的SAR ADC
针对西门子系列的产品PLC和触摸屏的案例
通过利用FPGA技术实现软件无线电硬件平台设计
移动应用中的第三方SDK隐私合规检测
说好的诺基亚8呢？只剩复刻版3310来玩一把情怀 这配色太亮骚了！
基于RFID的货运中心管理系统，它的优势是什么
5G前传技术和回传技术的标准化进展分析
半导体之离子注入工艺简介
如何在SoC设计中加入低开销、低功耗的音频处理功能
苏宁818购物节，星14青春版助你告别选择困难
HMC591LP5E功率放大器
iPhone7惊喜越来越少 爆料已衍变成明星名人颜值秀场
新唐科技M032LG8AE控制器简介
单片机最小系统组成与I/O输出控制程序知识
PetaExpress云数据库 MongoDB(mongodb数据库)优势
关于人工智能的60条趋势预测
浅谈电子线束加工线材类型
唯样商城“KEMET超级品牌月”来袭！4大福利让你领略百年电容器大品牌魅力！