【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
最高法微信公号报道光明网记者******
编者按：近日，最高法微信公号推出“2022记者看法院”专题策划。最高人民法院新闻局联合人民法院新闻传媒总社，陆续邀请日常采访最高法的“跑口记者”讲述2022年采访报道人民法院工作的体会和感受，并与读者一起重温他们的代表作品。1月7日，对光明网记者孙满桃进行了报道。以下为报道原文：
光明网记者孙满桃：有“底线” 公平正义才能“触手可及”
他们，可能是跑法院次数最多的人，走遍各地法院、听过各类案件；
他们，和法院干警一同战斗在第一线，将人民法院与人民群众一线牵；
他们，出门能扛“长枪短炮”，不是在采访，就是在去采访的路上；
他们，归来笔走风云，铁肩担道义，妙手著文章。
“记者看法院”专题策划重磅回归！最高人民法院新闻局联合人民法院新闻传媒总社，近期陆续邀请日常采访最高法的“跑口记者”讲述2022年采访报道人民法院工作的体会和感受，并与读者一起重温他们的代表作品。
想看到这些“跑口记者”的庐山真面目吗？
想知道他们眼中的人民法院都是什么样吗？
一起来围观！
这位记者是谁？
光明网记者 孙满桃
有“底线” 公平正义才能“触手可及”
2022年，一部全景展现我国司法改革成果的电视剧《底线》火遍全网，话题频登热搜。由于选材于真实案件，让网友直呼“过瘾”。作为一部现实主义的电视剧，以大量细节展示案件审理全过程，这也从侧面反映出中国司法公开的力度。
弹指十年间，法治中国建设开创新局面。
这十年，从“千里迢迢”到“家门口办事”，跨域立案服务四级法院全覆盖；设立互联网法院，网上官司网上打；全面落实立案登记制改革，让“立案难”变成历史；完善冤假错案纠正机制，筑牢司法公信；用铁腕惩治失信被执行人，切实解决“执行难”……一件件，一桩桩，点点滴滴，人民法院努力让公平正义“触手可及”。
这十年，人民法院聚焦社会治理热点难点，回应群众新要求新期待。对性侵儿童、拐卖妇女儿童等案件，该判处死刑的决不手软；发布人身安全保护令，严惩家庭暴力；依法从严惩处电信网络诈骗犯罪，一批跨境电信网络诈骗犯罪主犯被判处重刑；坚持用最严格制度最严密法治保护生态环境，强化生态环境法治保障……
2022年，“跑口十年”，作为见证者、记录者、传播者，见证人民法院司法改革落地生花！
代表作品
最高法：未超出必要限度的负面评价不构成名誉侵权
“小区大门口动用该房屋维修金，你们大家签了字，同意了吗？”
“不管怎样你们签的字违规，我们不认可……”
看着群里业主发表的言论，物业公司认为其侵害了名誉权，一纸诉状将业主告到了法院，要求该业主公开赔礼道歉并赔偿损失。
那么，业主为维护自身权益对物业监督事项作出负面评价构成侵权吗？
最高人民法院认为，业主为维护自身权益对监督事项所作负面评价未超出必要限度的，不构成名誉侵权。
今日，最高法发布民法典颁布后人格权司法保护典型民事案例，其中就包括上述“物业公司因业主负面评价引发的名誉侵权”案。
根据最高法通报，原告某物业公司为某小区提供物业管理服务，被告吴某、案外人徐某系该小区业主。2020年12月11日，徐某在业主微信群内发了15秒的短视频，并在群内发表“小区大门口动用该房屋维修金，你们大家签了字，同意了吗？”“现在一点这个东西就这么多钱，到时电梯坏了，楼顶坏了等咋办，维修基金被物业套完了，拍拍屁股走人了，业主找谁去！”“真要大修没钱就自生自灭了，太黑心了”“所以这个小区成立业主委员会是迫在眉睫”“不管怎样你们签的字违规，我们不认可，要求公示名单”等言论，物业公司工作人员在该群内制止吴某并要求吴某道歉，吴某继续发表“凭什么跟你道歉”“我说的是事实”等。
原告某物业公司认为被告吴某的言论侵害其名誉权，遂诉至法院，要求吴某公开赔礼道歉并赔偿损失。
二审江西省吉安市中级人民法院经审理认为，依据民法典规定，法人、非法人组织依法享有名誉权，任何组织或者个人不得以侮辱、诽谤等方式侵害他人名誉权。住宅专项维修资金的使用涉及业主的切身利益，被告吴某作为小区业主，在案涉业主微信群内围绕专项维修资金的申领、使用等不规范情形对原告某物业公司所作的负面评价，措辞虽有不文明、不严谨之处，但未超过必要的限度，不足以产生某物业公司社会评价降低的损害后果。
法院认为，物业公司系为业主提供服务的企业法人，对业主在业主群内围绕其切身权益所作发言具有一定容忍义务。
因此，被告吴某不构成对原告名誉权的侵害。同时，法院认为，业主在行使监督权利时应当理性表达质疑、陈述观点。综上，判决驳回原告某物业公司的诉讼请求。
最高法认为，该案的典型意义在于，明确业主为维护自身权益对监督事项所作负面评价未超出必要限度的，不构成对物业公司的名誉侵权，依法合理划分了法人、非法人组织人格权的享有与公民行为自由的边界。
——————————★——————————
“两高两部”发布新规
对未成年人犯罪记录“应封尽封”
犯罪记录封存制度是教育挽救犯有较轻罪行的失足未成年人的一项重要法律制度，其功能和意义在于，尽可能降低轻罪前科对未成年人回归社会的影响，促使其悔过自新、重回正轨。
为切实解决实践中未成年人犯罪记录和相关记录管理不当导致信息泄露，影响失足未成年人重新回归社会等问题，近日，最高人民法院、最高人民检察院、公安部、司法部会签下发了《关于未成年人犯罪记录封存的实施办法》（以下简称《实施办法》）。
绝大多数省份都存在违规查询导致泄露信息案事件
2012年修订的刑事诉讼法增加规定了未成年人犯罪记录封存制度，但由于规定较为原则，实践中对封存的主体、封存的具体内容和程序以及查询的主体、内容、程序等把握不一，导致该制度在落实中出现封存管理失范，相关部门监管失序等问题。
如一些企业违法提供、出售、使用未成年人犯罪记录，致使未成年人犯罪记录泄露等。
近年来，全国人大代表、政协委员也多次提出完善未成年人犯罪记录封存制度的建议、提案。为此，2021年6月，“两高两部”就此项制度落实情况开展了专项调研。
通过调研发现，绝大多数省份都存在未成年人犯罪记录应封未封或者违规查询导致泄露信息的案事件，造成涉案未成年人在考试、升学、就业、生活等方面遭遇歧视，很多涉案未成年人因无法正常工作生活而无奈走上信访维权道路。
据司法机关统计，2017年4月至2022年4月，未成年人犯罪不起诉80855人、被判处五年有期徒刑以下刑罚157962人，共计238817人。
“如果这么大一批罪错未成年人因犯罪记录失密造成就业难、入学难，可能会再次滑向犯罪深渊，使办案环节教育、感化、挽救的全部努力归零，影响社会治理现代化进程。” “两高两部”相关负责人在接受记者提问时说。
针对实践中存在的问题，最高法、最高检、公安部、司法部共同制定了《实施办法》。
“我们在专项调研基础上着手起草《实施办法》。起草过程中，我们确实发现很多问题。”“两高两部”相关负责人说，刑事诉讼法规定“犯罪的时候不满十八周岁，被判处五年有期徒刑以下刑罚的，应当对相关犯罪记录予以封存”，但对于何种材料属于“相关犯罪记录”并未明确。这导致司法实践中有些地方认为未成年人违法记录，如绝对不起诉、附条件不起诉、相对不起诉、宣告无罪、社区矫正、接受专门教育、行政处罚等不属于“犯罪记录”，因此不在封存范围，致使涉案未成年人前科劣迹材料泄露；有些地方认为犯罪记录仅限于判决、不起诉等终局处理结果，而强制措施记录、立案文书、侦查文书、刑罚执行文书等过程文书均不包含在封存范围内，导致有的案件在侦查、起诉环节各种信息资料已经不当泄漏，判决作出后再进行封存为时已晚。
对涉及未成年人案件材料“应封尽封”
记者注意到，《实施办法》对犯罪记录的封存作出了进一步明确，并特别强调既要封存办案过程中形成的纸质材料，也要封存相关电子数据。各地公安机关将按照《实施办法》的要求，严格做到“应封尽封”。
《实施办法》明确了18周岁前后实施数个犯罪的犯罪记录封存问题。即在年满十八周岁前后实施数个行为，构成一罪或者一并处理的数罪，主要犯罪行为是在年满十八岁周岁前实施的，被判处或者决定执行五年有期徒刑以下刑罚以及免予刑事处罚的未成年人犯罪记录，应当对全案依法予以封存。
《实施办法》在封存内容方面力求全面。即对于涉及未成年人案件的材料“应封尽封”。
一是对于未成年人刑事案件程序中的材料，在诉讼终结前一律加密保存、不得公开；人民法院依法判决后，被判处五年有期徒刑以下刑罚以及免予刑事处罚的，相关部门应当主动对自己掌握的未成年人相关犯罪记录予以封存。对于共同犯罪案件，分案后未封存的成年人卷宗封皮应当标注“含犯罪记录封存信息”，并对相关信息采取必要保密措施。
二是对于未成年人不予刑事处罚、不追究刑事责任、不起诉、采取刑事强制措施的记录；对涉罪未成年人进行社会调查、帮教考察、心理疏导、司法救助等工作的记录也应当依法封存。
三是对于涉及未成年被害人的案件、涉及未成年人民事、行政、公益诉讼案件，也要注意对未成年人的信息予以保密。四是对于2012年12月31日以前办结的案件符合犯罪记录或者相关记录封存条件的，也应当予以封存。
刑期超过五年的，依法不予封存犯罪记录
《实施办法》规定，对被封存犯罪记录的未成年人，符合下列条件之一的，封存机关应当对其犯罪记录解除封存：（一）在未成年时实施新的犯罪，且新罪与封存记录之罪数罪并罚后被决定执行刑罚超过五年有期徒刑的；（二）发现未成年时实施的漏罪，且漏罪与封存记录之罪数罪并罚后被决定执行刑罚超过五年有期徒刑的；（三）经审判监督程序改判五年有期徒刑以上刑罚的；被封存犯罪记录的未成年人，成年后又故意犯罪的，人民法院应当在裁判文书中载明其之前的犯罪记录。
“两高两部”相关负责人表示，未成年人身心未完全成熟，依法应当予以特殊优先保护，但实践中也要坚持宽严相济，对罪行较轻的，着力教育感化挽救；对涉嫌严重犯罪的，依法批捕起诉，刑期超过五年的，依法不予封存犯罪记录。
封存案件材料不得授权网络平台通过互联网直接查询
记者注意到，《实施办法》对犯罪记录封存的保密措施和保密责任作出明确规定，司法部将指导各地司法行政机关依法落实犯罪记录封存相关卷宗材料的保密管理、电子档案信息的加密保存，严格落实相关工作人员的保密要求，建立健全责任体系，对不当泄露未成年人犯罪记录或者隐私、信息的，依法严肃追究相关人员责任，确保保密责任到位。
《实施办法》明确承担犯罪记录封存以及保护未成年人隐私、信息工作的公职人员，不当泄漏未成年人犯罪记录或者隐私、信息的，应当予以处分；造成严重后果，给国家、个人造成重大损失或者恶劣影响的，依法追究刑事责任。
“两高两部”相关负责人表示，鉴于线上系统缺乏对未成年人犯罪案件单独录入、管理及加密的设置，《实施办法》特别规定电子档案信息也应当封存，即第10条规定“对于电子信息系统中需要封存的未成年人犯罪记录数据，应当加设封存标记，未经法定查询程序，不得进行信息查询、共享及复用。封存的未成年人犯罪记录数据不得向外部平台提供或对接”。确保了对全部案卷材料封存到位。
更多作品链接
一组词云，带你一览2022年最高法工作报告中的公平正义！
专访宋鱼水：让人民群众享有“触手可及”的正义
丈夫嫌妻子做饭难吃辱骂施暴致其轻微伤
