【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

2023中国车市展望|二手车新政落地 能否冲击两千万辆大关？******

　　1月1日起，二手车新政落地。按照《商务部等17部门关于搞活汽车流通扩大汽车消费若干措施的通知》(以下简称《通知》)的规定，个人在一年内过户名下车辆不得超过三次，且个人名下的车辆在购入一年内不能销售。

　　瓜子二手车高级副总裁王晓宇表示，以个人经纪模式为主导的二手车交易成为历史，行业进入以企业经销模式为主的高质量发展的新阶段。瓜子二手车数据显示，从元旦开始，大多数二手车市场、车商以及交易相关配套服务企业均已正常经营，市场人气开始快速恢复，线上平台交易量相比2022年元旦假期增长30%以上。

　　1月16日，中国汽车流通协会副秘书长罗磊公开表示，2023年是各项政策全面落地的一年，二手车市场应该会全面恢复应有的活力，据预估，2023年二手车交易量应该向2000万辆大关冲击。

　　中国汽车工业协会副总工程师许海东对新京报贝壳财经记者表示，新政鼓励二手车经营主体去进行二手车交易，而在二手车产业中，只有二手车经营主体为主进行二手车经营才能够保证二手车整个营业体系维持正常发展。

　　车商以个人名义售二手车被限

　　《通知》中规定，2023年1月1日起，对自然人在一个自然年度内出售持有时间少于1年的二手车达到3辆及以上的，汽车销售企业、二手车交易市场、拍卖企业等不得为其开具二手车销售统一发票，不予办理交易登记手续，有关部门按规定处理。

　　这也就意味着，个人名下持有时间不满1年的汽车有三辆及以上的，一年内只能卖两辆，第三辆车开始开不了交易发票，也无法进行交易过户；具体时间是看办理交易时，该车在个人名下持有时间是否满一年。

　　此前，我国二手车交易方式以经纪模式为主。所谓经纪模式是指二手车经营主体将收购的二手车过户到车商/员工个人名下，销售时再将该二手车过户登记到买家名下，这也就产生了个人“背户”现象。有二手车商告诉新京报贝壳财经记者，个人之间交易可以免征购置税，减少成本。而经销模式则是指先将车收购至公司名下，再对外销售，在这种模式下，需按照二手车销售价格的0.5%进行缴税。

　　“2022年11月的时候，二手车市场的负责人曾通知我们二手车经销商，11月特别是12月大家都忙着处理手头库存车。”环京地区二手车商陈先生告诉记者，2022年规模大的二手车商库存车较多。

　　“2022年12月下旬，基本都在抓紧处理挂在名下的库存二手车，12月交易量增长远超11月，基本达到年内高峰。由于自己的库存车比较少，手头积压车辆还算好处理，但市场上规模稍大的二手车商压力相对较大。”陈先生说。

　　二手车商老李表示，手头积压车辆较多的车商由于无法短期内处理完库存车，部分会采取将库存车分散到不同的人名下的方式。不过他表示，这只是短期的应急手段，并非长久之计。

　　尽管有的车商犹豫，但大部分车商表示，自然人交易受限制有利于行业发展，政策意图是好的。

　　二手车由个人经纪转向企业经销

　　在经纪模式下，二手车交易普遍存在规模小、车况信息不透明、无法保证售后服务和消费者合法权益、市场诚信问题突出等现象。许海东分析称 ，新政策只是限制个人经纪模式或者是黄牛倒卖等情况，整体上利于行业发展。

　　业内普遍认为，随着新政的实施，未来二手车交易也或将像新车一样，实行经销模式。

　　王晓宇认为，“对于中小车商来说，应该积极拥抱二手车行业新政，进一步提高业务的合规性、透明性，加速从个人经纪模式升级为企业经销模式。”许海东表示，新政策有利于保证二手车行业的正常健康发展。中国汽车流通协会副秘书长罗磊补充表示，当市场环境发生变化时，车商不能坐以待毙，而应注重自身的转型升级，需要通过自身调节，找到与新形势的平衡点。

　　对于车商而言，调整首先需要注册个公司成为法人企业，经营范围中含有“汽车或二手车销售”的项目，或直接在原有二手车经纪公司的经营范围中增加“汽车或二手车销售”业务；其次需要在商务部网站完成备案。

　　“该政策具有行业里程碑式的意义；大部分车商已有相应的准备，落地后各地车商群体根据当地政策细则也会做好进一步落地工作。”王晓宇对新京报贝壳财经记者说道。

　　交易价格或将呈现下探趋势，品牌车商更稳定

　　中国汽车流通协会最新数据显示，2022年我国二手车累计交易量为1602.78万辆，同比下降8.86%，同期相比减少了155.7万辆，累计交易金额为10595.91亿元。

　　中国汽车流通协会数据显示，去年12月二手车交易价格持续走低，交易价格在5万元以内的车型占比增长明显。《2023年中国二手车行业展望 》研究报告中分析称，2022年全年二手车的成交均价从6.16万下降到4.84万，呈现下降趋势；基于供应链产业成本趋势及国内激烈的新能源汽车竞争环境等因素影响，预计2023年二手车交易价格仍将呈现下探态势。

　　业内认为，新政实施以后，随着二手车经营品牌化、规范化的深入，预计2023年品牌化车商的经营将会呈现更加稳定的趋势。

　　随着二手车交易临牌、以及此前全国取消国五限迁等实施，当前二手车政策组合拳已全面落地，行业已经迎来全国大流通。“对广大车商群体来说，不仅应该积极拥抱二手车行业新政，加速从个人经纪模式升级为企业经销模式，提高业务的合规性、透明性与诚信度；更要善于利用线上平台抢占全国大流通的市场红利、进一步提升周转与经营效率，大幅提升自身竞争力。”王晓宇表示。

　　许海东认为，近年来商务部持续推动二手车限迁接触，加快流通，对于二手车行业发展极大利好，二手车的交易流通对新车市场销售也是利好突出；按照发达国家二手车与新车交易量的比例，我国二手车市场还将继续发展，同时也将带动新车市场、二手车出口的共同发展。