SDK作恶我劝你善良

　　文|新经济沸点 郭娟
　　央视315晚会终于在716播出。
　　节目曝光了九个问题：＂敌敌畏海参＂＂过期汉堡王＂事关饮食安全；＂美容和教育消费＂＂装修黑洞＂＂神车＂等，让＂坑＂里的消费者损失财产。
　　在消费这件事上，买家永远是弱势群体，所以中国消费者协会才会设置315，央视才会在每年的这天播出一档重磅调查性节目，以警醒消费者提高维权意识，也震慑无良商家。
　　因为长期关注科技互联网的内容，我今年特别留意节目中＂暗藏玄机的SDK＂一段。
　　直播过程中，比节目更精彩的现象出现了，观众留言区涌进大量的P2P受害者，他们的诉求基本上是要求＂央视彻查各种网贷平台＂。
　　在央视315曝光的54款问题APP中，除了几款功能性软件外，的确有很多都是没听说过的网贷平台：国美易卡、美期分期、九秒贷、够范分期、麦芽贷、栗子借款、趣花呗、我享借、乐享宝、融小鱼……
　　SDK的＂助纣为虐＂，体现了大数据时代的＂技术黑箱＂现象。
　　＂黑箱＂为控制论中的概念，意为在认知上，主体对内部情况的全然不知，如果当技术成为普通人认知的鸿沟，在有效监管缺失的前提下，技术黑箱对人造成压迫，而人却无力还击。
　　但正本清源，SDK原本可以向善。1
　　SDK是软件开发中常用的一项技术，全称为Software Development Kit，也就是软件开发工具包。
　　它把软件开发中比较复杂，或者研发成本比较高的功能专门做成半成品工具包，开发软件的公司只要买来这些工具包，稍做加工就可以使用这项功能了。
　　这操作好比做菜的家庭主妇，买来半成品，只需加热就能上桌这么简单。
　　很多小规模的公司，由于开发能力不够，资金不充足，就会买第三方的SDK工具包来完善自己的APP功能，久而久之，SDK成为软件开发的一环，有它长期存在的理由。
　　目前最常使用的SDK包括广告推送、弹窗、地图导航、语音识别、第三方登陆、第三方支付等等。
　　这些功能都需要读取手机用户的相应信息，按照我们的相关规定，都需征得＂用户授权＂，但，如果SDK公司超出约定的功能范围，随意搜集，就向作恶迈出了第一步。
　　2015年10月，一款名为＂有米＂的第三方广告SDK被发现收集了用户的个人身份信息，包括Apple ID邮件地址、设备识别码，以及安装在手机上的App列表信息。最后，使用有米SDK的256款App被苹果应用商店下架。
　　更有SDK开发者会故意预留＂后门＂，以便收集用户信息或执行越权操作，这它作恶的第二条路径。
　　2017年8月，同样是第三方广告SDK的＂个信＂被发现内置后门，在未经用户允许的情况下收集用户隐私数据，获取用户设备中全部已经安装App列表。嵌入该SDK的500多款App的总下载量超过1亿次，最终全部被Google Play下架。2
　　2020年的央视315晚会上，＂暗藏玄机的SDK＂讲述了2019年11月，上海市消费者权益保护委员会委托第三方公司对一些手机软件中的SDK插件进行了专门的测试。
　　技术人员在检测的50几款问题APP中发现，这些软件的SDK＂会读取这部设备的IMEI、IMSI、运营商信息、电话号码、短信记录 、通讯录、应用安装列表和传感器信息。＂
　　他们分别用了两家企业SDK套件：一家叫上海氪信信息技术有限公司，另一家叫做北京招彩旺旺信息技术有限公司。
　　这些信息都是在不经用户允许的前提下，悄悄搜集，上传至网络。
　　被搜集的信息有多重要？以IMEI号为例，它好比一部手机的＂指纹＂，像每个人的身份证号；短信记录的截取，比较危险的一个场景为＂验证码＂，一旦验证码落入不法分子的手里，许多账号密码都形同虚设。
　　更为危险的是，当多款APP同时使用一个SDK，使SDK更便于整合各APP的数据孤岛。
　　例如，一个人在手机上进行的银行卡转账、支付宝付款、微信支付、电商平台购物……这些信息如果被整合，能很好地反应他的收支情况，作恶的SDK公司将这样的信息信息打包，售卖给一些金融机构，将成为他们放贷的依据。
　　央视曝光的氪信，成立于2015年，在可以查阅的公开宣传中，这家公司以＂智能风控、智能营销、智能运营＂为卖点，常年服务于金融机构。
　　司库财经报道更进一步佐证：＂工商银行、建设银行、交通银行、国美易卡等传统企业，都使用或曾经使用氪信旗下产品，来解决线上获客、实时信审、智能化运营的难题。＂
　　央视曝光氪信的问题后，国美易卡发表申明，与氪信的合作，终止于2020年1月，而氪信自己也回应：2019年年底，就终止了SDK业务。
　　但这件事不应该止于回应＂停止业务这样简单＂，因为这些操作，氪信这几年获取的用户信息、以及依据其上获取的暴利应该深入追究。
　　它利用＂技术黑洞＂滥用隐私，这样的事的背后也有足够的动力，比氪信们为金融机构提供＂智能风控＂更甚的，是网络黑产。
　　在数据黑产市场，身份证、姓名、位置、工资收入、消费能力等个人敏感数据，都为高价值信息。
　　依据创业邦的报道，＂早在2017年，中国黑产的从业人员就已经达到了百万级以上，每年造成的损失达千亿元级规模。＂
　　＂暴利下，黑产成为一个灰色地带，也有内部分工，上游为信息供货，中游负责信息处理与加工，下游则是应用变现。＂
　　黑产，是SDK作恶的第三条路径，它与网络爬虫一样，借助技术优势，秒杀那些内部数据泄露者，成为黑产上游的＂优质＂参与者。
　　信息安全领域，法律法规的监管总是滞后，这是每一个国家都存在的现象，从这个角度看，SDK要停止作恶，也依靠软件厂商自觉。
　　与此同时，消费者的隐私防范也应该引起重视：苹果应用商店、Google Play都对APP的准入比较严格，大厂开发的APP也应该是可信度较高的软件。