10月20日，美國網(wǎng)絡(luò)安全公司SourceDNA稱，有256個使用有米SDK的APP因“收集用戶個人數(shù)據(jù)”而遭蘋果下架。有米隨即回應(yīng)稱從未采集任何直接的個人身份識別信息，SDK插件只是用于“幫助廣告主、開發(fā)者防作弊。”而據(jù)360團隊數(shù)據(jù)：截止11月3日，共有1035個App受到有米SDK的影響，受影響App主要集中在游戲和教育類。
有米官網(wǎng)當(dāng)天便貼出了回應(yīng)
接到SourceDNA的報告后，蘋果方面給出回應(yīng)：“我們發(fā)現(xiàn)一批App涉嫌使用私人API收集用戶個人信息，包括郵件地址、設(shè)備認(rèn)證信息以及路由數(shù)據(jù)，而這些App都使用了有米開發(fā)的第三方廣告SDK。此行為違反了我們的安全和隱私準(zhǔn)則，凡使用有米SDK的App均將做下架處理，新App如果使用了該SDK也將遭到拒絕。”
更多App擔(dān)心的是：ASO、App間技術(shù)對接會不會觸犯蘋果的底線？八妹首先帶大家了解一下兩個概念：防作弊SDK、私有API。
什么是API？
API全稱是Application Programming Interfaces，譯為應(yīng)用程序編程接口。它是用于管理應(yīng)用程序之間數(shù)據(jù)溝通、功能實現(xiàn)的規(guī)范化交流方式。App能通過它實現(xiàn)對硬件的控制或與其它App的互動協(xié)作，如將一首音樂分享到微信朋友圈。而私有API指的是在蘋果開發(fā)文檔中沒有提供的、可能會被AppStore拒接的編程接口。
近年來，由于移動廣告投放過程中衍生的作弊行為層出不窮，一些廣告平臺強化了SDK防作弊模塊，增加更多設(shè)備驗證的信息。所謂的防作弊的SDK通常也需要調(diào)動私有的API。但是，私有API技術(shù)并不是成熟和通用的開發(fā)者手段，蘋果無法控制其讀取用戶信息的內(nèi)容，因此，蘋果通常不允許APP使用私有API。而因為調(diào)用私有API而在審核中遭到拒絕的現(xiàn)象并不少見。
而SDK本身也會存在著安全威脅，除了會獲取用戶隱私信息，如收集設(shè)備ID、獲取用戶位置信息外，還存在著更嚴(yán)重的安全問題。比如某些SDK具有主動接收服務(wù)器指令的功能，它會根據(jù)需要收集短信、通話記錄和聯(lián)系人等敏感信息。
無辜的APP開發(fā)者：只是跟人合作用了個SDK就被下架了
SourceDNA的報告中表示，此次被連累下架的app對此并不知情，因為開發(fā)包是以二進(jìn)制代碼的方式提供給開發(fā)者，采集到的用戶信息也并未上傳到移動軟件的后臺，而是上傳到了有米廣告平臺的服務(wù)器上。但媒體報道的題目都是這樣：“國產(chǎn)APP被蘋果下架:山寨應(yīng)用涉嫌竊取隱私信息”、“蘋果下架250余款應(yīng)用涉嫌收集用戶隱私”……不了解內(nèi)情的讀者很容易誤讀是應(yīng)用開發(fā)者竊取用戶隱私。
此次下架風(fēng)波讓不少App成為驚弓之鳥，短時間內(nèi)不敢做合作推廣，特別是涉及技術(shù)對接的合作行為。如何確認(rèn)自己不會在蘋果規(guī)則中變成受殃池魚，八妹覺得小白推廣者們其實可以簡單從以下幾個方面考量：
辨別方式1：是否需要在你的App內(nèi)植入SDK？
首先抓基本概念，沒有SDK嵌入式合作的行為目前都是安全的，肯定不會涉及到搜集用戶信息上傳。如友錢（iyouqian.com）類的廣告平臺對接，是平臺自身通過IDFA對用戶做標(biāo)記過濾，這類正常的對接屬于蘋果允許范圍內(nèi)。
辨別方式2：是否有DMP平臺進(jìn)行用戶信息上傳和分析？
DMP的全稱是Data-Management Platform，譯為數(shù)據(jù)管理平臺。是很多廣告平臺的價值門檻所在，數(shù)據(jù)管理平臺能夠幫助所有涉及廣告庫存購買和出售的各方管理其數(shù)據(jù)、更方便地使用第三方數(shù)據(jù)、增強他們對所有這些數(shù)據(jù)的理解、傳回數(shù)據(jù)或?qū)⒍ㄖ茢?shù)據(jù)傳入某一平臺，以進(jìn)行更好地定位。如果你的合作方對DMP平臺有所建樹，就要對SDK的內(nèi)容做一些溝通了解，確認(rèn)其是否有上傳蘋果不允許讀取的用戶信息內(nèi)容。
辨別方式3：合作方訪問了你的哪些內(nèi)容？
在對接過程中，了解對方的訪問需求，以及是什么內(nèi)容會被你家APP上傳到對方的服務(wù)器上？以友錢（iyouqian.com）為例，對接過程中主要是和CP的服務(wù)端發(fā)送請求，隨后由CP的后臺對信息進(jìn)行跟蹤，不會去影響客戶的服務(wù)端安全。
