220 款美军常用 App 近三分之二含中俄代码｜华为 SDK 潜伏其中
一句话总结
普渡大学等研究人员发现 220 余款面向美军推广 App 中，近三分之二嵌入来自中国、俄罗斯等国的第三方代码，包含被列为国安威胁的华为 SDK。可远程更新是关键风险。103 名军人关联人员中 76%-83% 表示极度不安。
普渡大学等机构研究人员发现，面向美军人员推广的 220 余款 App——涵盖基地评价、制服指南、银行与约会等类型——近三分之二嵌入了来自中国、俄罗斯等国的第三方代码，当中包括已被美国政府列为国家安全威胁的华为软件开发工具包（SDK）。
技术风险在于远程更新能力。研究人员指出，目前未观察到数据实际流向华为服务器，但这类 SDK 可随时被开发者远程更新，潜伏代码随时能被激活。受访的 103 名军人关联人员中，76% 至 83% 对应用中含有中、俄、伊朗或朝鲜代码表示极度不安。
这不是第一次。美国防部此前也曾报告，对手利用商业位置数据监视中东美军人员的情况。App 商店的下架治理跟不上第三方 SDK 的更新节奏——真正在军营手机里跑的代码，离华盛顿的实体清单有一整条供应链的距离。
via WIRED
技术风险在于远程更新能力。研究人员指出，目前未观察到数据实际流向华为服务器，但这类 SDK 可随时被开发者远程更新，潜伏代码随时能被激活。受访的 103 名军人关联人员中，76% 至 83% 对应用中含有中、俄、伊朗或朝鲜代码表示极度不安。
这不是第一次。美国防部此前也曾报告，对手利用商业位置数据监视中东美军人员的情况。App 商店的下架治理跟不上第三方 SDK 的更新节奏——真正在军营手机里跑的代码，离华盛顿的实体清单有一整条供应链的距离。
via WIRED
