220 款美軍常用 App 近三分之二含中俄代碼｜華為 SDK 潛伏其中
一句話總結
普渡大學等研究人員發現 220 餘款面向美軍推廣 App 中，近三分之二嵌入來自中國、俄羅斯等國的第三方代碼，包含被列為國安威脅的華為 SDK。可遠端更新是關鍵風險。103 名軍人關聯人員中 76%-83% 表示極度不安。
220 款美軍常用 App 近三分之二含中俄代碼｜華為 SDK 潛伏其中
普渡大學等機構研究人員發現，面向美軍人員推廣的 220 餘款 App——涵蓋基地評價、制服指南、銀行與約會等類型——近三分之二嵌入了來自中國、俄羅斯等國的第三方代碼，當中包括已被美國政府列為國家安全威脅的華為軟體開發工具包（SDK）。
技術風險在於遠端更新能力。研究人員指出，目前未觀察到數據實際流向華為伺服器，但這類 SDK 可隨時被開發者遠端更新，潛伏代碼隨時能被激活。受訪的 103 名軍人關聯人員中，76% 至 83% 對應用中含有中、俄、伊朗或朝鮮代碼表示極度不安。
這不是第一次。美國防部此前也曾報告，對手利用商業位置數據監視中東美軍人員的情況。App 商店的下架治理跟不上第三方 SDK 的更新節奏——真正在軍營手機裡跑的代碼，離華盛頓的實體清單有一整條供應鏈的距離。
via WIRED
普渡大學等機構研究人員發現，面向美軍人員推廣的 220 餘款 App——涵蓋基地評價、制服指南、銀行與約會等類型——近三分之二嵌入了來自中國、俄羅斯等國的第三方代碼，當中包括已被美國政府列為國家安全威脅的華為軟體開發工具包（SDK）。
技術風險在於遠端更新能力。研究人員指出，目前未觀察到數據實際流向華為伺服器，但這類 SDK 可隨時被開發者遠端更新，潛伏代碼隨時能被激活。受訪的 103 名軍人關聯人員中，76% 至 83% 對應用中含有中、俄、伊朗或朝鮮代碼表示極度不安。
這不是第一次。美國防部此前也曾報告，對手利用商業位置數據監視中東美軍人員的情況。App 商店的下架治理跟不上第三方 SDK 的更新節奏——真正在軍營手機裡跑的代碼，離華盛頓的實體清單有一整條供應鏈的距離。
via WIRED
