通付盾APP尽职调查报告深度解析

引言

移动应用程序已经成为了现代生活的重要组成部分，我们几乎每天都在使用各种不同类型的应用来满足我们的需求，无论是社交、购物、娱乐还是工作。然而，随着移动应用的广泛使用，APP及供应链安全问题也引起了越来越多的关注。恶意软件、数据泄露和其他供应链攻击威胁着移动应用的安全性。

通付盾多年来致力于为企业提供软件全生命周期安全工程解决方案，帮助企业提升软件安全质量，从软件开发生命周期阶段入手，通过机器学习、身份动态扫描、全网全时分区检测等多个核心自研技术，构建软件质量安全框架、软件安全全生命周期安全解决方案，提升软件安全级别，降低安全风险。

通付盾北斗团队建立APP的大数据库，监测300+APP分发渠道，收录了常见的39类应用及Web3应用的数据信息，平台已检测分析了500多万款应用，分析版本达到1000万+，采用深度机器学习技术和大数据分析技术，不断提高检测引擎“智力”，更加快速准确定位安全风险，涵盖的数据纬度包括：APP基础数据、渠道数据、安全数据、合规数据、运营数据等，深入全面透视APP市场数据及安全状况，整合数据生成APP尽职调查报告。

图表 1 APP尽职调查报告数据

通付盾APP尽职调查报告，向开发者和用户提供便利的APP市场数据分析服务，帮助开发者和用户全面掌握APP信息。采用数据分析引擎从APP版本情况、下载量、评论及评分、盗版仿冒情况等维护汇总、分析，进行趋势化统计，以图表、报告等形式更直观量化的方式呈现，为开发者审核APP市场风险、管理风险、运营风险等情况提供全面深入的数据参考支撑。

通付盾APP尽职调查报告的核心内容：

建立安全模型，多维度分析APP安全合规问题

汇总分析APP的基础数据，如包名、版本号、应用签名、发布时间、开发者、第三方SDK等信息为安全模型提供了重要的分析维度，以帮助检测和解决安全问题。这些数据可以用于应用的身份验证、版本管理、漏洞检测和合规性审查等方面。

唯一标识：包名是一个应用的唯一标识符，因此可用于识别应用的身份。在安全模型中，包名可用于验证应用的真实性，以防止冒充或伪造的应用。

供应链安全：包名还可用于追踪应用的供应链，确保没有不明来历的组件被引入到应用中。如果包名与应用开发者或供应商的信息不匹配，可能存在风险。

版本管理： 版本号用于标识应用的不同版本。在安全模型中，版本号可用于确保用户正在使用最新的、受安全漏洞修复的应用版本。

身份验证：在用户安全验证流程中，包名可以用于验证应用的真实性，确保用户没有下载到冒充应用。

图表2 APP基础信息展示

依托APP大数据和实时分析能力，对应用代码进行审查，从编码规范检测、发布规范检测、代码安全检测、环境安全审计检测、组件安全检测、数据安全检测、安全漏洞检测7个层级，对移动应用进行安全检测，针对应用中潜在的安全风险进行全面分析，以发现和修复潜在漏洞，分析应用的后端API和服务，以防止恶意攻击和滥用，帮助开发者提高对仿冒、不良、违规等风险APP的识别能力，并向用户进行预警提示。

图表 3应用安全漏洞风险情况

识别第三方SDK，保障APP供应链安全

开源生态带来的正面效应已在信息经济生活中发挥重要影响，如何在安全可控的情况下使用开源，已成为开源生态的关键任务。开源安全风险防范措施应贯穿软件开发的整个生命周期。

供应链安全问题是指攻击者试图在应用的开发过程中或在分发渠道中植入恶意代码或以其他方式破坏应用的完整性。这些攻击可能导致数据泄露、用户隐私侵犯、应用漏洞和其他安全问题。

图表 4供应链组件生命周期

SDK是Software Development Kit的缩写，它是一组软件工具和库，旨在帮助开发者在应用中添加特定功能或功能模块。这些功能可以涵盖各种领域，包括广告、社交分享、支付处理、数据分析等。开发者可以选择集成第三方SDK，而不必自己编写和维护这些功能，从而加速应用的开发过程。

图表 5 SDK使用场景示意

SDK是独立的软件开发工具包，依附于APP运行，同样具备收集用户个人信息的能力。存在一类SDK，实际运行时行为远远超出了官方所描述的功能范围，具有较强的隐蔽性，这类SDK依附APP运行非法收集用户个人信息，用户很难辨别收集行为是APP发起的还是SDK发起的，甚至是APP开发者也未必完全知晓。例如：之前《Vice》在一份报告中指出，Zoom App嵌入的Facebook 的SDK会向Facebook传输用户手机型号、城市、广告标识符、IP地址等用户个人信息。即使用户没有Facebook账号，其个人信息也依旧会传输给Facebook。Zoom的隐私政策中也没有告知Facebook SDK收集个人信息或Zoom App向Facebook SDK共享个人信息的情况。事件曝光后，Zoom不仅遭受较大的负面舆论影响，市值蒸发58亿美元，股价下跌超6%，而且在美国加利福尼亚州遭到起诉。（此案例摘自：软件开发包(SDK)安全与合规报告- 中国信息通信研究院、北京市环球律师事务所）

图表 6 某第三方SDK组件漏洞

SDK经常在APP背后收集用户个人信息，这一类行为难以被发现，需要依托自动化的检测引擎帮助识别。针对APP使用全过程进行监测，依据权限检测标准，主动发现APP及SDK存在的未经授权擅自收集、过度和非必要收集、频繁索权和强制收集、隐瞒第三方SDK收集行为、私自共享给第三方等问题，从而帮助用户和开发者快速、准确地检测SDK中存在的敏感权限调用及过度个人信息收集。

图表 7 第三方SDK检测信息

通付盾APP尽职调查报告通过分析APP中集成的第三方SDK来保障移动应用供应链安全是一项重要任务。通付盾APP尽职调查报告中，持续监控分析第三方SDK安全，有助于降低供应链攻击的风险，保护应用和用户的安全。

多维度数据分析，实时掌握市场动态

移动应用市场在过去几年中取得了巨大的增长，成为数字领域的重要一环。随着竞争加剧，开发者和企业需要实时了解应用在整体市场和细分行业的情况，以制定更明智的决策。这正是多维度数据分析工具的价值所在，它们使用户能够查看用户下载、用户新增、评分评论等多维度数据指标，从而掌握市场动态和竞争格局。

图表 8 APP评分评论汇总

通付盾APP尽职调查报告支持多维度数据分析，把控行业竞争格局，实时了解APP在整体市场及细分行业的情况，查看用户下载、用户新增、评分评论等多维度数据指标，掌握市场动态。通过合理利用这些工具，开发者和企业可以更好地应对市场挑战，制定更明智的推广营销策略，从而取得成功。

竞争分析：通过查看竞争对手的下载量、评分和评论，开发者可以了解他们在市场上的地位，为自己的策略做出调整。

用户反馈：汇集各大应用市场的评分、评论，可以提供有关应用的用户满意度和不满意度的见解，通过一个平台全面剖析应用评分和评论信息，开发者可根据这些信息改进应用。

市场细分：多维度数据分析工具允许用户将市场分成不同的细分行业，从而更好地了解应用在各个行业中的表现。

应用推广：通过了解用户的下载和新增情况，市场人员可以调整广告营销和推广策略，以提高应用的曝光度，获取更多用户。

图表 9市场数据分析

数字身份认证，每个APP都有一个数字证书

APP大数据库中的应用，都会通过安全检测、隐私合规检测，判断满足合规要求的，会结合区块链的分布式数字身份技术，给APP颁发在链上的数字身份凭证，每个可信APP存在一个不可篡改的，用来标识与管理的标识信息。在工信部APP分类39类之外，率先引入Web3应用分类，拥抱Web3.0时代。从APP分发、下载、安装源头确保APP安全、合法合规。

图表 10 数字身份凭证

多重安全检测标记机制，对APP进行多维度全方面的深度检测，防止APP“带病上线”确保APP合法合规，安全标记包括：APP是否加固、APP是否存在安全漏洞、APP是否存在违法违规行为。通过加大技术投入，不断优化APP安全检测，切实保障APP安全和用户利益。

图表 11 APP证书信息

在架应用巡检、全网灰应用监测和渠道监测机制，对存在风险隐患的应用做到100%复检并定期抽检，谨防应用换皮、变脸等问题；对于在监测中发现的风险APP，在第一时间下架，同时向APP开发者发出风险预警并协助APP开发者进行风险处置。

通付盾APP大数据库、综合APP安全模型、和多维度APP尽职调查报告，能够帮助企业更好地管理、运营APP应用，降低APP应用安全和合规性风险。通过识别第三方SDK风险以保障APP供应链安全，以多维度数据分析为核心为企业提供更多的安全洞察和数据支持，全面保护用户数据安全和提高应用可信度，既关注应用的安全性，也关注应用的合规性，为企业提供了综合的APP应用安全解决方案，助力企业在竞争激烈的市场中脱颖而出，安全前行。