近日，頂象發布《車企App安全研究白皮書》。該白皮書總結了當前車企App主要面臨的技術威脅和合規風險，詳細分析了風險產生的原因，并提出相應安全解決方案。

　　車企App成汽車品牌首選

　　自有App成為各品牌汽車的標配，也成為車企必爭的新戰場。車企App不僅能夠實現遠程開啟空調、門鎖、啟動車輛等功能，還提供購車、購買配件、維修、保養等基礎服務，更承載著優化車主用車體驗、構建品牌私域流量池的新任務，成為車企與用戶關系運營的重要渠道。

　　車企App最核心的功能可以概括為服務、社區、商城三個部分。服務是用戶使用App的 基礎需求;商城通過積分兌換提升用戶粘性，通過商品售賣進行獲利;社區則承擔了增強用戶粘性，提高用戶活躍的重要功能。隨著“以用戶為中心”的市場戰略和運營策略也在加快落地，車機互聯、車友社區、購物娛樂等功能不斷完善，車企App用戶規模實現快速增長。

　　除了以上服務，對車輛軟硬件的操控，如解鎖車門、升降車窗、遠程啟動、查看車輛行駛軌跡或當前位置等最“原始”的功能。

　　車企APP面臨兩類風險

　　隨著車企App成為汽車交互的主要入口之一，隱私、安全問題更是頻頻爆出。一輛智能網聯汽車每天會產生大約10TB的數據，駕乘人員的出行軌跡、駕乘習慣、車內語音圖像等個人信息都面臨著被泄露的風險。攻擊者可以通過網絡漏洞攻擊劫持或控制車輛行駛，實施關閉引擎、突然制動、開關車門等操控。數據顯示，2020年全球針對智能網聯汽車的攻擊達到280余萬次。

　　總體來說，車企App面臨技術與合規兩重風險。

　　技術威脅主要是包含ROOT、模擬器攻擊、驗證碼爆破風險、系統API Hook、代理環境、反編譯、二次打包、通信、密碼爆破、so文件、簽名校驗、動態調試、進程注入、數據明文儲存、Logcat日志、任意文件上傳、SQL注入、XSS漏洞等風險。

　　合規風險主要是監管部門對APP的審查。據2019年到2023年《關于侵害用戶權益行為的App》通報顯示，共有2142款App/SDK遭到處罰。這些App主要存在違規收集、使用用戶個人信息、不合理索取用戶權限、為用戶賬號注銷設置障礙等問題，嚴重侵犯了用戶的隱私和合法權益，監管部門按照《網絡安全法》、《個人信息保護法》等法律法規，對違法違規的App通報批評，甚至被下架等處罰。

　　車企App遭遇威脅攻擊的三個原因

　　知名汽車網絡安全公司UpstreamSecurity發布的2020年《汽車網絡安全報告》顯示，自2016年至2020年1月份，汽車網絡安全事件增長了605%，僅2019年一年就增長1倍以上。按照目前的發展趨勢，隨著汽車聯網率的不斷提升，預計未來此類安全問題將更加突出。

　　第一、從封閉到聯網的變化。汽車原本沒有考慮聯網需求，隨著汽車產業向智能化、網聯化、共享化、電動化為特征的“新四化”方向狂飆邁進，汽車不再只是孤立的交通工具，而是成為融入互聯互通體系的信息終端，車與車、終端應用、路邊基礎設施以及云端之間的聯通也隨之大大增強，由此導致更多的信息安全接入點和風險點被暴露出來。業務、數據、用戶信息、運營過程等均處于邊界模糊且日益開放的環境中，存在各類風險。

　　第二、層出不窮的新漏洞。一輛智能汽車的車載智能設備數量不小于100臺，所有程序代碼不小于5000萬行，因此整個智能駕駛代碼將達2億多行。代碼數量越是龐大，軟件越是復雜，那么其中包含的漏洞就越多，由此被攻擊的概率也就越高。按照目前汽車平均擁有一億行代碼來計算，每輛智能汽車就可能存在10萬個缺陷或漏洞。而這些缺陷以及漏洞會造成什么樣的風險，沒有人可以預測。

　　漏洞是威脅的爆發源頭，無論是病毒攻擊還是黑客入侵大多是基于漏洞，業務、軟件、系統、設備都要漏洞，只是有的被發現有的沒被發現。軟件漏洞、接口漏洞、管理漏洞等等。

　　第三、攻擊者愈加專業。網絡攻擊者呈現專業化、產業化、組織化的形態，他們熟悉業務流程以及防護邏輯，能夠熟練運用自動化、智能化的新興技術，不斷開發和優化各類攻擊工具，不斷發起各類攻擊。

　　2021年機械工業出版社出版的《攻守道-企業數字業務安全風險與防范》一書和中國信通院2022年發布的《業務安全白皮書》中有詳細地分析：網絡黑灰產彼此分工明確、合作緊密、協同作案，每一環節都有不同的牟利和運作方式，形成一條完整的產業鏈。以大規模牟利為目的網絡黑灰產，熟悉業務流程以及防護邏輯，能夠熟練運用自動化、智能化的新興技術，不斷開發和優化各類攻擊工具，不斷發起各類欺詐攻擊。相關數據顯示，目前網絡黑灰產從業人員近200萬之眾，每年造成的損失達數千億元。

　　車企App安全解決思路

　　安全加固。針對App普遍存在的破解、篡改、盜版、調試、數據竊取等各類安全風險提供的有效的安全防護手段，其核心加固技術主要包含防逆向、防篡改、防調試及防竊取這四大方面，不僅保護了App自身安全，同時對App的運行環境及業務場景提供了保護。

　　安全檢測。通過自動化檢測和人工滲透測試法對App進行全面檢測，并挖掘出系統源碼中可能存在的安全風險、漏洞等問題，幫助開發者了解并提高其應用開發程序的安全性，有效預防可能存在的安全風險。

　　《車企App安全研究白皮書》還詳細介紹適用于車企App的安全產品，并著重介紹了多個車企App的應用實踐。