共计 2168 个字符，预计需要花费 6 分钟才能阅读完成。
近日，顶象公布《车企 App 平安钻研白皮书》。该白皮书总结了以后车企 App 次要面临的技术威逼和合规危险，详细分析了危险产生的起因，并提出相应平安解决方案。
车企 App 成汽车品牌首选
自有 App 成为各品牌汽车的标配，也成为车企必争的新战场。车企 App 不仅可能实现近程开启空调、门锁、启动车辆等性能，还提供购车、购买配件、培修、颐养等根底服务，更承载着优化车主用车体验、构建品牌私域流量池的新工作，成为车企与用户关系经营的重要渠道。
车企 App 最外围的性能能够概括为服务、社区、商城三个局部。服务是用户应用 App 的 根底需要；商城通过积分兑换晋升用户粘性，通过商品售卖进行获利；社区则承当了加强用户粘性，进步用户沉闷的重要性能。随着“以用户为核心”的市场策略和经营策略也在放慢落地，车机互联、车友社区、购物娱乐等性能不断完善，车企 App 用户规模实现快速增长。
除了以上服务，对车辆软硬件的操控，如解锁车门、升降车窗、近程启动、查看车辆行驶轨迹或以后地位等最“原始”的性能。
车企 App 面临两类危险
随着车企 App 成为汽车交互的次要入口之一，隐衷、平安问题更是频频爆出。一辆智能网联汽车每天会产生大概 10TB 的数据，驾乘人员的出行轨迹、驾乘习惯、车内语音图像等个人信息都面临着被泄露的危险。攻击者能够通过网络破绽攻打劫持或管制车辆行驶，施行敞开引擎、忽然制动、开关车门等操控。数据显示，2020 年寰球针对智能网联汽车的攻打达到 280 余万次。
总体来说，车企 App 面临技术与合规两重危险。
技术威逼次要是蕴含 ROOT、模拟器攻打、验证码爆破危险、零碎 API Hook、代理环境、反编译、二次打包、通信、明码爆破、so 文件、签名校验、动静调试、过程注入、数据明文贮存、Logcat 日志、任意文件上传、SQL 注入、XSS 破绽等危险。
合规危险次要是监管部门对 APP 的审查。据 2019 年到 2023 年《对于侵害用户权利行为的 App》通报显示，共有 2142 款 App/SDK 受到处罚。这些 App 次要存在违规收集、应用用户个人信息、不合理索取用户权限、为用户账号登记设置障碍等问题，重大进犯了用户的隐衷和合法权益，监管部门依照《网络安全法》、《个人信息保护法》等法律法规，对守法违规的 App 通报批评，甚至被下架处罚。
车企 App 遭逢威逼攻打的三个起因
出名汽车网络安全公司 UpstreamSecurity 公布的 2020 年《汽车网络安全报告》显示，自 2016 年至 2020 年 1 月份，汽车网络安全事件增长了 605%，仅 2019 年一年就增长 1 倍以上。依照目前的发展趋势，随着汽车联网率的一直晋升，预计将来此类平安问题将更加突出。
第一、从关闭到联网的变动。
随着汽车产业向智能化、网联化、共享化、电动化为特色的“新四化”方向狂飙迈进，汽车不再只是孤立的交通工具，而是成为融入互联互通体系的信息终端，车与车、终端利用、路边基础设施以及云端之间的联通也随之大大加强，由此导致更多的信息安全接入点和危险点被裸露进去。业务、数据、用户信息、经营过程等均处于边界含糊且日益凋谢的环境中，存在各类危险。
第二、层出不穷的新破绽。
一辆智能汽车的车载智能设施数量不小于 100 台，所有程序代码不小于 5000 万行，因而整个智能驾驶代码将达 2 亿多行。代码数量越是宏大，软件越是简单，那么其中蕴含的破绽就越多，由此被攻打的概率也就越高。依照目前汽车均匀领有一亿行代码来计算，每辆智能汽车就可能存在 10 万个缺点或破绽。而这些缺点以及破绽会造成什么样的危险，没有人能够预测。破绽是威逼的暴发源头，无论是病毒攻打还是黑客入侵大多是基于破绽，业务、软件、零碎、设施都要破绽，只是有的被发现有的没被发现。软件破绽、接口破绽、治理破绽等等。
第三、攻击者更加业余。
攻击者出现专业化、产业化、组织化的状态，他们相熟业务流程以及防护逻辑，可能纯熟使用自动化、智能化的新兴技术，一直开发和优化各类攻打工具，一直发动各类攻打。
2021 年机械工业出版社出版的《攻守道 - 企业数字业务平安危险与防备》一书和中国信通院 2022 年公布的《业务平安白皮书》中有具体地剖析：
网络黑灰产彼此分工明确、单干严密、协同作案，每一环节都有不同的牟利和运作形式，造成一条残缺的产业链。以大规模牟利为目标网络黑灰产，相熟业务流程以及防护逻辑，可能纯熟使用自动化、智能化的新兴技术，一直开发和优化各类攻打工具，一直发动各类欺诈攻打。
相干数据显示，目前网络黑灰产从业人员近 200 万之众，每年造成的损失达数千亿元。
车企 App 平安解决思路
平安加固。 针对 App 普遍存在的破解、篡改、盗版、调试、数据窃取等各类平安危险提供的无效的平安防护伎俩，其外围加固技术次要蕴含防逆向、防篡改、防调试及防窃取这四大方面，不仅爱护了 App 本身平安，同时对 App 的运行环境及业务场景提供了爱护。
平安检测。 通过自动化检测和人工浸透测试法对 App 进行全面检测，并挖掘出零碎源码中可能存在的平安危险、破绽等问题，帮忙开发者理解并进步其利用开发程序的安全性，无效预防可能存在的平安危险。
《车企 App 平安钻研白皮书》还具体介绍实用于车企 App 的平安产品，并着重介绍了多个车企 App 的平安实际案例，具体能够返回“顶象”官网收费下载。
业务平安大讲堂收费直播：立刻报名
业务平安产品：收费试用
业务平安交换群：退出畅聊