车联网APP没有你想象中那么安全

文／中国软件评测中心

近日，中国软件评测中心发布了首批37款车联网移动APP信息安全测评结果。根据结果，在37款车联网APP中，安全性较高的有18款，占比48%，不足一半；存在较大安全风险的有8款，占比22%，接近1/4。

为贯彻落实《中华人民共和国网络安全法》，推动网络安全合规与数据保护在汽车行业的应用，中国软件评测中心在全国范围内启动了首批车联网移动APP 信息安全测评工作，评测结果也已于近日发布。

本次安全测评细分82 项测评项目，测评样本包括37 款主流在售车型使用的APP，覆盖行业内16 家主流车企，包括一汽、北汽、奇点、威马、东风、上汽、吉利、蔚来、Tesla、广汽、比亚迪、长安、长城、小鹏、零跑、现代，车型主要涉及一汽红旗、一汽奔腾、东风风神、东风风光、东风启辰、大众凌渡、上汽荣威、奥迪、凯迪拉克、别克、雪佛兰、奇点iS6、哈弗、吉利博越、吉利博瑞、吉利帝豪、特斯拉等。

根据测评结果，在37 款车联网APP 中，安全性较高的有18 款，占比48%，不足一半；存在较大安全风险的有8 款，占比22%，接近1/4。

本次测评的37 款APP 按照用途大致可分为车控类、查询类和服务类。其中，车控类APP 共22 款，查询类APP 共7 款，服务类APP共 8 款。

车控类APP 需要与车辆绑定，为用户提供控车功能。控车功能主要包括远程开关锁、车辆启动、空调启动、座椅调节、车窗开关、车灯开闭、后备箱开关、除霜、鸣笛、泊车，同时还支持用户获取行车数据、车辆油量（电量）等信息。

查询类APP 同样需要与车辆绑定，为用户提供车辆信息查询功能。支持用户实时查询掌握车辆有关信息，分析车辆数据、停车查找、车况诊断等。能够实现远程监控车辆开启状态、车门车窗状态等，但无法进行控车操作。

服务类APP 无需绑定车辆，主要为互动服务平台。能够为用户提供包括购车攻略、预约试驾、车主生活、用车指南、周边商品等服务。

三类车联网APP服务类风险较高

根据分析结果，22 款车控类APP 测评样本平均得分75 分，最高分89 分，最低分50 分。其中，安全性高的APP 共12 个，占比超过50%；安全性中等的APP 共7 个，占比32%；存在较大安全风险的APP 共3 个，占比为14%。

7 款查询类APP 测评样本平均得分73 分，最高分89 分，最低分58 分。其中，安全性较高的APP共3 个，占比不足一半；安全性中等的APP 共3 个，占比43%；存在较大安全风险的APP 一个。

8 款服务类APP 测评样本平均得分62 分，最高分82 分，最低分42 分。其中，安全性较高的APP 共3 个，占比38%；安全性中等的APP 一个；存在较大安全风险的APP 较多，占比高达一半。

在82 项测评项目中，检出率排名前五的安全风险包括：剪切板敏感信息泄露漏洞、So 文件破解风险、代码残留URL 信息检测、Activity 组件导出风险、BroadcastReceiver 组件导出风险。

在82 项测评项目中，检出率排名前五的高危安全风险包括：动态注入攻击风险、动态调试攻击风险、InnerHTML 的XSS 攻击漏洞、加固壳识别、Java 代码反编译风险。

开发、准入、产业生态合力筑牢APP 安全城墙

一方面，从车联网移动APP用途来看，车控类、查询类APP平均在70 分以上，安全性总体中等偏上；服务类APP 平均分较低，仅有62 分。说明涉及到与车辆进行绑定时，厂商会更为重视APP的安全防护。另一方面，从车联网移动APP 安全风险类型来看，高频风险检出率均超过60%，高危高频风险的检出率也在40%左右，需要针对具体风险进行自查或采用第三方加固方案。

综上所述，中国软件评测中心建议：

第一，做好车联网移动APP信息安全防护。测评结果显示，所有被测APP 样本均存在一定程度的潜在安全风险。APP 开发过程中若未重视防护，便很容易导致留存安全漏洞。因此车联网移动APP 需要加强安全防护与保障，对整个应用的开发全生命周期进行安全管理。

第二，加强车联网移动APP安全性测评。目前网联汽车大量部署移动APP，尤其是具有控车功能的APP，涉及到与车辆进行绑定，存在直接攻击车辆和控制车辆的安全风险。因此需要加强企业内部APP 准入安全评估、第三方的APP 安全测评，为APP 的安全保驾护航。

第三，完善车联网移动APP产业安全生态。坚持市场主导、政府引导的发展模式，围绕车联网移动APP 的开发、加固、部署、使用等环节，开发厂商、加固企业、主机厂及用户需加强安全意识，提高防范和抵御安全风险的能力，完善整个产业安全生态。