APP应用安全测试

本篇文章摘自《软件测试技术趋势白皮书》章节

---

随着移动互联网和通信技术的不断发展，移动应用在各行各业得到了井喷式的高速增长。移动应用也成为人们日常生活不可或缺的组成部分。移动应用快速发展的同时，其涉及系统和信息的安全问题越来越突出。根据Check Point发布的《2021年移动安全报告》显示，在过去一年新冠疫情期间，远程办公方式大规模兴起，移动攻击面也急剧扩大，97%的组织面临着来自多个攻击向量的移动威胁。根据国家互联网应急中心（CNCERT）发布《2020年中国互联网网络安全报告》显示，2020年，CNCERT/CC捕获及通过厂商交换获得的移动互联网恶意程序样本数量为3,028,414个。2016-2020年，移动互联网恶意程序样本总量持续高速增长，如下图所示。

图3-5-8 2016-2020年移动互联网恶意程序样本数量对比（来源CNCERT/CC）

企业作为APP的开发运营者，是安全事件发生的责任主体，客观存在的安全漏洞会对企业造成潜在的经济、名誉损失。企业对APP安全的重视程度需要提高，并且需要同时兼顾APP的合规性以及安全性。从国家密切出台个人信息保护相关的政策来看，防范隐私数据泄露和内容风险也是当下监管的重点。

针对移动APP的安全测试，是为了能够检测出潜在的安全漏洞和安全风险，以此来保障APP用户和企业的信息安全。在检测内容上，从数据、程序、代码三个层面出发将APP安全测试主要分为数据安全、组件安全、代码安全三部分。

数据安全

中国信息通信研究院发布的《移动应用数据安全与个人隐私保护白皮书（2019年）》显示，67%的App 存在5个及以上个人信息安全问题，18.5%的App 存在10个及以上个人信息安全问题。超过四成App的问题集中在未公开收集使用规则、未明示收集使用目的、超范围收集个人信息等5类问题上。

APP数据安全的检测，重点在对个人隐私保护上