怎样找到定制移动应用程序中的缺陷

Lucas+Mearian+++杨勇

软件组成清单可以帮助发现已知的漏洞，让企业应用程序更安全。

随着企业开发的定制应用程序越来越多——其中很多移动应用程序是移动优先策略的一部分，内部开发人员越来越有可能在无意中使用充斥着漏洞的开源代码。

开发定制应用程序使企业能够让客户——无论是内部用户还是消费者，有更好的移动体验，从而让自己在竞争中脱颖而出。

与传统的软件开发不同，移动应用程序的开发更加复杂，特别是当公司开发服务器侧网络API或者客户侧本地富客户端时。当把软件集成到其他应用程序和系统中时也是如此。

网络应用程序不仅能够传播底层弱点和漏洞，而且还给设备上敏感数据的安全存储带来了新问题。

Gartner公司研究总监Michael Isbitski说：“与传统的应用程序设计相比，移动应用程序的设计、开发和安全方面的专业知识往往更为有限，并且在移动平台更加分散。”

现在的应用程序很少是从头开始编程的，特别是当软件由公司之外的开发和运营部门开发的情况。开发人员通常去在线知识库来获取开源组件——作为构建模块的代码块，组装成定制移动应用程序。

免费的开源组件中存在大量漏洞

问题在于没有对开源代码进行审查，其使用会使企业和客户出现漏洞。Heartbleed就是这种情况，它是2014年在OpenSSL库中发现的漏洞。

Heartbleed对应用程序和操作系统（桌面和移动）、网络设备和嵌入式系统都有广泛的影响。

Isbitski说：“在某些情况下，它会一直存在，这可能是由于更新相关组件的技术限制，或者管理员疏忽所造成的。……