黑莓QNX放大招，如何高效测试系统的可靠性以及检查漏洞

卡耐基梅隆大学的软件工程机构，做了一项研究，完成一个功能点的成熟代码，平均有0.75个漏洞，或者也可以用每百万行代码（Million Lines Of Code MLOC）约有6000个漏洞。如果优化的较好，会有约600-1000个漏洞/MLOC。约有1%-5%的漏洞，会被认为容易受到攻击。

黑莓QNX工程服务VP Victor Marques在12月4日举办的黑莓QNX年度开发者大会上表示：现在高级的汽车会有1亿行代码，假设这些代码都达到了较好的水平，那么就会有100K的漏洞，相应的会有1000-5000个容易受到攻击，这是一个非常大的数字。

根据CVE的报告，2017年最易受攻击的系统中，Android名列第一，有1344个易受攻击的漏洞，Linux、iPhone OS、WIN10次之，数量在数百个。而QNX的漏洞数量，则维持在个位数，多年来没有发生太大变化。

随着汽车技术的发展，电子化元器件增加，代码量还会成倍数增加。无论对于OEM，还是系统供应商，维护、开发系统的成本，与日俱增。面对的漏洞也层出不穷，几乎可以肯定的说，代码漏洞是无法避免的。

那么，如何高效测试系统的可靠性，以及检查漏洞，就成了非常棘手的事儿。

代码守护神Jarvis

黑莓QNX大中华区首席代表董渊文透露，为了应对代码漏洞，黑莓早在15年前，就在公司内部研发了一款检测代码漏洞的神器——BlackBerry Jarvis。它第一次正式对外发布是在年初的美国车展上。

BlackBerry执行主席兼首席执行官程守宗表示，BlackBerry首先将把这套解决方案应用于汽车制造业，因为该行业错综复杂的软件供应链催生了各种引人注目、急需处理的用例，而Jarvis则能帮助汽车制造商解决这些用例。

BlackBerry还指出，Jarvis也适用于其他行业，例如：医疗卫生、工业自动化、航空航天和国防等领域，这些行业也都迫切需要这样一款产品。

Jarvis是一个功能强大的二进制静态分析软件即服务（SaaS）的工具，可以帮助汽车制造商保证他们的软件供应链。BlackBerry Jarvis以简单，快速，可扩展且经济高效的方式检查二进制文件，并深入洞察软件组件的质量和安全性。

无差别检验

代码漏洞的检验挑战在于，要知道哪些地方可能会成为攻击者的目标，源代码和编译后的产品并不是一一对应的关系，在已经发布的产品中经常出现敏感性的数据和文件。还有软件支持链比较复杂，常常需要来自内部和外部的支持，因为源代码多来自供应商。

基于二进制的检验让Jarvis没有限制，可以扫描二进制的代码文件，无论是否有调试符号，可以扫描本地的二进制文件和字节码，可以发现配置文件中存在的秘钥和敏感文件，系统可对攻击者进行评估，有能力检查和遍历每一个可被攻入的突破口，包括用户名、WiFi认证、命令行历史、登陆文件等。Jarvis可攻击现存的一些工具链，如telnet、ftp、etc，它还可以从任何数字资产中提取信息，包括多媒体文件。

路虎CEO Dr.Ralf Speth表示，使用了Jarvis之后，将安全性验证的时间从30天减少到了7分钟。

Jarvis被黑莓视为保护信息时代下安全的钢铁侠，它可以无差别扫描代码漏洞、隐患，模拟黑客攻击，最后提交系统的检测报告。报告是用户友好的可视化界面，人们可以直观的看到系统在功能、API、文件、编译等部分的检测结果，针对性的优化。

赋能汽车产业链

Jarvis是可自定义的工具，可提供精确的可操作见解，检查二进制文件是否存在已知的安全漏洞，并促进符合标准，允许通过添加和自定义“执行器”来持续增强功能，无论供应商或开发过程中的哪个阶段，都可帮助公司在整个软件供应链中实现OEM定义的保证标准。

Jarvis的检测过程无需源代码，通过API轻松与现有开发工具集成。董渊文表示，这样的检测方式，提高了OEM、供应商的使用意愿。因为在汽车智能化大背景下，软件研发、代码维护都将会由专业的公司来做，很难由一家公司完成。但汽车的生命周期非常长，在使用过程中一旦发生问题，会引发严重问题。

但在汽车的生产过程中，OEM是无法检测代码的安全性，各个供应商也互设围栏，不会将各自底层代码共享，这从本质上造成了代码检测的困难。Jarvis的出现，可有效解决这个问题。OEM有了检测的工具和标准，也不用供应商提供源代码。

Jarvis位于黑莓网络安全7个关键节点中的安全支持链，在软件最初为产品保驾护航。Jarvis目前已经被公司单独划分，独立运营，未来会对行业持续提供支持。