導讀

北京賽迪智能網聯汽車測評工程技術中心和國家智能終端軟件産品質量監督檢驗中心（均隸屬于中國軟件評測中心）共同開展充電樁智能終端應用軟件（APP）的測評，通過對充電樁APP進行安全檢測與渠道監測，可以發現這類APP安全防範措施的薄弱環節和在流通渠道的運營風險，以期引起開發方、流通渠道及消費者對安全方面的重視。

近日，北京賽迪智能網聯汽車測評工程技術中心和國家智能終端軟件産品質量監督檢驗中心（均隸屬于中國軟件評測中心）共同開展充電樁智能終端應用軟件（APP）的測評，通過官方渠道選取11款充電樁APP，從功能性、安全性、可靠性、易用性、兼容性、流通渠道等方面進行評測，并給出相關問題統計分析結果，用數據說明充電樁APP的現狀及問題，為行業相關部門提供參考。重要的是，通過對充電樁APP進行安全檢測與渠道監測，可以發現這類APP安全防範措施的薄弱環節和在流通渠道的運營風險，以期引起開發方、流通渠道及消費者對安全方面的重視。

測評總體結論如下：

1.功能性方面，充電樁APP安裝、卸載、用戶注冊、登錄、導航、啟動/停止充電等基本功能可實現；充電樁運行狀态更新時長不一，影響充電樁狀态信息的準确性；不同充電樁APP設計的啟動充電的操作方式、充電模式、支付方式、界面顯示内容、預約充電等功能各異，用戶體驗不同。

2.安全性方面，充電樁APP普遍未采用安全通信協議，導緻客戶端與服務器間的明文通信數據可以通過多種方式獲取，如APP用戶支付賬戶信息、個人身份信息等；充電樁APP均不具備防範重放攻擊的能力，存在用戶身份鑒别信息被盜用的風險；64%充電樁APP未對自身完整性進行校驗，易被篡改，可能插入吸費廣告或惡意鍊接等；55%的充電樁APP存在敏感信息洩漏風險，用戶輸入的敏感信息可被第三方獲取；45%的Android版應用未對代碼采用加密措施，可以通過反編譯工具獲取業務代碼，導緻APP業務功能或流程被惡意編排，危及用戶隐私信息及财産安全。

3.可靠性方面，不同充電樁APP斷掉網絡或藍牙連接後，充電控制界面顯示情況不同，部分APP在恢複連接後需要重新登錄進入充電控制界面；部分充電樁APP在使用過程中出現假死、閃退等現象，充電樁APP在假死狀态時不能控制停止充電，存在安全隐患。

4.易用性方面，部分充電樁APP無“充電槍歸位”提示，充電結束後，若充電槍未歸位，充電樁不可再次使用；部分APP未給出充電資費說明、使用說明等提示，用戶使用不便捷；部分APP無用戶反饋、投訴建議、客服電話、幫助以及收藏等輔助功能。

5.兼容性方面，11款充電樁APP中，每個充電樁APP均隻支持一個運營商的充電服務，不能兼容多個運營商的充電服務。

6.流通渠道方面，共監測404個應用發布流通渠道，有82個渠道發布了本次被測的11款充電樁APP（Android版應用），可見這11款充電樁APP的Android版應用在流通渠道中占比并不高，遠低于新聞傳媒、社交娛樂類應用；其中7個渠道通過監測發現存在被篡改的充電樁APP；監測到的11款充電樁APP的Android版應用有126個版本共計1300個應用，确定為正版的應用有1154個，确定為被篡改的應用有8個，疑似為被篡改的應用為138個，篡改及疑似篡改占比11%。監測到被篡改的應用均是未通過完整性校驗、反編譯防範、敏感數據殘留、通信協議、重放攻擊檢測項的應用，該類應用用戶下載量較高，卻缺乏相應的數據加密和應用加固的措施。（後續内容請持續關注）