Approov—数字汽车钥匙API的守护者

如今，智能手机上的应用程序已成为所有数字商务之母，企业正狂热地推出基于应用程序的产品和服务——例如，数字汽车钥匙应用程序和汽车共享服务——这些产品和服务向消费者承诺以最小的麻烦获得最佳的便利。美中不足的就是安全问题。

目前解决基于应用程序的数字车钥匙漏洞的一个方法是投入更多的硬件来解决这个问题。NXP半导体等技术供应商正在提供汽车原始设备制造商认可的安全元件和NFC芯片组，并计划通过增加蓝牙低能耗（BLE）和超宽带（UWB），在数字汽车密钥中增加一层额外的安全保护。NXP是汽车连接联盟（CCC）的成员，这是一个跨行业组织。CCC正带头推动汽车行业将“智能手机到汽车连接”的解决方案标准化。

CriticalBlue的首席执行官David Stewart最近在表示，在将所有利益相关者（包括汽车原始设备制造商、智能手机公司和技术供应商）聚集在一起，同意添加一套特定的硬件安全芯片之前，需要先考虑一下。例如，要用一款可以打开汽车的应用程序来设计一项服务，“了解你的应用程序的功能”是至关重要的。“更重要的是，你应该知道你的应用程序在与什么通信。”

Stewart解释：保护数字汽车钥匙应用程序的首要任务是保护API，因为每个移动应用程序都是由移动应用程序中发布的API所驱动。

Stewart：“硬件安全对于确保密钥的安全非常重要，但现实情况是，移动应用程序是用来获取和处理（密钥）的。他指出，薄弱环节正是“数字密钥被传递到移动应用程序”这一过程。

CriticalBlue提供一个名为Approov的产品，该产品由其自己的后端基础结构支持，用于验证用户、验证通道和验证应用程序。

API这个词，全称叫Application Programming Interfaces（应用程序编程接口）。简单地说，就是一套套的要求，用来管理应用程序之间的沟通。API并不是什么新事物，在你使用PC或笔记本时，正是API让数据在程序之间传输。例如，把一个LibreOffice文档中的片断切割出来并传输到Excel表格上。系统级的API让LibreOffice这类程序能够运行在Windows这样的操作系统上。

在互联网中，API让其它应用可以使用一些大的服务，如Google Maps和Facebook。例如Yelp，它可以在Google Map上显示附近的餐馆；还有一些游戏可让用户通过Facebook与其它玩家聊天、分享得分等。

API是通过把程序内部的一些功能有限地向外开放来做到的，这使得应用之间可基于各自的利益分享数据，同时不需要开发者公布所有的软件代码。对开源项目来说也是如此。你可以把它看成是一扇门、窗或杠杆，不管用什么比喻，一个程序和外面的软件世界的沟通就是由API定义的。

API如何运作？

目前API变得十分重要，因为它们决定了开发者如何把自己新开发的应用接入大型的网络服务。例如一款游戏应用的开发者，他可以使用Dropbox的API让用户把游戏数据存储在Dropbox的云里，而不用费力去开发自己的云存储服务。

API还能节省时间，例如国外使用Facebook账号，国内使用QQ账号，都可以直接登录很多的应用和网站，免去了注册环节，这也是通过API实现的。

从一个更广泛的角度来看，API使各种“混搭”的网络服务成为了可能，开发者通过混搭来自Google、Facebook或Twitter的API来创造全新的应用和服务。在许多方面，可以说是主流服务API的广泛应用才使现代网络体验成为可能。

以Yelp的Android应用为例，当你搜索附近的餐馆时，位置信息会出现在Google地图上，Yelp没有开发自己的地图。通过Google地图的API，Yelp应用把自家的信息——餐饮地址、用户评价等——发送到内部的Google地图功能，最后得到一幅带有周围餐馆位置的地图展示给用户，这些都显示在Yelp应用内部。