- 博客(120)
- 资源 (2)
- 收藏
- 关注
RSS订阅转载 PHP2Shell漏洞应对：ONEKEY如何识别受影响固件并验证补丁修复
PHP项目最近披露了两个严重安全漏洞（PHP2Shell），在特定条件下，可能导致未经身份验证的远程代码执行。在本文中，我们将介绍如何识别和修复嵌入式固件中的PHP2Shell漏洞，并展示ONEKEY平台如何支持漏洞识别、补丁验证与修复管理。
2026-11-04 15:52:10
6
原创 ONEKEY帮您辨真假、决先后，让CRA的SBOM与漏洞管理真正落地
欧盟《网络弹性法案》（CRA）要求企业建立贯穿产品支持周期的软件成分分析、漏洞识别、持续监控与处置记录流程。SBOM 与 CVE 扫描仅是起点，企业需判定漏洞影响、划分修复优先级，追踪处置并留存合规证据。创提信息代理的 ONEKEY，融合固件分析、漏洞评估与统一管理，助力企业构建产品安全闭环，落地 CRA 合规。
2026-10-23 17:47:10
146
转载 代码覆盖率：为什么达到100%仍然不够？
本文探讨了代码层面的覆盖率要求，并说明了覆盖率可以且应该用于哪些方面。此外，本文还举了一个仅靠代码覆盖率就可能足够的案例。
2026-09-28 15:07:46
10
转载 Android安全漏洞 (CVE)：补丁级别和厂商如何影响漏洞暴露
固件SBOM需梳理组件版本并关联已知漏洞，传统通过CPE映射CVE，未入库漏洞可用PURL标识。该机制存在局限：准确性依赖 CNA 维护 CPE；CPE 无法描述漏洞利用条件。本篇博客将借助Android的CVE展开分析。
2026-09-16 13:52:39
24
转载 AI辅助代码修复：通过 MCP连接到 Perforce静态分析与AI工具
在本篇博客中，我们将讲解MCP服务器的运作原理，详细介绍MCP主机的主要类型，并探讨您现在可以连接的具体AI工具。
2026-09-04 17:23:52
16
原创 源码不出网，开源治理工具SCA应该如何部署？
开源软件已是现代软件开发重要组成部分，企业使用SCA工具识别开源组件，管理安全漏洞、许可证与知识产权风险。那么源代码不能出网，是否SCA必须完全隔离部署？源代码不出网和SCA完全断网是不同安全边界，企业应明确哪些数据不能离开安全域。
2026-08-27 11:34:46
316
转载 Linux内核CVE：向后移植（Backports）如何改变漏洞暴露情况
值得庆幸的是，ubuntu-cve-tracker、kernel-sec和cip-kernel-sec等项目维护着记录回溯移植情况的数据集，更精确地记录了补丁引入和修复的版本范围，这使我们能够优化从NVD CPE中提取的受影响版本信息。我们将探讨这两个限制，并说明ONEKEY是如何应对这些问题的，以确保我们的客户不会被大量的误报淹没。因此，针对该特定的OpenWRT构建目标，我们的方法在5个版本中平均将CVE数量减少了78.6%（在21.02.7版本中减少了81%，在25.12.5版本中减少了79%）。
2026-08-21 10:33:49
12
转载 AI in ALM：人工智能如何提升应用生命周期管理
ALM 涉及对整个软件开发过程的管理，从需求获取到发布乃至后续阶段。为了优化 ALM 流程并提升成果，各组织正纷纷采用AI和机器学习（Machine Learning, ML）。本文将探讨利用AI和ML改进ALM的优势、应用场景、挑战及最佳实践。
2026-08-12 17:51:58
21
转载 软件成分分析（SCA）：定义、核心功能与最佳实践
软件供应链风险如今几乎影响着您开发或管理的每一款联网或软件产品。许多设备依赖于开源库、第三方软件包以及可能存在隐藏漏洞的复用代码。软件成分分析可帮助您及早识别这些风险，并在整个产品生命周期中加以管控。
2026-08-04 16:49:37
17
转载 为何应立即实施 SBOM，以满足《网络弹性法案》（CRA）的合规要求
CRA 准备工作旨在立即构建可操作的 SBOM 情报，从而确保 2026 年的漏洞报告和 2027 年的合规性验证具有可预测性、可重复性和可审计、可证明。
2026-07-16 13:20:42
33
转载 为什么Rust嵌入式开发仍然需要强大的静态分析
在本篇博客中，我们将探讨Rust的独特优势，以及团队在应用过程中面临的挑战。您将了解如何应对编译器的限制和多语言环境，并获得相关工具推荐，以帮助您确保Rust代码的安全、可靠和稳定。
2026-06-25 13:42:13
27
转载 面向产品安全的威胁建模与Secure SDLC实践
软件开发生命周期（SDLC）威胁建模将安全转化为一种主动的设计决策。它有助于团队加快开发进度，避免后期返工和合规方面的意外情况。同时，它也能增强管理层、工程团队和合规部门之间的信心。
2026-06-23 17:20:23
35
原创 让Google Test满足功能安全要求：VectorCAST/QA构建可量化的测试覆盖率分析体系
Google Test解决了“如何执行测试”的问题，而VectorCAST/QA进一步解决了“如何证明测试充分”的问题。通过两者的结合，企业无需放弃已有自动化测试体系，即可获得覆盖率分析、测试度量和功能安全合规支持能力。
2026-06-18 14:32:29
345
转载 FOSSID如何快速且准确找到项目中引用的第三方代码
FossID的代码片段机制本质上是以指纹比对为核心的局部代码匹配引擎，可以在你的专有程序代码里找出被复制、改写或AI生成的开源片段，并关联其来源组件、许可证与CVE漏洞。
2026-06-15 15:14:30
45
原创 如何利用FOSSID 管控AI生成代码合规性？
本文件旨在探讨如何使用 FOSSID 建立完善的“AI 代码治理”机制。通过精确的代码片段扫描技术与三层治理架构，企业能有效识别并管控 AI 辅助开发可能引入的开源许可证争议与网络安全漏洞，最终确保产品符合 CRA 与 SSDLC 等严格的供应链合规与可追溯性要求。
2026-06-12 13:59:22
338
转载 CRA生效在即，ONEKEY携手创提将网络安全合规压力化为市场红利
由欧盟推出的《网络弹性法案》（Cyber Resilience Act；CRA）第一阶段生效迫在眉睫，对此，ONEKEY与创提建议包括中国大陆和台湾在内的大中华地区ICT厂商提早准备，通过本地化的专业支持与自动化工具完成验证，将合规压力转化为市场竞争力。
2026-05-28 10:25:57
43
转载 借助 Rust + Perforce 静态分析工具QAC和Klocwork降低关键风险
在保持代码质量的同时，充分利用 Rust 编程语言的内存安全优势。
2026-05-26 10:01:29
25
原创 eVTOL核心机载软件系统满足DO-178C适航合规的工程实践
本文结合航空软件工程实践，探讨 eVTOL核心机载软件系统满足DO-178C适航合规的工程方法，分析DO-178C在eVTOL适航审定中的关键技术要求，并介绍适航审定过程中重要的 SOI审查阶段。
2026-03-09 15:14:52
496
转载 开发人员需要了解的关于MISRA C:2025®的信息
MISRA 正在不断审查其针对 C 和 C++ 语言的规则和指南，Perforce QAC新增的合规性模块可实现对MISRA C:2025标准的100%覆盖，助您轻松满足并完整记录该标准的合规性要求。
2026-02-10 14:14:57
152
转载 AI辅助代码修复优化左移开发
Perforce静态分析AI辅助代码修复功能结合了深度静态分析洞察、全面的文档和精确的修复说明，使AI工具能够提出准确的修复建议。
2026-02-10 11:17:50
66
转载 在AWS上部署CANoe--打造企业级ECU云端流水线
本文介绍一种可直接落地的云端方案，核心基于Amazon Web Services（AWS），并以CANoe SE与vVIRTUALtarget SE为构建与测试引擎，实现企业级自动化ECU交付链路。助力跨地区、跨国家和跨公司协同开发、集成、测试、验证与交付。
2025-12-11 15:03:42
145
转载 AI生成代码系列：开源代码片段检测的有效方法
随着代码片段通过AI增强的IDE自动补全功能及外部AI提示进入专有代码库，企业必须识别可能涉及许可义证务、安全风险或来源问题的开源软件（OSS）片段。此时，具备开源代码片段检测能力的软件成分分析（SCA）工具便成为关键防护屏障。本文将剖析片段检测的技术核心，重点介绍FossID在精准度与规模化方面的解决方案，并为希望在这一复杂领域中寻求突破的企业提供指导。
2025-10-20 10:06:34
236
原创 将Perforce QAC与CI/CD流水线集成实现代码“质量门控”管理
Perforce QAC软件作为业内领先的代码合规和缺陷静态分析软件，为了提供更完整企业化代码质量管理平台方案，自v2025.1版本起特别增强了其与CI/CD流水线集成的功能，本文旨通过实例分享如何将QAC与CI/CD流水线集成实现代码质量门控管理。
2025-08-26 10:41:41
970
转载 CVE是什么？常见漏洞披露概述
CVE (Common Vulnerabilities and Exposures)，通用漏洞披露，收集已知的网络安全漏洞披露，帮助您更好地保护嵌入式软件。该框架对于有效管理安全威胁至关重要。
2025-08-22 17:20:11
437
原创 如何选择一个好的软件成分分析工具？
SCA 的核心在于安全性、速度和可靠性。它是现代开发工具包中必不可少的工具，能够确保您在快速发布新版本时，不会出现许可证侵权或安全风险。它不仅仅是锦上添花，更是任何希望以光速构建安全、高质量软件的DevOps 或DevSecOps团队的必备工具。
2025-08-18 14:29:51
413
原创 Perforce公司发布《2025汽车软件开发报告》
今年，大多数调查对象表示，他们至少在某种程度上受到了电动汽车设计的影响，但他们是广泛从事电动汽车设计，还是从事某些电动汽车部件的设计，则因地区而异。今年，全球的经济现状继续对汽车软件的从业人员产生了非常大的市场影响。虽然保持行业竞争力是那些有经济顾虑的企业的主要战略，但我们在今年的报告中看到的一个趋势是强调对员工的投入，并对他们进行安全、合规性和 DevOps最佳实践方面的培训。虽然质量是今年受访者最关心的问题，但在人工智能生成工具编写代码时，保持代码的高质量是人工智能在汽车软件开发中最不关心的问题。
2025-06-16 11:36:21
367
原创 重新审视中国的GB标准(44495 – 44497)
随着自动驾驶在中国被越来越广泛地接受，GB 44497-2024引入了数据记录和存储标准，以确保事故调查和自动驾驶系统性能的透明度。每个测试用例模板都直接对应到相关的GB 44495条款，并包含对相应法律文本的参考，以确保准确且有效率的适应过程。我们探讨了该标准对汽车制造商的影响、与UNECE R155和ISO/SAE 21434等全球标准的一致性，以及该标准对未来汽车网络安全的意义。每个测试用例模板都附有卷标、详细说明和相关GB段落的参考资料，让您可以轻松调整我们的模板，以符合OEM的特定需求。
2025-04-07 15:00:35
1769
原创 硬件逆向工程101: 电路板基础知识
想象一下，您手中拿着一个神秘的黑盒子，它的内部工作原理被层层硅片、焊料和软件锁住，神秘莫测。让我们深入了解硬件逆向工程101，透过汽车电子控制单元(ECU)的视角，揭开硬件逆向工程第一步和基本概念的面纱吧。这些变压器不是汽车以太网，而是标准的IEEE 802.3以太网，通常安装在与OBD连接器相连的网关ECU上。有了适合的工具、好奇心和知识，即使是最令人生畏的印刷电路板(PCB)也能成为一本打开的书。如果您遭遇挑战，我们的专业培训和研讨会可为您提供所需的专业知识和支持，让您自信地驾驭逆向工程。
2025-03-21 13:47:19
2198
原创 HydraLink—面向工程师、研究人员和爱好者的易用型汽车以太网接口
HydraLink是一款结构紧凑、高性价比、高性能的USB转汽车以太网接口，旨在让每个人都能轻松访问汽车网络。随着汽车行业从传统的CAN系统向BroadR-Reach等先进的汽车以太网网络过渡，HydraLink无缝地促进了这一转变。HydraLink通过单根双绞线支持100BASE-T1和1000BASE-T1标准，为诊断、测试和高效原型开发提供了可靠的解决方案，而无需笨重的转换器或外部电源。
2025-03-10 14:38:31
1054
原创 车载网络：现代汽车的数字心跳
在汽车领域，“智能汽车”一词毫不夸张。如今的汽车已不再是原始的机械工程，而是通过先进的车载网络无缝连接的精密数字生态系统。这些滚动计算机由复杂的电子控制单元(ECU)网络提供动力，ECU是负责管理从发动机性能到信息娱乐系统等一切事务的微型计算机。这些ECU（高端车型多达250个）通过数英里长的线路和一系列通信协议相互连接，形成了现代汽车的“神经系统”。但是，这些错综复杂的系统是如何运作的，它们在塑造汽车性能和安全方面发挥了什么作用？让我们来详细了解一下。
2025-01-09 13:34:36
1091
原创 最具影响力的汽车黑客攻击事件
随着汽车发展成为软件驱动的机器，其连接性和复杂性带来了巨大的网络安全挑战。信息娱乐系统、空中下载(OTA)更新和高级诊断等功能使现代汽车更加便捷，但也更容易受到网络攻击。十多年来，网络安全研究人员发现并揭露了汽车中的关键漏洞。他们的研究结果导致了汽车的召回、新安全标准的制定和设计实践的改进，促使汽车制造商优先考虑安全问题。本文探讨了一些最著名的汽车黑客攻击事件，展示了这些突破如何重塑汽车行业并加强联网汽车的安全性。
2024-12-09 11:02:50
1206
转载 网络安全全速前进：McLaren迈凯伦汽车如何应用Cybellum驱动卓越的产品安全？
迈凯伦的汽车网络安全团队遵循他的愿景，设定了一个目标，即根据监管要求，为他们的汽车和 CSMS（网络安全管理系统）实现最高的网络安全标准。随着联网汽车的复杂性和严格的法规，迈凯伦寻求一种解决方案，以确保其汽车软件和电子控制单元 (ECU) 的全面安全性和合规性。迈凯伦团队需要一种能够提供详细漏洞信息并支持其内部软件开发流程的解决方案，需要全面的资产管理和漏洞管理功能，以及与迈凯伦现有工具链和工作流程的紧密集成。目标是开发适合迈凯伦需求的额外集成和功能，并确保迈凯伦团队充分利用该平台的功能。
2024-10-09 15:00:01
271
原创 浅谈TARA在汽车网络安全中的关键角色
ISO/SAE 21434标准和UN R155法规提供了系统化的网络安全管理框架。其中，TARA（威胁分析与风险评估）作为核心方法论，帮助组织识别和缓解潜在威胁，确保车辆的安全和可靠性。本文浅析了TARA以及其与ISO 21434和R155法规的关系。
2024-06-14 16:49:57
1431
转载 安全更新：关于Cybellum维护服务器问题的情况说明(CVE-2023-42419)
我们想通知我们的客户一个我们注意到的安全问题，作为我们对产品透明度和持续安全性的承诺。2023年6月21日，一位名叫Delikely的安全研究员向Cybellum的安全团队报告了一个问题，特别针对Cybellum软件的某个发行版。这个问题是在Cybellum的QCOW air-gapped分布的维护服务器中发现的，专门在中国部署，影响版本为2.15.5到2.27。它不会影响其它旧版本或新版本，包括Cybellum 1.x。
2024-03-27 15:09:14
245
转载 福特汽车公司Darren Shelcusky对UNECE R155/R156法规合规之见解访谈
在接受《Automotive IQ》采访时，福特汽车公司汽车和移动网络安全高级顾问Darren Shelcusky深入探讨了符合UNECE R155/R156法规的关键因素，揭示了汽车行业满足这些严格法规的过程。从区分网络安全标准和法规到详细说明其对主机厂和更广泛的汽车网络安全领域的影响，Darren提供了综合指南。阅读这篇访谈，您将了解随着汽车网络安全的快速发展，符合UNECE R155/R156法规的主要挑战、必要的流程、指标以及更广泛的影响。
2024-02-05 14:45:39
1039
原创 揭示AUTOSAR中隐藏的漏洞
虽然AUTOSAR为汽车软件开发提供了一个稳健而标准的框架，但由于使用不当，特别是在NvM API的变量管理中，仍然可能出现潜在的漏洞。随着汽车技术越来越复杂，有必要通过持续的质量保证和定期的渗透测试来加强软件安全性。这些实践，加上对正在使用的框架的深刻理解，可以帮助开发人员降低潜在的安全风险，并提高汽车系统的整体安全性。
2024-01-03 14:20:29
1208
转载 CANoe与DDS
在汽车领域，Adaptive AUTOSAR于2018年引用DDS作为可选择的通信方式之一。DDS的实时性恰好适合于自动驾驶系统。因为在这类系统中，通常会存在感知、预测、决策和定位等模块，这些模块都需要非常频繁地高速交换数据。借助DDS，可以很好地满足这类系统的通信需求。凭借以数据为中心及丰富的QoS机制，DDS在汽车行业中逐渐受到青睐，汽车制造商及供应商将DDS作为系统中可选的通讯中间件之一，从而增强其产品的功能特性及可靠性。
2023-08-28 15:57:59
1009
转载 CANoe与虚拟机
Vector提供的CANoe软件是进行网络/总线和ECU开发、测试和分析的全面工具，支持总线网络开发从需求分析到系统实现的全过程，包括模型创建、仿真、测试、诊断及通信分析等。但和大多数网络开发工具一样只适用于Windows操作系统，因此开发人员需要考虑如何实现Linux环境和CANoe工具之间的数据交互。本文主要介绍CANoe与虚拟机通过以太网交互的几种常用方法。
2023-07-31 15:17:08
963
转载 WSL 2中安装VectorCAST
如需在Windows平台上搭建Linux开发和测试环境，常用的方法是使用VMware公司的虚拟化产品如VMware Workstation，或VMware vSphere创建Linux虚拟机。为了精简传统虚拟机或双启动设置的开销，微软在Windows 10平台中引入WSL 1兼容层，后续又推出基于虚拟化技术的WSL 2，支持用户在Windows宿主机上直接安装和使用Linux系统（包括大多数Linux发行版中内置的命令行工具、实用工具和应用程序），并全面提升与宿主系统的兼容性和互操作性。
2023-06-13 14:23:55
885
软件静态测试工具 — QAC/QAC++
2015-06-02
嵌入式软件测试工具——DT10
2015-09-24
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人