2.05Lietotņu drošība

Mobilo lietotņu drošības testēšana

iOS un Android lietotņu testēšana atbilstoši OWASP MASVS/MASTG, izmantojot statisko, dinamisko un izpildlaika analīzi kopā ar saistītās servera puses API pārbaudi.

Pieteikt konsultāciju+371 2256 5353

Mobilā lietotne ir divas uzbrukuma virsmas vienā: bināris, kas darbojas ierīcē, kuru jūs nekontrolējat, un servera puses API aiz tās. Uzbrucēji dekompilē lietotni, nolasa iekodētus noslēpumus, apiet sertifikātu piesaisti un instrumentē izpildlaiku, lai pārvarētu klienta puses kontroles – tad pavērš šo izpratni pret API. Mēs testējam abas puses kā vienu virsmu: binārā statisko analīzi, dinamisku testēšanu uz jailbroken un root ierīcēm, kā arī izpildlaika manipulāciju ar Frida un Objection, lai pārtvertu funkcijas, apietu jailbreak/root atklāšanu un pārrautu SSL piesaisti.

Pārbaudes tvērums ir saskaņots ar OWASP mobilo lietotņu drošības verifikācijas standartu (MASVS), izmantojot MASTG kā testēšanas atsauci, lai sagatavotu strukturētu un atkārtojamu ziņojumu. Mēs pārbaudām lokālo datu glabāšanu, keychain un keystore izmantošanu, kriptogrāfiju, kodā iekļautus noslēpumus un API atslēgas, transporta drošību, platformas funkciju izmantošanu un noturību pret manipulācijām. Ja tas ir iekļauts tvērumā, pārbaudām arī servera puses API autorizācijas un autentifikācijas nepilnības, piemēram, BOLA, BFLA un autentifikācijas apiešanu. Pakalpojumu var apvienot ar API drošības testēšanu, lai aptvertu visu klienta un servera mijiedarbību.

OWASP MASVS
verifikācijas standarts, MASTG testēts
Lietotne + API
testētas kā viena uzbrukuma virsma

Kā tas notiek

  1. 01

    Tvērums un draudu modelis

    Definējiet platformas, būvējuma veidus, datu sensitivitāti un MASVS verifikācijas līmeni; kartējiet lietotni un tās servera pusi.

  2. 02

    Statiskā analīze

    Dekompilējiet un pārskatiet bināro failu – noslēpumi, vāja kriptogrāfija, nedroša glabāšana un platformas nepareiza izmantošana.

  3. 03

    Dinamiska un izpildlaika testēšana

    Frida/Objection instrumentācija uz jailbroken/root ierīcēm – piesaistes apiešana, atklāšanas pārvarēšana, satiksmes pārtveršana.

  4. 04

    Servera puses API testēšana

    Pāreja uz serveri un BOLA/BFLA, autentifikācijas un biznesa loģikas ļaunprātīgas izmantošanas testēšana, ko lietotne atklāj.

  5. 05

    Ziņošana un atkārtota pārbaude

    MASVS sasaistīti, pēc izmantojamības sarindoti secinājumi ar novēršanu un labojumu atkārtotu pārbaudi (pēc izvēles).

Komplekti

Pamata
Vienas platformas tests (iOS vai Android) pret MASVS verifikācijas līmeni.
PaplašinātaisPopulārs
iOS un Android ar izpildlaika testēšanu un servera puses API pārklājumu.
Uzņēmumiem
Pastāvīga mobilās drošības programma starp laidieniem ar atbalstu izstrādātājiem.

Biežāk uzdotie jautājumi

Jā. Mobilā lietotne un tās servera puses API veido savstarpēji saistītu uzbrukuma virsmu. Izvērtējam lietotnes pakotni un izpildlaiku ierīcē, pēc tam testējam lietotnes izmantotos API pieprasījumus, autentifikāciju, autorizāciju un datu plūsmas. Tādējādi tiek nodrošināts pārklājums no klienta līdz serverim, neaprobežojoties tikai ar bināro failu.

Noderīgi rīki

Ko saka klienti jūsu nozarē

Atsauksmes no tās pašas nozares organizācijām.

IT pakalpojumi
“Nils Putniņš ir apliecinājis sevi kā augstas klases ekspertu informācijas sistēmu drošības un kiberdrošības jomā.”

Vladimirs Dagenvalds

Board Member · Codex

SaaS
“Instead of slowing us down, they seamlessly integrate with our fast-moving engineering team, providing proactive, high-level insights that let us fortify our systems in real time as we grow.”

Karlis Broders

CTO · Trace.Space

E-komercija
“Their structured methodology, clear communication, and actionable insights directly contributed to increased system reliability, scalability, and resilience.”

Oskars Podziņš

Head of Information Security · Printful

Visi pakalpojumi

Noteikt testa tvērumu

support@offseq.com+371 2256 5353

Tieša saziņa ar pieredzējušu speciālistu · atbilde 24 stundu laikā · NDA pēc pieprasījuma

Noteikt testa tvērumuSazināties