Mobiilirakendus töötab seadmes, mis ei ole selle arendaja kontrolli all. Kõike, mis on paketis kaasas, saab lugeda, igast seadmes tehtavast kontrollist saab mööda minna ja iga koodi põimitud saladus on avalik alates päevast, mil rakendus avaldatakse.
Analüüsime rakendust staatiliselt ja instrumenteeritud seadmetes, püüame kinni selle liikluse ja testime taustasüsteemi, millega see suhtleb. Küsimus on alati sama: mida saab teha keegi, kellele seade kuulub või kes on sellega samas võrgus.
01Ulatus
Mida me testime
Kohalik salvestus: andmebaasid, eelistused, Keychain ja Keystore, logid, varukoopiad
Krüptograafia: algoritmid, võtmehaldus, koodi põimitud saladused
Koodi kvaliteet ja koostamise seaded: silumislipud, eksporditud komponendid, õigused
Vastupidavus: rootimise ja jailbreaki tuvastamine, kaitse muutmise vastu, hägustamine
Rakenduse kasutatav taustasüsteemi API
02Lähenemisviis
Kuidas töö käib
01
Staatiline analüüs
Pakett pakitakse lahti ja dekompileeritakse. Loeme seadistust, otsime saladusi ja uurime, kuidas rakendus andmeid salvestab ja kaitseb.
02
Dünaamiline analüüs
Rakendus töötab instrumenteeritud seadmetes. Sekkume selle funktsioonide töösse, läheme mööda selle kontrollidest ja jälgime, mida see kirjutab ja saadab.
03
Liikluse analüüs
Liiklus püütakse kinni, kui sertifikaadi sidumine on välja lülitatud. Seejärel testitakse taustasüsteemi otse, ilma piiranguteta, mida klientrakendus seab.
04
Platvormi väärkasutus
Kutsume rakendust seadme teistest rakendustest välja selle linkide, intentide ja eksporditud komponentide kaudu.
Ei. Rakendust testitakse sellisena, nagu seda levitatakse. Lähtekood kiirendab tööd ja muudab leiud täpsemaks ning selle saab lisada teenusega „Lähtekoodi turvaülevaatus“.
Kas taustasüsteem on testimisse kaasatud?
Jah. Mobiilitest ilma taustasüsteemita katab poole ründepinnast. API-t testitakse selle liidese kaudu, mida rakendus kasutab.
Meie rakendus kasutab sertifikaadi sidumist ja rootimise tuvastamist. Kas see takistab testimist?
See aeglustab ründajat ja aeglustab ka meid. Läheme kaitsetest mööda ja anname teada, kui palju vaeva see nõudis. See näitab, mida need kaitsed väärt on.