iOS- ja Android-sovellusten testaus yhdessä niiden taustajärjestelmän kanssa: tietojen tallennus, tiedonsiirto, vuorovaikutus alustan kanssa ja suojaus peukalointia vastaan.
Mobiilisovellus toimii laitteella, jota sen kehittäjä ei hallitse. Kaikki, mikä on mukana asennuspaketissa, voidaan lukea, jokainen laitteella tehty tarkistus voidaan ohittaa, ja jokainen koodiin upotettu salaisuus on julkinen siitä päivästä, jona sovellus julkaistaan.
Analysoimme sovelluksen staattisesti ja instrumentoiduilla laitteilla, sieppaamme sen liikenteen ja testaamme taustajärjestelmän, jonka kanssa se viestii. Kysymys on aina sama: mitä voi tehdä henkilö, joka omistaa laitteen tai on sen kanssa samassa verkossa.
01Laajuus
Mitä testaamme
Paikallinen tallennus: tietokannat, asetukset, Keychain ja Keystore, lokit, varmuuskopiot
Koodin laatu ja koontiasetukset: vianetsintäliput, muille sovelluksille avoimet komponentit, käyttöoikeudet
Kestävyys: roottauksen ja jailbreakin tunnistus, peukalointisuojaus, koodin hämärtäminen
Sovelluksen käyttämä taustajärjestelmän API-rajapinta
02Toimintatapa
Miten työ tehdään
01
Staattinen analyysi
Asennuspaketti puretaan ja käännetään takaisin luettavaan muotoon. Luemme konfiguraation, etsimme salaisuuksia ja selvitämme, miten sovellus tallentaa ja suojaa tietoja.
02
Dynaaminen analyysi
Sovellus toimii instrumentoiduilla laitteilla. Kaappaamme sen funktioita, ohitamme sen tarkistukset ja seuraamme, mitä se kirjoittaa ja lähettää.
03
Liikenteen analyysi
Liikenne siepataan niin, että varmenteen kiinnitys on poistettu käytöstä. Sen jälkeen taustajärjestelmää testataan suoraan ilman rajoituksia, joita asiakassovellus asettaa.
04
Alustan väärinkäyttö
Kutsumme sovellusta laitteen muista sovelluksista sen linkkien, intenttien ja muille sovelluksille avointen komponenttien kautta.
Jokaisen havainnon taustalla olevan heikkouden luokka.
The MITRE Corporation
06Kysymykset
Kysymyksiä tästä palvelusta
Onko meidän annettava teille lähdekoodi?
Ei. Sovellus testataan sellaisena kuin sitä jaellaan. Lähdekoodi nopeuttaa työtä ja tarkentaa havaintoja, ja sen voi lisätä palveluna ”Lähdekoodin tietoturvakatselmointi”.
Kuuluuko taustajärjestelmä testaukseen?
Kuuluu. Mobiilitesti ilman taustajärjestelmää kattaa puolet hyökkäyspinnasta. API-rajapinta testataan saman rajapinnan kautta, jota sovellus käyttää.
Sovelluksemme käyttää varmenteen kiinnitystä ja roottauksen tunnistusta. Estääkö se testauksen?
Se hidastaa hyökkääjää, ja se hidastaa meitä. Ohitamme suojaukset ja raportoimme, kuinka paljon vaivaa se vaati. Siitä näet, mitä ne ovat arvoisia.
REST-, GraphQL-, gRPC- ja WebSocket-rajapintojen testaus: puutteelliset käyttöoikeustarkistukset, tietojen paljastuminen ja liiketoimintaprosessien väärinkäyttö.