Мобильное приложение работает на устройстве, которое разработчик не контролирует. Всё, что поставляется в пакете, можно прочитать, любую проверку на устройстве можно обойти, а любой секрет, зашитый в код, становится публичным в день релиза.
Мы анализируем приложение статически и на инструментированных устройствах, перехватываем его трафик и тестируем серверную часть, с которой оно общается. Вопрос всегда один: что может сделать тот, кто владеет устройством или находится с ним в одной сети.
01Объём
Что мы проверяем
Локальное хранилище: базы данных, настройки, Keychain и Keystore, журналы, резервные копии
Криптография: алгоритмы, управление ключами, зашитые секреты
Класс недостатка, лежащего в основе каждой находки.
The MITRE Corporation
06Вопросы
Вопросы об этой услуге
Нужно ли передавать исходный код?
Нет. Приложение тестируется в том виде, в котором распространяется. Исходный код ускоряет работу и делает находки точнее; его можно добавить как аудит исходного кода.
Серверная часть входит в проверку?
Да. Мобильный пентест без серверной части покрывает половину поверхности атаки. API тестируется через интерфейс, которым пользуется приложение.
В приложении есть certificate pinning и обнаружение root. Это помешает тестированию?
Это замедляет злоумышленника и замедляет нас. Мы обходим защиту и сообщаем, сколько усилий это потребовало, — так вы узнаёте, чего она стоит.