Penetrationstest av mobilappar

Testning av iOS- och Android-appar tillsammans med deras backend: lagring, överföring, samspel med plattformen och motståndskraft mot manipulering.

Applikationssäkerhet

En mobilapp körs på en enhet som dess utvecklare inte har kontroll över. Allt som levereras i paketet kan läsas, varje spärr som finns på enheten kan kringgås och varje hemlighet som är inbäddad i koden är offentlig samma dag som appen släpps.

Vi analyserar appen statiskt och på instrumenterade enheter, fångar upp dess trafik och testar den backend som den kommunicerar med. Frågan är alltid densamma: vad kan den göra som äger enheten eller som delar nätverk med den?

01Omfattning

Vad vi testar

  • Lokal lagring: databaser, inställningar, Keychain och Keystore, loggar, säkerhetskopior
  • Kryptografi: algoritmer, nyckelhantering, inbäddade hemligheter
  • Nätverk: TLS-konfiguration, certificate pinning, okrypterad trafik
  • Autentisering: biometri, tokens, sessionshantering, bindning till enheten
  • Samspel med plattformen: djuplänkar, intents, URL-scheman, WebView, urklipp
  • Kodkvalitet och bygginställningar: felsökningsflaggor, exporterade komponenter, behörigheter
  • Motståndskraft: detektering av root och jailbreak, skydd mot manipulering, obfuskering
  • Det backend-API som appen använder

02Arbetssätt

Så utförs arbetet

  1. Statisk analys

    Paketet packas upp och dekompileras. Vi läser konfigurationen, letar efter hemligheter och studerar hur appen lagrar och skyddar data.

  2. Dynamisk analys

    Appen körs på instrumenterade enheter. Vi kopplar in oss i dess funktioner, kringgår dess spärrar och observerar vad den skriver och skickar.

  3. Trafikanalys

    Trafiken fångas upp med pinning avaktiverad. Därefter testas backend direkt, utan de begränsningar som klienten inför.

  4. Missbruk av plattformen

    Vi anropar appen från andra appar på enheten via dess länkar, intents och exporterade komponenter.

Metodik

03

Vad du får

  • Fynd uppdelade per plattform och per komponent: klient, överföring, backend
  • Lista över hemligheter och slutpunkter som kan utvinnas ur paketet
  • Sammanfattning för ledningen
  • Teknisk rapport: varje fynd med bevis, CVSS 4.0-vektor, CWE-klass och åtgärd
  • Genomgång med dina tekniker
  • Ett omtest av varje fynd inom 60 dagar efter leverans av rapporten
  • Intyg efter omtestet

04

Vad vi behöver från dig

  • Byggen för testning: IPA och APK eller AAB, helst även ett bygge utan obfuskering utöver releasebygget
  • Testkonton för varje roll
  • En testmiljö för backend, eller ett överenskommet testfönster i produktionsmiljön
  • Distribution via TestFlight, Firebase App Distribution eller direkt som filer

05Standarder

Standarder bakom metoden

06Frågor

Frågor om den här tjänsten

Måste vi ge er källkoden?

Nej. Appen testas så som den distribueras. Källkod gör arbetet snabbare och fynden mer precisa, och den kan läggas till som en säkerhetsgranskning av källkod.

Ingår backend?

Ja. Ett mobiltest utan backend täcker halva attackytan. API:et testas via det gränssnitt som appen använder.

Vår app använder certificate pinning och root-detektering. Hindrar det testningen?

Det bromsar en angripare, och det bromsar oss. Vi kringgår skydden och redovisar hur mycket arbete det krävde, vilket visar vad de är värda.

08Förfrågan

Berätta vad som behöver testas

  • Gratis kontroll av webbplatsen
  • Svar inom 1 arbetsdag
  • Sekretessavtal före alla tekniska detaljer
  • Fast pris för betalda uppdrag
  • Utan förpliktelser

Begär en granskning

Beskriv systemen och målet. En kundansvarig svarar inom 1 arbetsdag med förtydligande frågor och nästa steg.

Vem vi ska svara

Vi svarar till den här adressen om du inte väljer en annan kanal.

En enskild näringsidkare anger sitt eget namn.

Önskad kanal
Vad som ska granskas
Tjänster av intresse

Välj alla som är aktuella.

Gratis kontroll

Vi kontrollerar din webbplats kostnadsfritt

Om vi inte hittar några problem får du även rapporten kostnadsfritt. Du betalar för rapporten bara när vi hittar problem, och priset beror på hur många de är och hur allvarliga de är.

Villkor för gratis säkerhetskontroll av webbplats

Applikationssäkerhet

Infrastruktur och moln

Attacksimulering

AI, Web3 och kryptografi

Program och verifiering

Applikationssäkerhet

Gratis säkerhetskontroll av webbplats

Vi tittar på din webbplats utifrån, så som en angripare gör, och kontrollerar om det går att bryta sig in i den: svaga inställningar, föråldrad programvara, exponerade filer, osäkra formulär. Kontrollen är kostnadsfri.

Applikationssäkerhet

Penetrationstest av webbapplikationer

Vi försöker bryta oss in i din webbapplikation så som en verklig angripare skulle göra: logga in på andras konton, läsa andra kunders data, ändra priser eller beställningar. Du får veta vad som är möjligt innan brottslingar gör det.

Applikationssäkerhet

Säkerhetstest av API:er

Ett API är den kanal som din app, din webbplats och dina partner använder för att utbyta data med dina servrar. Vi testar om någon kan använda den för att läsa eller ändra data som tillhör andra.

Applikationssäkerhet

Penetrationstest av mobilappar

Vi undersöker din iOS- eller Android-app och servrarna bakom den: vad appen sparar på telefonen, vad som kan utvinnas ur den och om dess anrop kan manipuleras.

Applikationssäkerhet

Säkerhetsgranskning av källkod

Våra specialister läser källkoden till din produkt och hittar de misstag som leder till ett intrång, även de som inte syns utifrån.

Infrastruktur och moln

Säkerhetsgranskning av moln och Kubernetes

Vi granskar hur ditt moln är konfigurerat (AWS, Azure, Google Cloud, Kubernetes): vem som har åtkomst till vad, vilka data som är öppna mot internet och hur långt en angripare kommer efter det första misstaget.

Infrastruktur och moln

Penetrationstest av infrastruktur

Vi testar dina servrar och ditt kontorsnätverk utifrån och inifrån: om en angripare kan ta sig in och, väl inne, nå ekonomisystemet, e-posten eller säkerhetskopiorna.

Infrastruktur och moln

Granskning av extern attackyta

Vi hittar allt som ditt företag exponerar mot internet, även det som har glömts bort: gamla webbplatser, testservrar, läckta lösenord. Sedan visar vi vad av det som kan angripas.

Infrastruktur och moln

Säkerhet i CI/CD och leveranskedjan

Vi granskar vägen som din kod tar från utvecklaren till kunden: byggservrar, bibliotek från tredje part, åtkomstnycklar. Den som har kontroll över den vägen har kontroll över din produkt.

Attacksimulering

Red Team-operationer

En övning i full skala. Vårt team spelar en verklig angripare med ett mål, till exempel att nå kunddata, och du ser om ditt försvar märker det och stoppar det.

Attacksimulering

Purple Team-övningar

Våra angripare och dina försvarare arbetar sida vid sida: vi visar en attackteknik, ditt team undersöker om det ser den, och luckorna i övervakningen täpps till på plats.

Attacksimulering

Social engineering-test

Vi testar människor, inte maskiner: nätfiske via e-post, samtal och meddelanden som angripare använder för att komma åt lösenord. Du får veta hur många anställda som skulle bli lurade och vad som behöver tränas.

AI, Web3 och kryptografi

Säkerhetstest av AI och LLM

Om din produkt har en chattbot eller en annan AI-modell testar vi om den kan förmås att avslöja konfidentiella data, bryta mot sina egna regler eller agera för någon annans räkning.

AI, Web3 och kryptografi

Granskning av smarta kontrakt

Innan ett smart kontrakt förvaltar pengar letar vi efter misstag i dess kod som skulle låta någon ta ut eller frysa medlen. Efter driftsättningen går sådana misstag inte att rätta.

AI, Web3 och kryptografi

Kryptografigranskning

Vi granskar hur din produkt krypterar data och skyddar nycklar: om rätt algoritmer har valts och om de används korrekt. Ett misstag här gör krypteringen värdelös.

Program och verifiering

Förvaltning av bug bounty-program

Bug bounty är ett program där oberoende säkerhetsforskare letar efter sårbarheter i din produkt och får betalt för varje sårbarhet de hittar. Vi lanserar och driver ett sådant program åt dig.

Program och verifiering

Program för sårbarhetsrapportering (VDP)

En offentlig sida och en rutin som berättar för säkerhetsforskare hur de på ett säkert sätt kan rapportera en sårbarhet till dig. Utan dem försvinner rapporter eller kommer i form av hot. Vi sätter upp processen och hanterar inkommande rapporter.

Program och verifiering

Kontinuerlig penetrationstestning

I stället för ett test om året testar vi varje betydande ändring i din produkt under hela året, så att en ny sårbarhet inte väntar i månader på att bli hittad.

Program och verifiering

Penetrationstest för regelefterlevnad

Ett penetrationstest som läggs upp så att en revisor, en tillsynsmyndighet eller en stor kund godtar rapporten: PCI DSS, DORA, NIS2, ISO/IEC 27001, SOC 2.

Tjänster av intresse

Vet inte ännu

Välj det här om du inte vet vilken tjänst du behöver. Beskriv uppgiften med egna ord, så föreslår en specialist en tjänst i svaret.

Domän eller URL för webbplatsen eller för det huvudsakliga system som ska testas, till exempel app.example.com.

Vad som behöver testas, varför just nu och eventuella tidsfrister eller krav på regelefterlevnad. Inga lösenord, nycklar eller detaljer om sårbarheter.

Bekräftelser

Skicka inte inloggningsuppgifter, nycklar eller detaljer om en sårbarhet via det här formuläret. Vi kommer överens om en säker kanal efter det första svaret.

Automatisk kontroll mot missbruk