Teste de intrusão de aplicações móveis
Testamos as suas aplicações iOS e Android como um atacante o faria: análise estática e dinâmica, instrumentação em tempo de execução para contornar os controlos do lado do cliente e teste da API de backend de que a aplicação depende. A cobertura segue o projeto OWASP Mobile Application Security.
O que testamos
O âmbito assenta no OWASP MASVS v2.1.0 e nos seus oito grupos de controlos (Armazenamento, Criptografia, Autenticação, Rede, Plataforma, Código, Resiliência e Privacidade), testados segundo o OWASP MASTG. Como as aplicações móveis são clientes leves sobre APIs de servidor, o backend também faz parte do âmbito.
- Armazenamento local inseguro e criptografia fraca (MASVS-STORAGE / -CRYPTO)
- Autenticação, gestão de sessões e validação de rede/TLS (MASVS-AUTH / -NETWORK)
- Interação com a plataforma: componentes exportados, deep links, IPC e WebViews (MASVS-PLATFORM)
- Qualidade do código, segredos embutidos e definições de compilação inseguras (MASVS-CODE)
- Resiliência: deteção de root/jailbreak, atestação e anti-adulteração (MASVS-RESILIENCE)
- Controlos de privacidade e a API de backend de que a aplicação depende (MASVS-PRIVACY)
Estática + dinâmica, com instrumentação
Combinamos a análise estática (descompilação, revisão de código manual e automatizada) com o teste dinâmico (em tempo de execução, interceção de TLS, verificação de certificate pinning). Os controlos do lado do cliente podem, por natureza, ser contornados, pelo que o princípio é que o servidor não deve confiar no cliente. Se o pinning não puder ser contornado, isso já é um achado de resiliência.
- 1
Preparação
Acordamos o âmbito (aplicações, versões, contas, a base MAS) e o ambiente de teste, e assinamos um NDA.
- 2
Recolha de informação
Caracterizamos a aplicação, as suas integrações de plataforma e o seu backend para planear a cobertura estática e dinâmica.
- 3
Mapeamento
Mapeamos componentes, deep links, IPC, armazenamento e chamadas de API face aos grupos de controlos do MASVS.
- 4
Exploração
Revisão estática mais instrumentação em tempo de execução (Frida/Objection) para anular os controlos do lado do cliente e alcançar a lógica e o tráfego.
- 5
Relatório e reteste gratuito
Recebe um relatório priorizado; voltamos a testar os problemas corrigidos sem custos adicionais, dentro do prazo fixado no SoW.
O que recebe
A mesma profundidade de entrega do nosso relatório de exemplo, com cada achado mapeado aos padrões MAS, para que a cobertura seja auditável.
- Resumo executivo e postura de risco global
- Cada achado: descrição, impacto, evidência, passos para reproduzir e remediação
- Declaração de âmbito que abrange aplicações, versões, APIs, contas e a base MAS
- Severidade pontuada com CVSS 3.1 e traduzida em risco de negócio
- Referências ao grupo de controlos MASVS, ao teste MASTG e ao CWE
- Reteste gratuito dos problemas remediados dentro do prazo fixado no SoW; SBOM CycloneDX opcional
Assente no OWASP MASVS e MASTG
A cobertura mapeia ao OWASP MASVS v2.1.0 (oito grupos de controlos, incluindo o grupo de Privacidade acrescentado na 2.1.0) e é testada segundo o OWASP MASTG, delimitada com os MAS Testing Profiles. Os achados são pontuados com CVSS 3.1.