Тестирование на проникновение мобильных приложений
Мы тестируем ваши приложения для iOS и Android так, как это делал бы атакующий: статический и динамический анализ, инструментация во время выполнения для обхода клиентских средств защиты и проверка backend-API, на который опирается приложение. Покрытие соответствует проекту OWASP Mobile Application Security.
Что мы тестируем
Объём работ строится на OWASP MASVS v2.1.0 с его восемью группами требований (Storage, Crypto, Auth, Network, Platform, Code, Resilience и Privacy), а проверка идёт по OWASP MASTG. Мобильные приложения служат тонкими клиентами поверх серверных API, поэтому backend тоже входит в объём.
- Небезопасное локальное хранение и слабая криптография (MASVS-STORAGE / -CRYPTO)
- Аутентификация, управление сессиями и валидация сети/TLS (MASVS-AUTH / -NETWORK)
- Взаимодействие с платформой: экспортируемые компоненты, deep links, IPC и WebView (MASVS-PLATFORM)
- Качество кода, захардкоженные секреты и небезопасные настройки сборки (MASVS-CODE)
- Устойчивость: обнаружение root/jailbreak, аттестация и защита от подмены (MASVS-RESILIENCE)
- Средства приватности и backend-API, от которого зависит приложение (MASVS-PRIVACY)
Статика + динамика, с инструментацией
Мы сочетаем статический анализ (декомпиляция, ручной и автоматический разбор кода) с динамическим тестированием (во время выполнения, перехват TLS, проверка certificate pinning). Клиентские средства защиты в принципе можно обойти, поэтому сервер не должен доверять клиенту. Если же pinning обойти не удаётся, это само по себе находка в категории устойчивости.
- 1
Подготовка
Согласуем объём (приложения, версии, учётные записи, базис MAS) и тестовое окружение и подписываем NDA.
- 2
Сбор информации
Профилируем приложение, его интеграции с платформой и его backend, чтобы спланировать статическое и динамическое покрытие.
- 3
Картирование
Сопоставляем компоненты, deep links, IPC, хранение и вызовы API с группами средств защиты MASVS.
- 4
Эксплуатация
Статический разбор плюс инструментация во время выполнения (Frida/Objection) для обхода клиентских средств защиты и доступа к логике и трафику.
- 5
Отчёт и бесплатная повторная проверка
Вы получаете отчёт с приоритетами, а исправленные проблемы мы без дополнительной платы перепроверяем в срок, указанный в SoW.
Что вы получаете
Та же глубина результата, что и в нашем образце отчёта, где каждая находка сопоставлена со стандартами MAS, чтобы покрытие можно было проверить.
- Краткое резюме и общий уровень риска
- По каждой находке: описание, влияние, доказательства, шаги воспроизведения и исправление
- Описание границ с охватом приложений, версий, API, учётных записей и базиса MAS
- Уровень риска по CVSS 3.1 с переводом в бизнес-риск
- Ссылки на группу средств защиты MASVS, тест MASTG и CWE
- Бесплатная повторная проверка устранённых проблем в срок, указанный в SoW, а по желанию и SBOM в формате CycloneDX
Опирается на OWASP MASVS и MASTG
Покрытие сопоставляется с OWASP MASVS v2.1.0 (восемь групп средств защиты, включая группу Privacy, добавленную в 2.1.0) и проверяется по OWASP MASTG, с объёмом по MAS Testing Profiles. Находки оцениваются по CVSS 3.1.