TESTY PENETRACYJNE APLIKACJI MOBILNYCH
Testy penetracyjne aplikacji mobilnych: sprawdź, czy dane Twoich klientów są bezpieczne
Testy aplikacji iOS i Android według OWASP MASVS i MASTG, prowadzone przez pentesterów z OSCP. Analiza statyczna i dynamiczna, dane lokalne, komunikacja z API i odporność na inżynierię wsteczną.
DLACZEGO TO WAŻNE
Aplikacja mobilna działa na urządzeniu, nad którym nie masz kontroli
W odróżnieniu od aplikacji web, kod mobilny jest w rękach użytkownika, a więc i potencjalnego napastnika. Można go zdekompilować, podejrzeć, a aplikację uruchomić na urządzeniu z rootem. Zabezpieczenia oparte tylko na zaufaniu do klienta nie istnieją.
Przykład z naszej praktyki: aplikacja trzymała token sesji w pamięci lokalnej bez szyfrowania, a jednocześnie nie weryfikowała certyfikatu serwera. Wystarczyło przejęcie urządzenia lub sieci, by przejąć konto. Backend był bezpieczny, problem był w aplikacji.
CO SPRAWDZAMY
Od kodu aplikacji po komunikację z serwerem
Testujemy iOS i Android osobno, bo każda platforma ma własne pułapki bezpieczeństwa.
NASZE PODEJŚCIE
Analiza statyczna i dynamiczna na realnym urządzeniu
Łączymy analizę statyczną (dekompilacja, przegląd kodu i konfiguracji) z dynamiczną (aplikacja uruchomiona na urządzeniu z instrumentacją). Dopiero razem pokazują pełny obraz: co aplikacja robi i co da się z nią zrobić.
Pracujemy według OWASP MASTG, więc każdy test jest powtarzalny i mapowany na MASVS. Sprawdzamy aplikację tak, jak zrobiłby to napastnik z pełnym dostępem do urządzenia, bo dokładnie taka jest rzeczywistość.
ZGODNOŚĆ
Test wymagany przez regulacje i sklepy z aplikacjami
Bezpieczeństwo aplikacji mobilnej to element zgodności i warunek publikacji w sklepach oraz w branżach regulowanych.
STANDARDY I CERTYFIKATY
Pracujemy według uznanych metodyk, nie według intuicji
Każdy projekt prowadzą certyfikowani pentesterzy, a testy opieramy na publicznych standardach, więc wynik jest powtarzalny, audytowalny i porównywalny między dostawcami.
Pełną listę certyfikatów i standardów udostępniamy na życzenie, razem z przykładowym zakresem testu.
JAK TO ROBIMY
Powtarzalny proces według MASTG
DOWODY
Twarde liczby z naszych projektów
Każdy test prowadzą certyfikowani pentesterzy, a wynik dokumentujemy krokami odtworzenia, dowodami i zweryfikowaną ścieżką naprawy. Dowód, nie obietnica.
WIEDZA
Testy penetracyjne aplikacji mobilnych w praktyce
Dlaczego aplikacja mobilna wymaga osobnego testu
Aplikacja mobilna działa na urządzeniu, którego nie kontrolujesz, więc napastnik ma czas i pełny dostęp do kodu, pamięci oraz ruchu sieciowego. Testujemy ją według OWASP MASTG i MASVS, sprawdzając zarówno samą aplikację, jak i jej komunikację z backendem.
Inaczej niż w aplikacji web, część logiki i danych ląduje na telefonie. Dlatego analizujemy, co aplikacja zapisuje lokalnie, jak chroni klucze i czy da się ją uruchomić na urządzeniu z rootem lub po jailbreaku.
Analiza statyczna i dynamiczna na realnym urządzeniu
Zaczynamy od analizy statycznej pakietu IPA lub APK: dekompilujemy kod, szukamy zaszytych sekretów, kluczy API i słabej kryptografii. Tę warstwę skaner pokaże tylko częściowo, bo nie rozumie kontekstu działania aplikacji.
Następnie uruchamiamy aplikację na realnym urządzeniu i obserwujemy ją w działaniu: przechwytujemy ruch, manipulujemy żądaniami, omijamy mechanizmy obronne takie jak certificate pinning. Dopiero połączenie obu metod daje pełny obraz.
Najczęstsze błędy w aplikacjach iOS i Android
Najczęściej znajdujemy wrażliwe dane zapisane bez szyfrowania, tokeny sesji trzymane w łatwo dostępnych miejscach oraz autoryzację realizowaną po stronie klienta, którą da się obejść. Każdy z tych błędów wygląda niegroźnie, dopóki ktoś go nie wykorzysta.
Sprawdzamy też komunikację z API, bo to tam zwykle leży realne ryzyko: aplikacja mobilna jest tylko jednym z klientów backendu. Błąd autoryzacji w API odsłania dane niezależnie od tego, jak dobrze zabezpieczona jest sama aplikacja.
Co dostajesz w raporcie i kiedy testować
Raport opisuje każdą podatność z dowodem, oceną CVSS i krokami odtworzenia, osobno dla iOS i Androida, jeśli testujemy obie platformy. Dokładamy podsumowanie biznesowe i priorytety naprawcze ułożone według ryzyka.
Aplikację mobilną warto testować przed publikacją w sklepie oraz po każdej większej zmianie funkcji lub modelu uprawnień. Po naprawie wykonujemy retest i potwierdzamy, że luki zostały zamknięte.
FAQ
Pytania, które słyszymy najczęściej
Testujecie obie platformy?
Potrzebujecie kodu źródłowego?
Czy testujecie też backend?
Czy retest jest w cenie?
POWIĄZANE
Powiązane artykuły
- Ile kosztuje test penetracyjny? Z czego składa się cena i na co uważać
- Testy penetracyjne a ocena podatności: kompleksowy przewodnik pozwalający zrozumieć różnice
- Zakres testu penetracyjnego: jedna strona, która decyduje, czy test był wart pieniędzy
- Zakres testu penetracyjnego
- Dlaczego wyniki CVSS często nie odzwierciedlają rzeczywistych zagrożeń
REALIZACJE
Realizacje w tym obszarze
REFERENCJE
“Projekt zrealizowano profesjonalnie i terminowo, z dobrym zrozumieniem zarówno technologii, jak i biznesu. Zrobiła na nas wrażenie ich ekspertyza w cyberbezpieczeństwie i partnerskie podejście.”
