Mobil Uygulama Sızma Testi (iOS ve Android)
Mobil uygulama sızma testi, iOS ve Android uygulamalarının cihaz üzerindeki davranışının, sakladığı verinin ve konuştuğu arka uç servislerinin saldırgan bakış açısıyla test edilmesidir. Nokta Guard bu testi OWASP Mobil Uygulama Güvenliği Doğrulama Standardı (MASVS) ve Mobil Uygulama Güvenliği Test Rehberi (MASTG) temelinde yürütür. Uygulamanın kendisi ile birlikte kullandığı API'ler de kapsama alınır.
Mobil uygulama, kullanıcının elindeki bir cihazda çalışır ve tersine mühendisliğe açıktır. Uygulama içine gömülü anahtarlar, cihazda şifresiz saklanan oturum bilgileri veya istemci tarafında yapılan kontroller, saldırganın arka uca doğrudan ulaşmasını sağlayabilir.
Uygulamayı yalnızca ekranlardan değil, cihaz üzerinde ve ağ trafiğinde de inceliyoruz.
Kontrol Kapsamı
alan · OWASP MASVS · MASTG
Veri saklama
Cihazda tutulan oturum bilgileri, kişisel veri, önbellek, kayıt dosyaları ve yedeklere düşen hassas veriler.
Kriptografi
Kullanılan algoritmalar, anahtarların saklanması ve uygulama içine gömülü sırlar.
Kimlik doğrulama ve oturum
Biyometrik doğrulama, token yönetimi ve oturumun sunucu tarafında sonlandırılması.
Ağ iletişimi
TLS yapılandırması, sertifika doğrulaması ve sertifika sabitleme (pinning).
Platform etkileşimi
İzinler, derin bağlantılar (deep link), WebView kullanımı ve diğer uygulamalarla veri paylaşımı.
Kod kalitesi ve bağımlılıklar
Bilinen açık içeren kütüphaneler ve güvensiz kod kalıpları.
Tersine mühendisliğe dayanıklılık
Kod karartma, root/jailbreak tespiti ve uygulama bütünlüğü kontrolleri (kapsama göre).
Arka uç API'leri
Uygulamanın kullandığı servislerde yetki kontrolü, aşırı veri ifşası ve istemci tarafı kontrollerin atlanması.
Uygulama paketini statik olarak inceler, ardından test cihazlarında dinamik olarak çalıştırırız. Ağ trafiği bir ara vekil üzerinden izlenir; istemci tarafındaki kontrollerin sunucu tarafında da uygulanıp uygulanmadığı test edilir. Her kullanıcı rolü için test hesabı istenir.
Süre; platform sayısına (yalnızca iOS, yalnızca Android veya ikisi birden), ekran ve işlev sayısına ve arka uç API'lerinin kapsama dahil olup olmadığına göre belirlenir. Kritik bulgular raporu beklemeden paylaşılır.
Platform bazında yönetici özeti. MASVS kontrol alanlarına eşlenmiş teknik bulgular, kanıt ve CVSS puanı. Mobil ve arka uç ekipleri için ayrı ayrı çözüm önerileri. Doğrulama testi raporu.
Mobil bankacılık, ödeme, sağlık, e-ticaret ve kurum içi mobil uygulamalar için uygundur. Uygulama mağazaya yeni sürüm göndermeden önce ve büyük işlev değişikliklerinden sonra önerilir.