Тестваме приложения за iOS и Android на реални устройства: самото приложение, какво съхранява на телефона, как комуникира със сървърите ви и API, на което разчита.
Най-важно обикновено е API. Нападателят може да заобиколи всичко, което приложението скрива или проверява на устройството, затова тестваме и сървърната част директно, все едно приложението го няма. Работим по OWASP MASVS и MASTG.
Декомпилираме приложението и преглеждаме кода и конфигурацията му за записани в тях пароли и ключове, несигурни настройки и рискови библиотеки на трети страни.
Пускаме приложението на тестови устройства, прихващаме трафика му и променяме поведението му по време на работа, за да видим какво би могъл да направи нападател, който контролира устройството.
Какво оставя приложението на телефона, например бази данни, кеш, журнали и записи в keychain или keystore, и дали нещо от това може да се прочете, когато не би трябвало.
Конфигурацията на TLS, закрепването на сертификати (certificate pinning), ако го използвате, и дали някакви данни напускат устройството незащитени.
Входът и управлението на сесиите в приложението, както и API зад него, което тестваме директно за контрол на достъпа и обработка на входните данни.
Откриване на root и jailbreak, обфускация и проверки за цялост, когато моделът на заплахите ви ги изисква.
Към всяка констатация има доказателствата за нея, оценка по CVSS, въздействието върху бизнеса и конкретна поправка. Където е приложимо, това включва заявките и отговорите или настройките, които показват проблема. Написан е така, че да можете да го предадете на инженер без промени.
Две страници на разбираем език за въздействието върху бизнеса и приоритетите, написани за ръководството ви или за екипа по сигурността на вашия клиент.
Работна среща с вашите инженери, на която преглеждаме констатациите, отговаряме на въпроси и съгласуваме приоритетите при отстраняването. Ако желаете, ще я запишем.
Не, можем да тестваме компилираното приложение. Изходният код все пак помага: с него покриваме повече за същия брой дни, затова ще го поискаме, ако можете да го споделите.
Текущата версия за публикуване на всяко приложение, а ако тя спира инструментите ни за тестване, и версия за отстраняване на грешки (debug). При определянето на обхвата ще ви кажем кои ни трябват.
Да. Повечето приложения използват общо сървърно API, затова го тестваме веднъж, а останалото време отделяме на разликите между двете платформи.
Да. Такова устройство показва какво би могъл да направи нападател, който контролира телефона. Ако приложението ви трябва да отказва да работи на такива устройства, проверяваме колко надеждно го прави.
Заявете разговор за определяне на обхвата и щом уточним какво ще тестваме, ще ви изпратим оферта с фиксирана цена.