Mobile · iOS · Android

Pentest pentru aplicația dumneavoastră mobilă

O aplicație instalată pe telefonul altcuiva poate fi desfăcută, modificată și ascultată. Verificăm ce află cineva care face exact asta — și ce poate face cu API-ul din spatele ei.

iOS și AndroidOWASP MASVSAPI-urile din spate, la cerere
Solicitați o ofertă →Cum lucrăm
Ce testăm

Aplicația, telefonul și serverul

Pornim de la pachetul APK sau IPA (black-box) sau și de la codul sursă și documentație (graybox).

Stocarea locală

Ce rămâne pe telefon: jetoane, date personale, fișiere temporare, cache și jurnale — și dacă sunt protejate de sistem sau stau la vedere.

Secrete în aplicație

Chei API, parole și adrese interne scrise în cod (hardcoded), care ies la iveală la prima decompilare.

Comunicarea cu serverul

TLS, fixarea certificatului (certificate pinning) și ce vede cineva care interceptează traficul dintre aplicație și server.

Autentificare și sesiuni

Autentificarea biometrică, păstrarea sesiunii, deconectarea și ce se întâmplă cu datele când telefonul e pierdut.

Protecția codului

Rezistența la decompilare și modificare, detecția root/jailbreak și ce poate schimba cineva care rulează o versiune modificată.

API-urile din spate

Dacă le includeți în test: REST și GraphQL, autentificare, autorizare, injecții și acces la obiectele altor utilizatori (IDOR).

Metodologie

Cum decurge proiectul

După OWASP MASVS și MASTG, cu analiză statică (codul) și dinamică (aplicația care rulează), pe iOS, pe Android sau pe amândouă.

  1. Perimetru și ofertă

    Ne spuneți ce intră în test; primiți o ofertă cu perimetrul, durata și calendarul, în cel mult o zi lucrătoare.

  2. Autorizarea de testare

    Semnați în portal autorizarea: țintele, fereastra de testare și regulile. Fără ea nu începe niciun test.

  3. Recunoaștere și testare

    Cartografiem aplicația și serverele cu care vorbește, apoi testăm manual, cu unelte automate doar ca sprijin. Stadiul testării îl vedeți în portal.

  4. Raport și prezentare

    Primiți raportul executiv și pe cel tehnic; constatările grave vi le semnalăm imediat, nu la final.

  5. Remediere și re-testare

    După ce reparați, cereți din portal re-testarea: verificăm fiecare constatare și o închidem cu dovadă.

Ce primiți

Livrabilele

  • Raport executiv: riscul pe înțelesul conducerii, fără jargon
  • Raport tehnic: fiecare constatare cu gravitatea, dovada și pașii de reproducere
  • Pași de remediere concreți, pe tehnologia dumneavoastră
  • Constatările în portal: responsabil, termen, istoric și re-testare cu un clic
  • Scrisoare de atestare pentru auditori, verificabilă public
Mai departe

Ghiduri legate de acest serviciu

Ghidul OWASP Top 10Cum vă pregătiți pentru un pentestGhidul PCI DSS 4.0Pentest sau scanare de vulnerabilități?
Întrebări frecvente

Ce ne întreabă clienții

Ce ne trebuie ca să începem?
Pachetul aplicației (APK sau IPA, ori acces printr-un program de testare precum TestFlight) și conturi de test. Pentru graybox, și codul sursă sau documentația API-ului.
Testați înainte de lansare?
Da, și e momentul cel mai bun. Calendarul obișnuit e 2–3 săptămâni; pentru o lansare iminentă, în regim urgent, 5–7 zile.
Există riscuri pentru sistemele noastre?
Lucrăm cu maximum de precauție: testele se planifică împreună cu dumneavoastră, după o autorizare de testare semnată, iar acțiunile care ar putea afecta funcționarea se agreează dinainte sau se fac pe un mediu de test.
Ce primim la final?
Un raport executiv pentru conducere și unul tehnic pentru echipă: fiecare constatare cu gravitatea (critic, ridicat, mediu, scăzut), dovada și pașii de remediere. Constatările le urmăriți și în portal, unde cereți re-testarea după ce le reparați.

Vreți să știți ce află cineva care vă desface aplicația?

Descrieți-ne perimetrul; răspundem cu o ofertă în cel mult o zi lucrătoare.

Solicitați o ofertă →