تطبيق Android للعملاء: كيف نتأكد أن المطور كتب كوداً آمناً بالفعل؟

اسأل المطور هذا السؤال البسيط: 'إذا فتح مستخدم هاتفه مكسور الحماية (root) هذا التطبيق أو قمت بمراقبة حركة مرور الشبكة عبر proxy، هل يمكنني رؤية رموز التحقق (tokens) الخاصة بالعملاء؟' إذا تهرب من الإجابة، فهذا يعني أن طبقة الأمان ضعيفة. يمكنك أيضاً تثبيت التطبيق على جهاز اختبار وفحص ملف APK بنفسك على مستوى أساسي باستخدام أدوات الفحص الأمني المجانية مفتوحة المصدر.

أين تتم استضافة الخادم الخلفي (API) الذي يتصل به التطبيق ومن قام بتدقيق أمانه؟ لأن تسريب البيانات في تطبيقات الجوال لا يحدث عادة من الهاتف نفسه، بل من ثغرات الصلاحيات في الخادم الخلفي الذي يسحب التطبيق البيانات منه. هل تم اختبار أمان API؟

إذا كنت تحتفظ ببيانات المرضى والطلبات التجارية في ألمانيا، فأنت ملزم بموجب DSGVO بتوثيق مبدأ "privacy by design". اطلب من المطوّر أن يملأ قائمة تحقق للتوافق مع معايير OWASP لأمن التطبيقات المحمولة (MASVS). يكتبون أمام كل بند الإجراء الذي اتخذوه ويوقّعون تحته. وقتها تعرف فورًا إذا كانوا قادرين على تحمّل المسؤولية الرسمية أم لا.

كلام المطوّرين إن "كل شيء آمن" لا يعني شيئًا. معظم المستقلين ينسخون ويلصقون كتل أكواد جاهزة من الإنترنت ويدفنون مفاتيح API داخلها كنص مكشوف. لا تصدّق أبدًا أن التطبيق آمن ما لم ينظر إليه طرف مستقل من الخارج.

أول شي شوف أذونات التطبيق من إعدادات الجوال. يعني إذا كان تطبيق مهمته بس استقبال الطلبات ويطلب الوصول للملفات أو الموقع أو جهات الاتصال، يعني المطوّر نسخ قالب جاهز ومشى. الأذونات الزايدة هي أكبر خطر.

أليس Google Play Store يفحص التطبيقات أمنيًا عند التحميل أصلًا؟ إذا وافقت المتجر، هل لازم برضه نسوي اختبار أمان إضافي؟

إحنا السنة الماضية استلمنا تطبيق B2B مشابه. المطوّرون كانوا يتكلمون بثقة كبيرة، لكن دفعنا 2.500 EUR وعملنا اختبار اختراق مستقل للتطبيق المحمول. التقرير كشف أن كلمات مرور سيرفر الباك إند متروكة مكشوفة داخل الـ APK وأن توكنات الجلسة صالحة بلا انتهاء. لو ما دفعنا هذا المبلغ كنا بنواجه فضيحة كبيرة.

الطريق الذي يبدو رخيصاً غالباً ما يكلف غالياً لاحقاً. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

لدي رأي مختلف لكن على كل حال إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

مثبت بالتجربة.

حدث معي العكس تماماً، لذلك أكتب هذا. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

دعني أترك تنبيهًا ثم لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أوافق.

أنت محق، لقد مررت بنفس المسار. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

زالت حيرتي، شكراً لكم. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

المسألة ليست الرقم، بل الأساس الذي بُني عليه.

أنت محق تمامًا. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

هناك نقطة أثارت فضولي. عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

هذا كل شيء، أرجو المعذرة إذا أطالت.

لم أكن أعلم بهذا. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

دعوني ألخص ما قيل حتى الآن. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

بالتوفيق.