كيف نضمن أمان تطبيق الموبايل وما الفحوصات التي يجب أن نكملها قبل الإطلاق؟

إذا كنت تستخدم JWT فاجعل صلاحية التوكنات قصيرة جداً؛ مثلاً access token لمدة 15 دقيقة وrefresh token لمدة 7 أيام. كذلك تأكد من أن ملف `.env` لم يُنسَ داخل مخرجات بناء التطبيق. المطورون أحياناً يدمجون كلمات مرور قاعدة بيانات بيئة الاختبار أو مفاتيح API لخدمات خارجية داخل كود العميل.

أمور عاجلة قبل النشر: 1) فعّل كشف الروت والجيلبريك بحيث ينبّه التطبيق على الأجهزة المعدّلة. 2) شغّل خاصية منع أخذ لقطات الشاشة وتعتيم الشاشة عند الانتقال للخلفية. 3) امنع ظهور مسارات السيرفر وسجلات قاعدة البيانات في رسائل الأخطاء.

اعمل هذا الاختبار بنفسك فوراً: ثبّت أداة مراقبة حركة الشبكة على حاسوبك، وصّل الهاتف بنفس الشبكة اللاسلكية ومرّر الحركة عبر الحاسوب. إذا كنت تستطيع قراءة الأسعار وكشوف الفواتير الذاهبة والقادمة من الهاتف كنص صريح على شاشة الحاسوب، فهذا يعني أن SSL Pinning غير مفعّل.

التركيز على حماية جهة الموبايل كبير لدرجة أن الـ API، وهو الباب الحقيقي، يُنسى. حتى لو درّعت تطبيق الموبايل بالكامل، المهاجم لن يستخدم تطبيق الموبايل؛ سيرسل الطلب مباشرة إلى عنوان الـ API عندك. لا تعتبر تطبيق الموبايل أبداً بيئة موثوقة، كل المنطق يجب أن يُتحقق منه على السيرفر.

حصل معنا شيء مشابه السنة الماضية في تطبيق جملة B2B. أحد وكلائنا اعترض أثناء إنشاء الطلب وأرسل سعر وحدة المنتج إلى الـ API بـ 15 TL بدل 150 TL. عندنا في شاشة الموبايل كان حقل السعر مقفلاً لكن الـ backend أكّد الطلب حسب السعر القادم. اكتشفنا الفرق بعد أسبوعين في جرد المخزن. راجعوا تحققات الأسعار على السيرفر مرتين.

لا تنسوا إغلاق سجلات الديباغ داخل التطبيق، أحياناً على logcat تتدفق كل بيانات المستخدمين والتوكنات بشكل مكشوف، نظفوا سجلات الكونسول قبل رفعه للمتجر.

بما أن تطبيقكم يحتوي بيانات مالية ذات طابع سرّي تجاري تخص أشخاصاً اعتباريين وشركات فردية، فإن أي تسريب محتمل سيولّد التزاماً بالإبلاغ عن خرق البيانات لدى هيئة حماية البيانات الشخصية. لذلك توثيق تدابير أمن البيانات وحفظها واجب قانونياً.

يعني هذا اللي يسمونه الهندسة العكسية، وكلاؤنا أو غيرهم يقدرون ينزّلون تطبيقنا ويفتحون الأكواد المصدرية كاملة على أجهزتهم ويشوفونها؟ على كل حال هذا ما ينمنع أثناء المرور بموافقات المتجر؟

صحيح.

شكرًا جزيلًا، كان مفيدًا جدًا.

لا تتجاهل شيئاً: عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

دعني أتركها كملاحظة، قد تكون مفيدة.

سأكتب ما حدث لي، ربما يفيدكم. القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

لم أكن أعلم بهذا.

حدث معنا هذا. محاولة فعل هذا بمفردك هي أغلى الطرق.

أتمنى أن يفيدك هذا.

هناك ثلاثة أمور يجب مراعاتها أثناء القيام بذلك لكن الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً. لو كنت مكانك، لسلك هذا المسار.

مررت بهذا الطريق، دعني أشرح. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

صححوا لي إن أخطأت.

لا تتجاهل شيئاً: فعل الجميع لشيء ما لا يعني أنه صحيح.

بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

الإجابة أعلاه لخصت جوهر الأمر. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك. هذا كل شيء، أرجو المعذرة إذا أطالت.