هل يمكننا إجراء اختبار أمان تطبيق الجوال بأنفسنا مجاناً دون دفع أموال لوكالة؟

أول خطوة ابحث بالسورس كود للتطبيق إذا في كلمة سر أو مفتاح سري أو نص اتصال بقاعدة البيانات منسي بالغلط. أدوات فحص الكود المجانية بتكشف هالقصص بثواني.

أغلب الثغرات الحقيقية بتطبيقات الجوال ما بتكون بجهة العميل (الكلاينت) بل بخدمات الباك إند. جرب تغير معرف المستخدم وتشوف إذا بتقدر تسحب حجوزات صالون ثاني؛ هالأخطاء المنطقية ما في أي أداة مجانية تلقائية بتقدر تكشفها لحالها.

بأول إصدار لإلنا عملنا فحص بأداة تحليل ساكن مفتوحة المصدر ولقينا توكن اختبار منسي بوحدة من المكتبات. بدون ما نصرف أي شي حمينا حالنا من تسريب خطير جداً قبل الإطلاق.

لا ترفع ملف تطبيقك مباشرة على المواقع اللي بتدعي إنها بتقدم "فحص أمان مجاني أونلاين". ترك أكوادك اللي بتمتلك ملكيتها الفكرية عند مواقع تابعة لطرف ثالث بيخلق مخاطر أمنية ثانية.

طيب هل هالأدوات المجانية بتفحص كمان ثغرات نظام تشغيل الجوال نفسه ولا بس بتطلع على الكود اللي كتبناه نحن؟

تصحيح: كنت أذكر الرقم خطأً، كان أقل قليلاً.

بتفحص بس حزمة التطبيق تبعك واتصالها مع السيرفر. تحديثات نظام تشغيل الجوال هي مسؤولية الشركة المصنعة، أما فحص الجوال فبيقيس أمان تطبيقك أنت.

بتطبيق لمعارفي كان رقم الحجز ماشي بالتسلسل، ففي مستخدم صار يزيد الرقم بالـ URL واحد واحد ونزل قائمة عملاء الصالون كاملة. هالنوع من الثغرات المنطقية ما بتكشفه الأدوات، بيكتشفه إنسان منتبه ومركز.

شيكوا كمان على الهيستوري بـ github أحياناً حتى لو حذفتوا مفاتيح الـ api من الكود بتضل مكشوفة وواضحة بالـ commits القديمة.

يجب أن نسير بالترتيب. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي. دعني أتركها كملاحظة، قد تكون مفيدة.

هل تعتقد أن هذا يعمل لجميع الأحجام؟ الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

عانيت من نفس الشيء... الناس يدافعون عن العادات وليس العمليات... المقاومة تأتي من هناك.

صححوا لي إن أخطأت.

حدث معي العكس تماماً، لذلك أكتب هذا... القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

أعتقد أن الحديث بهذه القطعية في جانب اختبار أمان تطبيق الجوال صعب. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

هذا كل شيء، أرجو المعذرة إذا أطالت.

أحسنت، بارك الله في جهدك.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

إذا لم أخطئ الفهم، فأنت تقول: إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

هذا العنوان مؤرشف.

شكرًا لكتابة هذا.