Sicherheitstest für mobile Apps: Kann man das kostenlos selbst machen, ohne eine Agentur zu bezahlen?

Als Erstes solltet ihr prüfen, ob im Quellcode Passwörter, Secret Keys oder Datenbank-Verbindungsstrings vergessen wurden. Kostenlose Code-Scanner finden sowas in Sekundenschnelle.

Die eigentlichen Schwachstellen liegen bei mobilen Apps selten auf dem Client, sondern fast immer im Backend. Ändert testweise mal die User-ID und schaut, ob ihr Termine eines fremden Salons abrufen könnt – solche Logikfehler findet kein automatisiertes Gratis-Tool der Welt.

Wir haben bei unserem ersten Release ein Open-Source-SAST-Tool drübergejagt und tatsächlich ein vergessenes Test-Token in einer Library gefunden. Hat uns null Cent gekostet und einen echt kritischen Leak vor dem Launch verhindert.

Ladet eure App-Dateien bloß nicht blind auf irgendwelchen vermeintlich „kostenlosen Online-Sicherheitscheck“-Seiten hoch. Euren proprietären Code Drittanbietern im Netz zu überlassen, ist an sich schon ein massives Sicherheitsrisiko.

Prüfen diese Gratis-Tools eigentlich auch Sicherheitslücken im Betriebssystem des Handys selbst oder schauen die sich rein den selbst geschriebenen Code an?

Korrektur: Ich hatte die Zahl falsch im Kopf, sie war etwas niedriger.

Die prüfen nur euer App-Paket und den Traffic zum Server. OS-Sicherheitspatches sind Sache der Hersteller beim App-Pentest geht es rein um die Sicherheit eurer eigenen Anwendung.

Bei einem Bekannten waren die Reservierungsnummern fortlaufend vergeben. Ein Nutzer hat einfach die ID in der URL immer um eins hochgezählt und die komplette Kundenkartei des Ladens abgezogen. Sowas findet kein Tool sondern nur ein Mensch mit wachem Blick.

schaut euch auch eure github history an manchmal löscht mans ausm code aber in den alten commits liegt der api key immer noch offen rum.

Man sollte der Reihe nach vorgehen. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus. Nur als Notiz könnte nützlich sein.

Funktioniert das deiner Meinung nach in jeder Größe? Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Wenn deine Situation anders ist, ändert sich das natürlich.

Das habe ich auch erlebt. Menschen verteidigen nicht den Prozess sondern die Gewohnheit. Der Widerstand kommt daher.

Korrigiert mich falls ich falsch liege.

bei mir war es genau umgekehrt deshalb schreibe ich das.. und überstürzte Entscheidungen sind oft solche die man sechs Monate später korrigieren muss.

Bei sicherheitstest mobile apps ist es meiner Meinung nach schwierig, so eindeutig zu sprechen. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Das war's entschuldige, wenn ich zu lang war.

gut gemacht.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Der meiste Zeitverlust entsteht durch Arbeiten die auf Freigaben warten.

Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Wenn ich dich richtig verstehe, meinst du Folgendes: Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Wenn es jemand anders macht, würde mich das auch interessieren.

dieses Thema ist archiviert.

Danke fürs Schreiben.