È possibile fare i test di sicurezza di un'app mobile da soli e gratis senza pagare un'agenzia?

Prima cosa: cercate nel codice sorgente se per caso sono rimaste password, chiavi segrete o stringhe di connessione al database. Gli scanner di codice gratuiti le trovano in pochi secondi.

La maggior parte delle falle vere nelle app mobile non sta nel client ma nei servizi backend. Provate a cambiare l'ID utente per vedere se riuscite a pescare gli appuntamenti di un altro salone; questi errori logici nessun tool automatico gratuito riuscirà mai a beccarli da solo.

Nella nostra prima versione abbiamo fatto i test con un tool statico open source e abbiamo trovato un token di test dimenticato in una libreria. A costo zero abbiamo evitato un leak critico prima del rilascio.

Non caricate il file della vostra app sui cosiddetti siti di "test di sicurezza online gratuiti". Dare codice di vostra proprietà a siti terzi crea un ulteriore rischio di sicurezza.

Ma questi tool gratuiti controllano anche le vulnerabilità del sistema operativo del telefono o guardano solo il codice scritto da noi?

correzione: mi ricordavo male il numero, era un po' più basso.

Guardano solo il pacchetto della tua app e la comunicazione con il server. Le patch dell'OS del telefono sono responsabilità del produttore, il mobile test serve a misurare la sicurezza della tua app.

Nell'app di un mio conoscente gli ID di prenotazione erano sequenziali un utente aumentando il numero nell'URL di uno alla volta si è scaricato l'intera lista clienti del salone. Questo genere di falle logiche le becca solo l'occhio umano, non i tool.

controllate pure la cronologia di github a volte anche se le cancelli dal codice le chiavi api restano belle in vista nei vecchi commit.

Bisogna procedere con ordine. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla. Lascio una nota, potrebbe servire.

Secondo voi funziona a tutte le scale? Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Naturalmente cambia se la vostra situazione è diversa.

Ho vissuto la stessa cosa. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Correggetemi se sbaglio.

a me è successo l'esatto contrario per questo scrivo. le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Secondo me è difficile essere così netti sul lato test di sicurezza per app mobili... insomma la risposta varia molto in base al settore, non esiste una regola generale.

È tutto scusate se mi sono dilungato.

ottiom lavoro.

Riassumo l'argomento, perché sono state date diverse risposte. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Inizia con un piccolo test non impegnarti subito su tutto.

Se non ho capito male, stai dicendo che: Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

questo thread è archiviato.

Grazie per aver scritto.