Ho password, token e API key nella mia app mobile — è possibile fare reverse engineering dell'app?

nn hardcodare api key. tienile sul server richiedi token dall'app. usa certificate pinning (per prevenire MITM). usa keystore/keychain per i dati sensibili. offusca l'apk con proguard. aggiungi check root/jailbreak...

Sicurezza app mobile: 1) AndroidKeyStore: KeyStore.getInstance('AndroidKeyStore'), generazione chiavi con crittografia, 2) iOS Keychain: SecItemAdd() per storage sicuro, 3) Autenticazione API: refresh token OAuth (scadenza 1 ora, emesso dal server), 4) Certificate pinning (TrustKit iOS, Network Security Configuration Android), 5) Offuscamento (regole ProGuard: proteggi le classi API, offusca il resto), 6) Controlli runtime (RootBeer Android, DTTJailbreakDetection iOS), 7) Hardening contro Frida (rilevamento anti-hook: verifica firma funzioni API). Gerarchia storage: Pubblico (nessuno), Locale (crittografato), Keychain/Keystore (hardware-backed se disponibile). Tool per penetration test: Burp Suite mobile proxy, Frida instrumentation interattiva, decompiler APK (apktool, dex2jar), debugger (gdb su Android, lldb su iOS).

non hardcodare le API key tienile sul server. insomma app fa login → invia token al server → client fa cache. token scade in 1-4 ore. usa Keystore/Keychain per salvare i dati e offusca con ProGuard. aggiungi check jailbreak/root se rilevato chiudi l'app...

Livelli di sicurezza app mobile: Rete (TLS 1.2+, certificate pinning), API (autenticazione basata su token OAuth validità breve), Storage (keystore crittografato), Codice (offuscamento anti-tampering), Runtime (rilevamento jailbreak/root). Modello di minaccia: accesso fisico (device rootato debugger), accesso di rete (intercettazione proxy — bloccata dal cert pinning), analisi codice (reverse engineering — mitigata dall'offuscamento). OWASP Mobile Top 10: trasmissione insicura (previeni bypass TLS) storage insicuro (crittografia keystore), autenticazione insicura (best practice OAuth) crittografia debole (AES-256) injection lato client (validazione input).

Approfondisco l'aspetto tecnico. comunque quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Anche da noi è così.

Direi di non avere fretta. Quando decidiamo senza misurare finiamo sempre nello stesso punto.

È tutto scusate se mi sono dilungato.

Il mio dubbio è stato chiarito, grazie.

C'è una trappola qui, non posso non segnalarla. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Vorrei fare una domanda. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Spero che le sia utile.

Sono nella stessa situazione per questo chiedo. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Grazie mille, proverò oggi. L'errore commesso da sicurezza app mobile è generalmente reversibile ma costoso.

Salvato. Più è difficile tornare indietro su una decisione più lentamente dovreste prenderla.

L'errore commesso da sicurezza app mobile è generalmente reversibile ma costoso.

Non lo sapevo.

Mi chiedo anch'io. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Se scrivete qui il risultato, sarà utile anche ad altri.

La mia domanda sarà un po' da principiante, scusate. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza. Io seguirei questa strada.

Preso nota, grazie. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Correggetemi se sbaglio.

Questo thread è archiviato. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Correggetemi se sbaglio.