Android-приложение для клиентов: как понять, что разработчик реально написал безопасный код?

Задайте разработчикам простой вопрос: «Если запустить приложение на телефоне с root-правами или прогнать трафик через прокси, можно перехватить клиентские токены?» Если начнут юлить безопасность там для галочки. Плюс можете сами поставить APK на тестовый девайс и прогнать через бесплатные опенсорсные сканеры безопасности.

Где крутится серверная часть (API), к которой коннектится приложение, и кто проверял ее? В мобилках данные чаще всего утекают не со смартфона, а из-за кривой авторизации на самом бэкенде, откуда тянется инфа. Безопасность API вообще тестировали?

Если вы храните в Германии медицинские данные и коммерческие заказы, то по DSGVO вы обязаны документально подтвердить принцип «privacy by design». Потребуйте от разработчика заполнить чек-лист соответствия мобильным стандартам безопасности OWASP (MASVS). Пусть напротив каждого пункта распишут принятые меры и поставят свою подпись. Сразу станет ясно, готовы ли они нести официальную ответственность.

Слова разработчиков в духе «всё безопасно» вообще ничего не значат. Большинство фрилансеров просто копипастят готовые куски кода из сети и зашивают туда API-ключи прямо открытым текстом. Пока независимый сторонний специалист не посмотрит, ни в коем случае не верьте что приложение безопасно.

первым делом гляньте разрешения приложения в настройках телефона. если прога просто для приема заказов просит доступ к файлам, геолокации или контактам значит разраб тупо скопировал готовый шаблон и забил. короче лишние доступы — самый главный риск.

Разве Google Play Store и так не проверяет приложения на безопасность перед загрузкой? Если магазин одобрил всё равно обязательно проводить дополнительные тесты безопасности?

Мы в прошлом году принимали похожее B2B-приложение. Разработчики били себя пяткой в грудь, но мы отдали 2.500 EUR за независимый мобильный пентест. В отчете выяснилось, что пароли от бэкенд-сервера были открытым текстом забыты прямо внутри APK, а токены сессий действовали бессрочно. Не заплати мы тогда эти деньги, влетели бы в грандиозный скандал.

Дешевый на вид путь обычно выходит дороже в итоге. Непроверенная резервная копия — не резервная копия.

я думаю иначе. честно если деаете впервые, начните с малого масштабирование потом.

проверено опытом.

У меня было наоборот, поэтому и пишу. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Если напишете результат здесь, это поможет и другим.

хочу предупредить. честно не полагайтесь на одну меру защиты; действуйте слоями.

если напишете результат здесь, это поможет и другим.

Согласен.

вы правы я сам проходил через это но не стесняйтесь спрашивать, молчание всегда обходится дороже.

Мои сомнения развеялись, спасибо. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Главное не цифра, а то, на основе чего она получена.

Вы правы. Время обнаружения проблемы напрямую определяет ее стоимость.

Есть один момент, который меня интересует. При принятии решений записывайте и худший сценарий, а не только лучший.

На этом всё, извините, если затянул.

Не знал об этом. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Позвольте подвести итог сказанному выше. Если делаете впервые, начните с малого, масштабирование потом.

Удачи.