Перед тем как платить за пентест мобильного приложения — есть чек-лист по безопасности для самопроверки?

Прямо завтра дайте команде три задачи: 1) Вырубить логирование в релизной сборке, в консоль ни в коем случае не должны лететь данные клиентов и токены. 2) Настроить автоматическую очистку буфера обмена при копировании чувствительных данных. 3) Проверить, как приложение ведет себя на устройствах с root-доступом или джейлбрейком.

Встройте опенсорсные инструменты статического анализа (SAST) прямо в процесс сборки. Есть бесплатные тулзы, которые за пару минут находят зашитые ключи и небезопасное использование хранилища. Пока их не прогоните, платить за внешний аудит нет никакого смысла.

В прошлом году мы на этом обожглись. Отдали 4.200 фунтов за пентест, и из 12 пунктов в отчете 9 оказались забытыми в коде тестовыми ключами и незашифрованным локальным кэшем. Если бы проверили сами заранее, аудиторы покопали бы платежный шлюз, где это реально требовалось.

Свой чек-лист — дело отличное, но полноценный пентест он не заменит. Замыливание глаза у разработчиков никто не отменял: свои косяки искать сложнее всего. Самопроверка нужна не для того чтобы отменить аудит, а чтобы выжать из него максимум за свои деньги.

у нас гибридное приложение, то есть по сути крутится внутри WebView но ну все эти проверки сертификатов и локального хранилища актуальны для гибридов в том же объеме?

с секретными api-ключами в репозитории прям очень аккуратно надо. наши разрабы как-то запушили тестовый токен в прод, чудом успели перехватить. это ж элементарным поиском по коду находится.

Пару лет назад на первой версии нашего сервиса доставки клиент через обычный прокси подменил сумму заказа и выставил себе 0 фунтов. А всё потому, что расчет шел на клиенте в приложении и отправлялся на сервер. С тех пор мобильному клиенту у нас доверия ровно ноль.

Двигаетесь в правильном направлении. Безопасники просто выдадут стандартные рекомендации по каждому багу, а фиксить всё равно вам. Закройте базовый чек-лист сами, отдайте на тест чистый билд — и время пройдет с пользой, и отчет потом не стыдно будет показать крупным клиентам.

не знал об этом.

У нас было так. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

По теме чек-лист безопасности мобильных приложений так категорично говорить сложно. короче время обнаружения проблемы напрямую определяет ее стоимость.

Если напишете результат здесь, это поможет и другим.

Здесь есть ловушка не могу промолчать. Спешка в решениях оборачивается исправлениями через полгода.

Когда пытаешься изменить всё сразу, ничего не приживается.

Буду рад, если напишете о результате.

Спасибо за ваш пост.

Самое упускаемое из вида в теме чек-лист безопасности мобильных приложений: При принятии решений записывайте и худший сценарий, а не только лучший.

Интересно, есть ли те, кто делает иначе.

Давайте разделим понятия, их путают. Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Интересно, есть ли те, кто делает иначе.

Очень актуальная тема. Не полагайтесь на одну меру защиты; действуйте слоями.

Вы правы.