Как провести тест безопасности мобильного приложения своими силами без бюджета на агентство?

Aycan K***11 месяцев назад·45 сообщений·11 тыс. просмотров#мобильное приложение #тестирование безопасности #безопасность приложений #тест на проникновение

Aycan K***Участник

Должность: Директор магазина
Отрасль: Кейтеринг
Тип организации: компания из 20 человек
Дата регистрации: март 2024 г.
Сообщение: 132

11 месяцев назад#1

Мы разработали мобильное приложение для управления записью для местных парикмахерских и салонов красоты на рынке США. Два месяца назад мы выпустили его как в iOS, так и в Android магазинах, сейчас у нас около 1 300 активных пользователей. В системе хранятся номера телефонов клиентов, имена и детали прошлых записей. Мы запросили цену у одной компании по безопасности на комплексный мобильный пентест, они предложили 3 800 USD.

В текущем финансовом положении нашего стартапа эта сумма серьёзно давит на бюджет. Прежде чем платить эти деньги внешней команде тестировщиков, до какого предела мы можем провести тестирование безопасности нашего мобильного приложения своими силами и с бесплатными инструментами? Достаточно ли автоматических тестов и open-source инструментов из интернета, чтобы поймать основные уязвимости, и когда нам стоит заказывать профессиональный тест?

Veli T***Участник

Должность: HR-специалист
Отрасль: Сельское хозяйство
Тип организации: Компания на 120 человек
Дата регистрации: апр. 2023 г.
Сообщение: 1

11 месяцев назадСамый полезный#2

Короткий ответ: да, с помощью open-source инструментов статического и динамического анализа вы можете без единой копейки выявить базовые ошибки кодирования в вашем приложении, зашитые чувствительные ключи и незашифрованную передачу данных; однако эти бесплатные проверки не могут полностью проинспектировать логику авторизации в бэкенде приложения или уязвимости базы данных. Так что бесплатные инструменты на первом этапе дают отличную фильтрацию, но полностью не заменяют профессиональный тест.

Процесс, который вы можете провести самостоятельно бесплатно, состоит из трёх шагов: 1) Установите на компьютер open-source платформу анализа безопасности и загрузите в неё пакет приложения; этот анализ за минуты вытащит API-ключи, зашитые в код, небезопасные локальные права доступа к файлам и лишние запрашиваемые разрешения устройства. 2) Установите прокси-софт и прослушайте трафик с телефона; проверьте, не отправляет ли приложение чувствительные данные открытым текстом при общении с сервером. 3) Запустите open-source проверки зависимостей, которые сканируют известные уязвимости сторонних библиотек в коде.

Эти шаги ловят самые частые невнимательности разработчиков. Но когда вы интегрируете платёжную инфраструктуру, начинаете подписывать корпоративные договоры или число пользователей переваливает за десятки тысяч, профессиональный пентест становится неизбежным. Пока что разумно закрыть бесплатными инструментами очевидные дыры и сэкономить бюджет в 3 800 USD на рост.

SinemЭксперт

Должность: Руководитель проектов
Дата регистрации: окт. 2023 г.
Сообщение: 176

11 месяцев назад#3

Первым делом поищите в исходном коде приложения, не забыли ли там пароль, секретный ключ или строку подключения к базе данных. Бесплатные сканеры кода находят это за секунды.

Burak O***Участник

Должность: Директор магазина
Отрасль: Кейтеринг
Тип организации: Производственная компания из 40 человек
Дата регистрации: окт. 2023 г.
Сообщение: 18

Doki · Инфраструктура электронной коммерции · 2026

11 месяцев назад#4

Большинство реальных уязвимостей в мобильном приложении не в клиенте, а в бэкенд-сервисах. Попробуйте подменить идентификатор пользователя и вытащить записи другого салона; такие логические ошибки ни один автоматический бесплатный инструмент сам по себе не поймает.

KorhanЭксперт

Должность: Директор по B2B-продажам
Дата регистрации: сент. 2023 г.
Сообщение: 162

11 месяцев назад#5

В первой версии мы протестировали open-source статическим инструментом и нашли забытый тестовый токен в одной из библиотек. С нулевыми затратами мы предотвратили очень критичную утечку ещё до релиза.

Yasemin K***УчастникУчастник сообщества

Дата регистрации: янв. 2024 г.
Сообщение: 82

11 месяцев назад#6

Не загружайте файл приложения напрямую на так называемые «бесплатные онлайн-тесты безопасности» из интернета. Оставлять свой проприетарный код на сторонних сайтах создаёт ещё один риск безопасности.

Kemal T***Участник

Должность: ИТ-директор
Отрасль: Бухгалтерия и консалтинг
Тип организации: компания с двумя филиалами
Дата регистрации: нояб. 2023 г.
Сообщение: 121

Doki · Корпоративный сайт · 2024

10 месяцев назад#7

А эти бесплатные инструменты проверяют ещё и уязвимости самой операционной системы телефона или смотрят только на код, который написали мы?

исправление: ошибся в цифре, было чуть меньше.

Vahide V***Участник

Должность: Генеральный директор
Отрасль: Косметика
Тип организации: производство
Дата регистрации: июль 2022 г.
Сообщение: 1

10 месяцев назад#8

Они смотрят только на ваш пакет приложения и его общение с сервером. Патчи операционной системы телефона — ответственность производителя, мобильный тест измеряет безопасность именно вашего приложения.

Perihan Ş***УчастникУчастник сообщества

Дата регистрации: апр. 2024 г.
Сообщение: 1

10 месяцев назад#9

В приложении одного моего знакомого номер брони шёл по порядку и один пользователь, увеличивая номер в URL на единицу, скачал список клиентов всего салона. Такие логические дыры ловит не инструмент а внимательный человек.