Müşteriler için Android uygulaması: Geliştiricinin gerçekten güvenli kod yazdığını nasıl anlarız?

Geliştiriciye şu basit soruyu sorun: 'Telefonu root edilmiş bir kullanıcı bu uygulamayı açtığında veya ağ trafiğini proxy ile dinlediğimde müşteri tokenlarını görebiliyor muyum?' Eğer bu sorudan kaçarlarsa güvenlik katmanı zayıftır. Ayrıca test cihazına uygulamayı kurup ücretsiz açık kaynak güvenlik tarayıcılarıyla APK dosyasını kendiniz de temel düzeyde taratabilirsiniz.

Uygulamanın bağlandığı arka plan sunucusu (API) nerede barınıyor ve onun güvenliğini kim denetledi? Çünkü mobil uygulamalarda veriler genellikle telefondan değil, uygulamanın veri çektiği arka uç sunucudaki yetkilendirme açıklarından sızdırılır. API güvenliği test edildi mi?

Almanya'da klinik bilgisi ve ticari sipariş tutuyorsanız DSGVO gereği 'privacy by design' prensibini belgelemek zorundasınız. Geliştiriciden OWASP Mobil Güvenlik Standartlarına (MASVS) uygunluk kontrol listesi doldurmasını isteyin. Maddelerin karşısına hangi önlemi aldıklarını yazsınlar ve altına imza atsınlar. Resmi sorumluluk alıp alamayacaklarını hemen anlarsınız.

Geliştiricilerin 'her şey güvenli' demesi hiçbi şey ifade etmez. işte çoğu serbest çalışan hazır kod bloklarını internetten kopyalayıp yapıştırır ve içine API anahtarlarını düz yazı olarak gömer. Dışarıdan bağımsız bi göz bakmadığı sürece o uygulamanın güvenli olduğuna asla inanmayın.

telefonun ayarlarından uygulama izinlerine bakın ilk iş sonra sadece sipariş alan bi uyguulama dosyalara, konuma ya da rehbere erişim istiyorsa geliştirici hazır şablonu kopyalayıp geçmiş demektir. gereksiz izinler en büyük risk.

google Play Store zaten uygulamaları yüklerken güvenlik kontrolünden geçirmiyor mu? mağğaza onay verdiyse yine de ekstra güvenlik testi yaptırmak zorunda mıyız?

Biz geçen yıl benzer bi B2B uygulama teslim aldık. Geliştiriciler çok emin konuşuyordu ama 2.500 EUR verip bağımsız bi mobil pentest yaptırdık. Raporda arka uç sunucu şifrelerinin APK içinde açıkta unutulduğu ve oturum tokenlarının süresiz geçerli olduğu ortaya çıktı. O parayı vermesek büyük bi skandal yaşayacaktık.

Ucuz görünen yol genelde sonradan pahalıya patlıyor. Test edilmemiş bir yedek yedek değildir.

farkli dusunuyorum ama ilk kez yapiyorsanniz kucuk baslayin olcek snra gelir.

teecrübyele sabit.

Bende tam tersi oldu, o yüzden yazıyorum. Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Sonucu buraya yazarsanız başkalarına da faydası olur.

bir uyri birakayim. tek bir onleem guvenmeyin; katman katman gidin

sonucu buraya yazarsaniz baskalarina da faydasi olur

katılıyorum.

haklısınnız ben de aynı yoldn geçtim sonra sormaktan çekinmeyin, sormayan hep daha pahalıya ödüyor

Kafamdaki soru işareti kalktı, teşekkürler. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Asıl mesele rakam değil, o rakamın neye göre çıktığı.

Doğru söylüyorsunuz. Bir sorunu fark etme süreniz o sorunun maliyetini doğrudan belirliyor.

Merak ettiğim bir nokta var. Karar verirken en kötü senaryoyu da yazın sadece iyisini değil.

Bu kadar, uzattıysam kusura bakmayın.

Bunu bilmiyordum. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Buraya kadar söylenenleri özetleyeyim. İlk kez yapıyorsanız küçük başlayın ölçek sonra gelir.

Kolay gelsin.