Mobil app'ımda şifre, token, API key'ler var — app reverse-engineered edilebilir mi?

Kemal S***8 gün önce·44 mesaj·2,3 B görüntülenme#mobil #security #obfuscation

Görev: Saha satış temsilcisi
Sektör: Makine imalatı
Yapı: iki şubeli işletme
Katılım: Haz 2023
Mesaj: 62

8 gün önce#1

Android APKmı reverse engineer etmek 5 dakika alıyor. Decompilerlarla (ApkTool, Frida) şifreler, tokenlar görülüyor. Bunu nsl koruyabilirim?

API keyleri hard-code etmemeliyim anladım. Ama sunucudan dinamik olarak almak da serverı yükler. Orta yol var mı?

iOS app'ında da aynı risk var mı? işte jailbroken cihazlarda app data okabilir miyiz?

Doki ekibiDoki ekibi

Görev: Resmî hesap
Sektör: Siber güvenlik ve dijital
Yapı: Doki
Katılım: Mar 2023
Mesaj: 310

8 gün önceEn çok yardımcı olan#2

Mobil App Güvenlik: Reverse engineering riski (Android APK/iOS IPA easily decompiled). Koruma stratejileri: 1) Sensitive data storage: Keychain (iOS), KeyStore (Android), encrypted SharedPreferences, 2) Obfuscation (ProGuard Android, SwiftShield iOS), 3) API keys: server-side storage (never embed), certificate pinning (validate server identity), dynamic token refresh (short-lived tokens, server-issued), 4) Root/Jailbreak detection (API call fails if detected, not foolproof), 5) Runtime protection (code virtualization: difficult/complex, cost-benefit low for KOBİ), 6) Network security: TLS 1.2+, certificate pinning (prevent MITM), 7) Frida anti-instrumentation (difficult, cat-and-mouse). Praktik tavsiye: API key server'da tut, app → server request → server authenticated token return, token client'da cache (expiry: 1-24 hour). Data storage: sensitive data = encrypted (Android Encrypter library, iOS Keychain), non-sensitive = SharedPreferences/UserDefaults. Jailbreak risk: data access possible (root privilege), mitigation = encryption + certificate pinning (limits attack vectors). iOS risk lower (closed ecosystem), Android higher (open, rooting easy). Pentest: tool-based vulnerability scan (Burp Suite mobile, OWASP Mobile Top 10 checklist).

Yavuz A***KatılımcıTopluluk üyesi

Katılım: Kas 2022
Mesaj: 139

7 gün önce#3

api key hard-code yapma... serverda tut appden token iste... certificate pinning kullan (MITM preventte). keystore/keychain kullan sensitive datanın.. ve proguard ile obfuscate et apkyı... açıkçası root/jailbreak check ekle...

Esra O***Katılımcı

Görev: Kalite güvence müdürü
Sektör: Tarım
Yapı: 8 kişilik ekip
Katılım: May 2023
Mesaj: 84

7 gün önce#4

Mobil güvenlik uygulaması: 1) AndroidKeyStore: KeyStore.getInstance('AndroidKeyStore'), şifreleme ile anahtar üretimi, 2) iOS Keychain: güvenli depolama için SecItemAdd(), 3) API kimlik doğrulama: OAuth token yenileme (1 saatte sona erer, sunucu tarafından verilir), 4) Sertifika sabitleme (TrustKit iOS, Network Security Configuration Android), 5) Obfuscation (ProGuard kuralları: API sınıflarını koru, diğerlerini karıştır), 6) Çalışma zamanı kontrolleri (RootBeer Android, DTTJailbreakDetection iOS), 7) Frida sertleştirme (anti-hook tespiti: API fonksiyon imzası doğrulama). Depolama hiyerarşisi: Genel (yok), Yerel (şifreli), Keychain/Keystore (varsa donanım destekli). Sızma testi araçları: Burp Suite mobil proxy, Frida etkileşimli enstrümantasyon, APK decompiler (apktool, dex2jar), debugger (Android'de gdb, iOS'ta lldb).

Uğur V***KatılımcıTopluluk üyesi

Katılım: Ağu 2023
Mesaj: 282

7 gün önce#5

aPI key hard-code ypma be, sunucuda tut. işte app login yap → server token gönder → cleint cache. token 1-4 saat expire. keystore/Keychain kullan data saklamada. proGuard obfuscate et. jailbreak/root check ekle, algılanırsa app kapalı...

Uğur Y***Veteran

Görev: Klinik yöneticisi
Sektör: Catering
Yapı: orta ölçekli işletme
Katılım: Mar 2023
Mesaj: 253

7 gün önce#6

Mobil uygulama güvenlik katmanları: Ağ (TLS 1.2+ sertifika sabitleme) API (token bazlı kimlik doğrulama OAuth, kısa süreli geçerlilik), Depolama (şifreli keystore), Kod (obfuscation anti-tampering), Çalışma Zamanı (jailbreak/root tespiti). Tehdit modeli: fiziksel erişim (rootlu cihaz debugger), ağ erişimi (proxy intercept — cert pinning ile engellenir) kod analizi (reverse engineering — obfuscation ile azaltılır). OWASP Mobile Top 10: güvensiz iletim (TLS bypassı önle) güvensiz depolama (keystore şifreleme) güvensiz kimlik doğrulama (OAuth en iyi uygulamaları), yetersiz kriptografi (AES-256), istemci tarafı enjeksiyon (girdi doğrulama).