Mobil ilova ekspertizasida nimalar qattiq tekshiriladi: MASVS, MASWE va OWASP Mobile Top 10

Veb-sayt ekspertizasidan o'tgan jamoa mobil ilovani ham xuddi shunday tekshiriladi deb o'ylashi mumkin. Amalda mobil ekspertiza boshqacha: bu yerda server emas, foydalanuvchi qo'lidagi qurilmada ishlaydigan ilovaning o'zi tahlil qilinadi. Ekspert APK yoki IPA faylni oladi, uni ochadi, emulyator va root qilingan qurilmada ishga tushiradi, trafikni ushlab ko'radi va ilovaning ichki himoyasini sinaydi.

Bu maqolada mobil ekspertiza qaysi standartlarga tayanishini va o'z mahsulotimiz — Flutter'da yozilgan soliq-moliya SaaS platformasining Android va iOS ilovalari — tekshiruvida aniqlangan 9 ta topilmani ko'rib chiqamiz. Barcha topilmalar yopilgan.

Qaysi standartlar asos qilinadi

Mobil ekspertizada odatda OWASP loyihasining mobil hujjatlari ishlatiladi:

• OWASP MASVS (Mobile Application Security Verification Standard) — ilova qanday talablarga javob berishi kerakligini belgilaydi. Talablar guruhlarga bo'lingan: ma'lumot saqlash (STORAGE), kriptografiya (CRYPTO), autentifikatsiya (AUTH), tarmoq (NETWORK), platforma bilan ishlash (PLATFORM), kod sifati (CODE), teskari muhandislikka chidamlilik (RESILIENCE) va maxfiylik (PRIVACY).
• OWASP MASTG (Mobile Application Security Testing Guide) — har bir talabni qanday sinash kerakligi bo'yicha amaliy qo'llanma.
• OWASP MASWE (Mobile Application Security Weakness Enumeration) — mobil zaifliklarning raqamlangan ro'yxati. Ekspertiza hisobotida topilma odatda shu raqam bilan keladi, masalan MASWE-0097 (root yoki jailbreak aniqlanmagan).
• OWASP Mobile Top 10 (2024) — eng keng tarqalgan xavf toifalari, M1 dan M10 gacha. Hisobotda topilma ko'pincha shu toifaga ham bog'lanadi, masalan M7 Insufficient Binary Protections.
• CWE — umumiy zaiflik tasnifi, ayniqsa kriptografiya va sertifikat tekshiruvi masalalarida.

Muhim farq shundaki, veb ekspertizada asosiy e'tibor serverga qaratiladi, mobil ekspertizada esa RESILIENCE guruhi — ilovaning o'zini himoya qila olishi — alohida og'irlikka ega.

Amalda nima topildi: 9 ta topilma

Quyida o'z ilovamiz bo'yicha ekspertiza hisobotidagi topilmalar xavf darajasi bo'yicha keltirilgan.

Android — yuqori (HIGH)

1. Root aniqlash joriy qilinmagan. Ilova root qilingan qurilmada hech qanday ogohlantirishsiz ishlayverardi. Hisobotda MASWE-0097 va OWASP Mobile Top 10 2024 M7 sifatida belgilandi.
2. Maxfiy ma'lumotlar ichki xotirada shifrlanmagan holda saqlangan. Root huquqi bor odam ilova papkasini ochib, tokenlarni o'qishi mumkin edi.
3. Ilova yaxlitligi (tamper) tekshirilmagan. APK qayta yig'ilib, boshqa imzo bilan o'rnatilsa, ilova buni sezmasdi.
4. Sertifikat tekshiruvi yetarli emas. Ilova tizim ishongan har qanday sertifikatni qabul qilardi, ya'ni qurilmaga o'rnatilgan begona CA orqali trafikni ushlash mumkin edi.
5. Dinamik tahlil vositalaridan himoya yo'q. Frida kabi vositalar bilan ilova funksiyalarini ish vaqtida o'zgartirish mumkin edi.

Android — o'rta (MEDIUM)

6. Emulyatorni aniqlash joriy qilinmagan. Ilova emulyatorda to'liq ishlardi, bu esa tahlil va avtomatlashtirilgan hujumni osonlashtiradi.

Android — past (LOW)

7. Xavfsiz bo'lmagan (http) havolalar. Kod ichida shifrlanmagan manzillar qolib ketgan edi.

iOS — yuqori (HIGH)

8. Dinamik tahlildan himoya yo'q. Android'dagi kabi, iOS ilovasi ham hook vositalarini aniqlamasdi.
9. Jailbreak aniqlash joriy qilinmagan. Root'ning iOS'dagi ekvivalenti.

Ko'rinib turibdiki, 9 topilmadan aksariyati kod xatosi emas, balki himoya qatlamining yo'qligi. Ilova to'g'ri ishlaydi, lekin o'zini himoya qilmaydi.

Qanday yopildi

Har bir topilma uchun alohida yechim emas, bir-birini to'ldiruvchi bir nechta qatlam qo'llandi:

• RASP kutubxonasi (freeRASP) — root, jailbreak, emulyator, hook, debugger va tamper holatlarini aniqlaydi. Xavf aniqlansa, foydalanuvchiga ilovani bloklaydigan ogohlantirish ekrani ko'rsatiladi.
• Sertifikatni mahkamlash — ilova faqat tanlangan ildiz (root) CA'larga ishonadi: Dart tomonida faqat ishonchli ildizlar bilan SecurityContext, Android tomonida network_security_config ichida pin-set.
• Xavfsiz saqlash — flutter_secure_storage orqali Android Keystore va iOS Keychain.
• Obfuskatsiya — Android uchun R8 minify, Dart kodi uchun --obfuscate.
• Zaxira nusxadan himoya — allowBackup=false va data_extraction_rules.
• Tarmoq — cleartext (http) trafik butunlay o'chirildi, API manzillari kodda ochiq satr sifatida saqlanmaydi.
• Chiqishda tozalash — foydalanuvchi tizimdan chiqqanda WebView ma'lumotlari o'chiriladi.

Bu mavzularning har biri bo'yicha blogda alohida maqolalar bor: root/jailbreak aniqlash, SSL pinning, Keystore va Keychain, Frida va RASP.

Ekspertizaga topshirishdan oldin yana nima kerak

Ekspertiza topshirilgan APK va IPA fayllarning nazorat qiymatlarini ham so'raydi: MD5, SHA1 va SHA256. Bu tekshirilgan fayl aynan do'konga chiqadigan fayl ekanini tasdiqlash uchun kerak. Ularni oddiy buyruqlar bilan olish mumkin:

md5sum app-release.apk
sha1sum app-release.apk
sha256sum app-release.apk

macOS'da shasum -a 1 va shasum -a 256 ishlatiladi. Shuni yodda tutingki, fayl qayta yig'ilsa, qiymatlar o'zgaradi. Shuning uchun nazorat qiymatlarini aynan topshiriladigan yakuniy build'dan oling.

Amaliy tekshiruv ro'yxati

Ilovani ekspertizaga yuborishdan oldin o'zingiz quyidagilarni ko'rib chiqing:

1. Ilova root yoki jailbreak qilingan qurilmada nima qiladi?
2. Emulyatorda ishga tushadimi va bu kutilgan xatti-harakatmi?
3. Token, parol yoki shaxsiy ma'lumotlar qayerda saqlanadi — SharedPreferences, UserDefaults yoki Keystore/Keychain?
4. Qurilmaga begona CA o'rnatilsa, trafikni ushlab bo'ladimi?
5. APK boshqa imzo bilan qayta yig'ilsa, ilova buni sezadimi?
6. Kodda http:// bilan boshlanadigan manzillar qolganmi?
7. Release build obfuskatsiya qilinganmi?
8. allowBackup o'chirilganmi?

Agar bu savollardan birortasiga javob noaniq bo'lsa, ekspertiza aynan shu joyni topadi.

Xulosa

Mobil ekspertiza ilovaning funksiyasini emas, uning himoyalanganligini tekshiradi. Topilmalarning aksariyati oldindan rejalashtirilsa, bir necha kunlik ish bilan yopiladi. Ekspertiza hisobotini kutib, keyin tuzatishga kirishishdan ko'ra, bu qatlamlarni ilova tayyorlanayotgan paytdayoq qo'shgan ma'qul.

Ilovangiz ekspertizaga qanchalik tayyor ekanini bilmoqchi bo'lsangiz, skanerlash uchun ariza qoldiring. Claude AI agenti va mutaxassisimiz APK yoki IPA faylni ko'rib chiqadi, topilgan teshiklarni ko'rsatadi va ularni yopishga yordam beradi.