Блог
Что требует экспертиза, где чаще всего ошибаются и как это закрыть — из нашего опыта.
Экспортированные activity, service, receiver и provider, а также deep link — это вход в приложение извне. Как их проверить и закрыть.
WebView — браузер внутри приложения, но без защит браузера. Как правильно настроить JavaScript-мосты, доступ к файлам, смешанный контент и allowlist URL.
Любой ключ и адрес в мобильном приложении находится через jadx или strings. Что можно хранить в приложении, что только на сервере и где предел обфускации.
С помощью Frida можно менять функции приложения во время работы. Экспертиза отмечает это как высокий риск на Android и iOS. Что такое RASP и как его внедрить.
Разбор списка OWASP Mobile Top 10 2024 года: что означает каждая категория, как эксперт её проверяет и как подготовить приложение.
Хранение токенов и персональных данных в SharedPreferences или UserDefaults экспертиза считает высоким риском. Как правильно использовать Android Keystore и iOS Keychain.
Если приложение принимает любой сертификат, которому доверяет система, трафик можно перехватить. Как настроить pinning на Android и во Flutter и подготовиться к смене сертификата.
Защита от jailbreak и динамического анализа, ATS, Keychain и подготовка IPA. Что проверить перед тем, как сдавать iOS-приложение на экспертизу по кибербезопасности.
Три настройки в AndroidManifest часто становятся находками мобильной экспертизы. Как правильно настроить резервное копирование, незашифрованный трафик и доверие к сертификатам.
На устройстве с root или jailbreak защита приложения ослабевает. Почему экспертиза считает это высоким риском и как правильно внедрить обнаружение.
Мобильная экспертиза проверяет защиту приложения от модификации и реверс-инжиниринга. Как настроить R8, обфускацию Dart и проверку целостности.
На какие стандарты опирается экспертиза мобильного приложения и какие уязвимости находят на практике. 9 находок в нашем собственном приложении по уровню риска.
