Кейсы
Сначала мы проверили себя
Названия клиентов публикуем только с их разрешения. Пока — наш собственный продукт: SaaS-платформа для налогов и финансов, веб и мобильное приложение.
Наш продукт
SaaS-платформа для налогов и финансов
Веб-платформа + приложения для Android и iOS
- Найдено уязвимостей
- 15
- Закрыто
- 15
Экспертиза веб-сайта
6 находок
- Страница «успешно» показывалась без подтверждения оплаты
- Host header injection (X-Forwarded-Host принимался как доверенный)
- Раскрытие данных: в браузер передавался полный список маршрутов
- Избыточные данные в ответах
- Действия, выполняемые без проверки состояния (бизнес-логика)
- Порты FTP и панели, открытые в интернет
Экспертиза мобильного приложения
9 находок: Android 7, iOS 2
- Не реализована проверка root и jailbreak · Android · iOSВысокий
- Конфиденциальные данные хранились в незашифрованном виде · AndroidВысокий
- Нет механизма проверки целостности приложения · AndroidВысокий
- Небезопасная проверка сертификата · AndroidВысокий
- Нет защиты от средств динамического анализа (Android и iOS) · Android · iOSВысокий
- Нет проверки эмулятора · AndroidСредний
- Небезопасные (http) ссылки · AndroidНизкий
Что мы сделали
- RASP: обнаруживаются root, jailbreak, эмулятор, hook, отладчик и модифицированный билд — в небезопасной среде приложение блокируется.
- Pinning сертификатов: доверие только конкретным корневым сертификатам (на стороне Dart и Android).
- Конфиденциальные данные перенесены в Keystore/Keychain, резервное копирование запрещено, cleartext-трафик отключён.
- Обфускация R8 и Dart, адреса серверов не хранятся в виде открытых строк.
- В вебе: статус оплаты — только после подтверждения провайдера, прокси-заголовки ограничены, маршруты скрыты, порты закрыты.
Результат
Все 15 находок закрыты, проверены повторно, и продукт повторно подан на экспертизу.
Следующий кейс — Ваш
Если Вы разрешите показать Ваш проект первым, он будет здесь.
Покажите нам продукт до отправки на экспертизу
Оставьте заявку: просканируем Ваш продукт и точно покажем, где есть риски и что нужно, чтобы их закрыть.
Заявка на сканирование