Пентест мобильных приложений

Отвечаем на вопросы

• Что такое пентест мобильного приложения?

  Пентест мобильного приложения — это проверка его защищённости методом контролируемой имитации действий злоумышленника. Специалисты анализируют клиентскую часть приложения, механизмы хранения и передачи данных, аутентификацию, управление сессиями, взаимодействие с операционной системой и серверным API.

  Цель услуги — найти уязвимости, определить возможные сценарии их эксплуатации и оценить последствия для пользователей и бизнеса.

• Какие мобильные приложения можно проверить?
  Проводится тестирование приложений для Android и iOS, включая:
  
  

  • нативные приложения;
  • кроссплатформенные приложения;
  • гибридные приложения;
  • корпоративные мобильные приложения;
  • личные кабинеты и финансовые сервисы;
  • приложения, распространяемые через Google Play и App Store;
  • внутренние сборки, ещё не опубликованные в магазинах.

  
  Состав проверки зависит от архитектуры приложения, используемых технологий и доступности серверной части.
• Что входит в пентест мобильного приложения?
  В рамках работ проверяются:
  
  • хранение конфиденциальных данных на устройстве;
  • аутентификация и восстановление доступа;
  • управление пользовательскими сессиями;
  • разграничение прав доступа;
  • безопасность сетевого взаимодействия;
  • серверное API;
  • криптографическая защита;
  • настройки Android и iOS;
  • устойчивость к декомпиляции и модификации;
  • сторонние библиотеки и SDK;
  • бизнес-логика приложения. 
  
  Точная область тестирования фиксируется в техническом задании до начала работ.
• Проверяется ли серверное API мобильного приложения?
  Да, если API входит в согласованную область работ. Мобильное приложение обычно выступает клиентом серверной системы, поэтому проверка только установочного файла не позволяет оценить все возможные сценарии атаки.
  
  При тестировании API анализируются аутентификация, авторизация, обработка запросов, доступ к объектам других пользователей, управление токенами, ограничения операций и ошибки бизнес-логики.
• Чем пентест отличается от автоматического или ИИ сканирования уязвимостей?
  Сканер обнаруживает известные технические признаки уязвимостей по заданному набору правил. Пентест предусматривает ручную проверку, подтверждение возможности эксплуатации и построение связанных сценариев атаки.
  
  Например, отдельная ошибка API может выглядеть некритичной, но в сочетании с недостатками авторизации позволить получить доступ к данным других пользователей. Такие связи автоматические средства обнаруживают не всегда.
• Нужен ли исходный код приложения для проведения пентеста?
  Не обязательно. Проверку можно провести методом Black Box без доступа к исходному коду либо методом Gray Box с предоставлением сборки, тестовых учётных записей, описания API и части технической документации.
  
  Доступ к исходному коду позволяет дополнительно выполнить его анализ и проверить механизмы, которые сложно оценить только по скомпилированному приложению. Формат работ выбирается с учётом задач, сроков и требуемой глубины исследования.
• Можно ли проверить приложение на этапе разработки или до публикации в App Store или Google Play?
  Да. Пентест целесообразно проводить до выпуска приложения или крупного обновления, чтобы исправить критические недостатки до передачи продукта пользователям.
  
  Для проверки достаточно предоставить тестовую сборку Android или iOS, необходимые доступы и описание тестового контура. Публикация приложения в магазине не требуется.
• От чего зависит стоимость пентеста мобильного приложения?
  На стоимость влияют:
  
  

  • количество приложений и платформ;
  • число пользовательских ролей;
  • объём серверного API;
  • сложность бизнес-логики;
  • формат Black Box, Gray Box или White Box;
  • необходимость анализа исходного кода;
  • требования к повторной проверке;
  • срочность проведения работ.

  Фиксированная стоимость определяется после оценки состава и границ тестирования.
• Для каких приложений обязателен пентест?
  Проверка особенно важна для мобильных приложений, через которые пользователи получают доступ к финансовым операциям, конфиденциальным данным и критичным функциям организации. В первую очередь это:
  
  

  • банковские приложения и системы дистанционного банковского обслуживания;
  • приложения финтех-компаний, страховых организаций и платёжных сервисов;
  • государственные информационные системы и мобильные сервисы органов власти;
  • корпоративные приложения крупных компаний;
  • приложения операторов связи и технологических платформ;
  • медицинские приложения и сервисы, работающие с врачебной тайной;
  • приложения для управления промышленными, транспортными и инфраструктурными объектами;
  • личные кабинеты клиентов и сотрудников с доступом к персональным или коммерческим данным;
  • приложения с электронной подписью, биометрией и удалённой идентификацией;
  • сервисы с большим количеством пользователей и интеграциями с внутренними информационными системами.

  
  Для таких приложений уязвимость может привести не только к компрометации отдельной учётной записи, но и к массовой утечке данных, несанкционированным операциям, проникновению во внутреннюю инфраструктуру или нарушению работы значимого сервиса.