Mobile Application Penetration Testing

Nello specifico Il nostro MAPT consta di quattro fasi: Analisi Statica, Analisi Dinamica, Analisi dei flussi di rete e Reporting.

Il tutto parte con l’installazione completa del pacchetto applicativo (il binario dell’applicazione mobile: ad esempio app.apk, app.ipa, etc.) per poi effettuare una verifica completa di tutte le varie funzionalità applicative disponibili. Si analizzano tutti i metadati del pacchetto applicativo e successivamente si esegue un reverse engineering del binario dell’applicazione mobile (laddove possibile) al fine di ottenerne lo pseudo codice sorgente e identificare eventuali dati sensibili memorizzati al suo interno.

Si prosegue l’attività analizzando dove i dati sensibili sono richiesti, come si muovono all’interno dell’applicazione, come sono utilizzati e così via.  In particolare, si esamina dove e come l’applicazione gestisce le informazioni sensibili, se l’applicazione sta utilizzando correttamente le API native e se le credenziali dell’utente, i token di sessione, le informazioni personali e qualsiasi altro dato sensibile viene memorizzato in maniera sicura. Come parte di questa analisi, si effettuano controlli che esaminano la memoria per garantire che i dati sensibili siano adeguatamente cancellati dall’applicazione. Durante questa fase di test, si tenta di accedere alle funzionalità nascoste, oltre a provare a scalare i privilegi.

Altro punto di osservazione di grande importanza è la convalida dei dati: viene identificata e verificata qualsiasi porta aperta, interfaccia, canale IPC e qualsiasi altra modalità di ingresso che potrebbe essere sfruttata da un attaccante. Viene costruito un diagramma di come queste componenti lavorano insieme; tale diagramma sarà utile durante il prosieguo dell’assessment.

Inoltre si esamina la comunicazione tra l’applicazione mobile e tutti i sistemi/servizi remoti. L’analisi del traffico si concentra sullo scoprire le vulnerabilità relative alla divulgazione di informazioni, alla manomissione dei dati in transito, alla gestione dell’autenticazione, della sessione e altri punti deboli correlati.

Al termine del MAPT viene redatto un report dettagliato contenente le vulnerabilità individuate (con relativo dettaglio del software/servizio interessato, screenshot, tipo di vulnerabilità, livello di criticità, e possibili azioni di remediation).

Standard di Riferimento e Aree di Test

Argo Cyber aderisce allo standard OWASP Mobile Application Security (MAS), al fine fornire un approccio standardizzato e approfondito. L’attività di testing, eseguita seguendo le check list previste da OWASP MASVS e OWASP MASTG, è effettuata su otto differenti aree di interesse:

1. Storage
2. Crypto
3. Authentication
4. Network
5. Platform
6. Code
7. Resilience
8. Privacy

Vulnerabilità come fughe di informazioni dovute a comunicazioni non sicure, debolezze nelle funzionalità crittografiche, problemi nell’autenticazione e autorizzazione, mancanze nella sicurezza dei codici e nella gestione delle sessioni e lacune in tema di privacy e data protection, sono, dunque, identificate e analizzate, al fine di poter offrire soluzioni di mitigazione.

Argo Cyber eleva il concetto di sicurezza delle Mobile Application, andando oltre il tradizionale Penetration Testing. Con un servizio che integra sia la diagnosi che la consulenza per la mitigazione, offre una soluzione completa, assicurando non solo l’identificazione ma anche la tempestiva risoluzione delle vulnerabilità, garantendo anche una protezione completa e duratura.