Kybernetická bezpečnost • Penetrační testy

Penetrační test mobilní aplikace

Penetrační testy mobilních aplikací se zaměřují na odhalení bezpečnostních slabin specifických pro mobilní platformy (Android/iOS), včetně nezabezpečeného ukládání dat na zařízení, zneužití meziaplikační komunikace, nedostatečné ochrany citlivých dat a neoprávněného přístupu k funkcím aplikace.

Konzultace zdarmaUkázka reportu

Jak testujeme mobilní aplikace

Nedíváme se pouze na to, co je vidět na obrazovce, ale zkoumáme, co si aplikace ukládá do telefonu, jak komunikuje se serverem a jestli ji jde rozbalit, upravit a znovu sestavit. Testujeme na vlastních rootnutých (Android) a jailbreaknutých (iOS) zařízeních připravených pro pentesty.

To nám umožňuje číst data přímo z paměti, obcházíme certificate pinning a aplikaci dekompilujeme i znovu sestavíme. Zachytáváme veškerou síťovou komunikaci přes Burp Suite proxy a analyzujeme co se děje přímo v zařízení. Testujeme manuálně iOS i Android podle metodik OWASP MASVS / MASTG. Po provedení testu získáte ucelený report s reprodukovatelnými PoC a doporučeními pro vývojáře.

Co testujeme na iOS a Androidu

Pokrýváme všechny oblasti definované metodikou OWASP MASTG, od zneužití platformy po business logiku a reverzní inženýrství. Každý test zahrnuje iOS i Android, nativní i hybridní aplikace.

  • Ukládání dat a kryptografie

    Testujeme nešifrované SQLite databáze, SharedPreferences, Keychain a logování citlivých dat v zařízení, cache a zálohy a uložení klíčů. Slabé algoritmy (MD5, SHA-1, DES), nešifrované credentials, modifikace APK/IPA a kontrolujeme integritu.

  • Autentizace a autorizace

    Testujeme 2FA, obcházení přihlášení, session hijacking, ukládání tokenů, privilege escalation, biometrii, relaci a hranici mezi rolemi.

  • Síťová komunikace

    Testujeme TLS konfiguraci, MITM útoky, SSL pinning bypass a validaci certifikátů. Podobné vektory testujeme i u webových aplikací. Prověříme také certificate pinning a odolnost vůči odposlechu na nedůvěryhodné síti.

  • Interakce s platformou

    Oprávnění, deep links a URL schemes, WebView, zneužití mezi aplikacemi.

  • Odolnost proti reverznímu inženýrství

    Extrakce API klíčů, dekompilace, repackaging útoky, zneužití slev a obcházení obchodních omezení. Detekce root/jailbreak, ochrana proti úpravám.

  • Kód, build a soukromí

    Hledáme ponechané debug funkce a rizikové knihovny. Testujeme, jaká data aplikace sbírá a kam je posílá.

  • Serverová strana / API

    Prověříme komunikaci aplikace s backendem podle stejných principů jako u Penetračního testu API.

Časté otázky k penetračním testům

Co potřebujete před zahájením testu?

Stačí nám poskytnout přístup k testovací verzi aplikace (APK nebo IPA soubor, případně přístup přes TestFlight nebo interní distribuci). Testovací účty a přístup k API prostředí zajistíme společně při scoping callu.

  • APK/AAB (Android) nebo IPA (iOS) soubor testované verze
  • Testovací účty s různými úrovněmi oprávnění
  • Popis hlavních funkčních oblastí aplikace
  • Přístup k backendu / API, na které se aplikace napojuje.
  • Kontakt na vývojový tým pro případné dotazy
  • Cílové platformy a verze OS a kontakt pro koordinaci při kritickém nálezu.
Testujete iOS i Android?

TODO: odpověď ve Figmě chybí.

Testujete i aplikace s SSL pinningem nebo obfuskovaným kódem?

TODO: odpověď ve Figmě chybí.

Proč testujete na rootnutém / jailbreaknutém telefonu? Je to realistické?

TODO: odpověď ve Figmě chybí.

Co je certificate pinning?

TODO: odpověď ve Figmě chybí.

Potřebujete zdrojový kód?

TODO: odpověď ve Figmě chybí.

Testujete i backendové API, které aplikace volá?

TODO: odpověď ve Figmě chybí.

Jak dlouho trvá test a kdy dostaneme výsledky?

TODO: odpověď ve Figmě chybí.

Dejte nám vědět!

Domluvte si bezplatnou konzultaci, navrhneme rozsah testu přesně na míru vaší aplikaci a do 24 hodin pošleme nabídku.

Související testy