Reverse engineering
Cosa rivela l’app una volta decompilata: chiavi API, endpoint nascosti, funzioni di debug, segreti hard-coded.
Pentest di app mobile
La vostra app finisce sul telefono di ogni attaccante. Noi la apriamo per primi.
Chiunque può scaricare la vostra app, smontarla e osservare come comunica con i vostri server. Noi facciamo esattamente questo per iOS e Android, e vi diciamo cosa ne ricava un attaccante.
- iOS e Android
- OWASP MASVS
- App più API di backend
In breve
Un penetration test di app mobile esamina un’app iOS o Android e il backend con cui comunica. I tester eseguono il reverse engineering dell’app, controllano cosa salva sul dispositivo, intercettano il traffico di rete e attaccano le API che ha alle spalle, seguendo l’OWASP Mobile Application Security Verification Standard (MASVS). Zyberum testa insieme l’app e la sua API, perché la maggior parte delle vulnerabilità gravi si trova nel backend.
Cosa testiamo
Sul dispositivo e dietro le quinte
Dati sul dispositivo
Cosa viene salvato, dove, e quanto è protetto se il telefono viene smarrito o sottoposto a root.
Traffico di rete
Sicurezza del trasporto, certificate pinning e cosa si può modificare lungo il percorso.
API di backend
Controllo degli accessi e logica di business dell’API: il punto da cui trapelano i dati degli altri utenti.
Autenticazione
Login, biometria, token e il modo in cui le sessioni restano valide.
Comunicazione con il dispositivo
Per le app companion: pairing Bluetooth e comandi verso il vostro dispositivo IoT.
Case study
Quando l’app è la porta d’ingresso
IoTMQTT
Caso di studio: l’irrigazione smart che chiunque poteva comandare
Tramite MQTT abbiamo potuto vedere e attivare i dispositivi di altri clienti e geolocalizzare il punto in cui sono installati.
Abbiamo testato un sistema di irrigazione smart: una configurazione MQTT difettosa ci ha permesso di vedere, comandare e localizzare i dispositivi di altri clienti.
Leggi il case studyIoTSicurezza API
Caso di studio: robot aspirapolvere, root e telecamere altrui
Accesso root completo al dispositivo e accesso alla telecamera WebRTC live di altri utenti tramite l’API cloud.
Abbiamo testato un robot aspirapolvere con telecamera: accesso root al dispositivo e falle nell’API cloud che aprivano la telecamera live di altri utenti.
Leggi il case studyFAQ
FAQ sul pentest mobile
Testate l’app o il backend?
Entrambi. L’app è la mappa, il backend è il posto in cui stanno i dati. Testando solo l’app si perdono le vulnerabilità con l’impatto maggiore.
Vi serve il codice sorgente?
No, basta una build di test. Con il codice sorgente riusciamo ad andare più a fondo nello stesso tempo.
Basta testare una sola piattaforma?
Se iOS e Android usano lo stesso backend, le vulnerabilità delle API valgono per entrambe. I problemi specifici della piattaforma, come lo storage locale, richiedono un test per ciascuna.
Per iniziare
Definite il pentest della vostra app mobile in 15 minuti
Diteci quali piattaforme, cosa fa l’app e quale backend utilizza. Dopo la call ricevete un’offerta a prezzo fisso.
- iOS, Android o entrambi
- Offerta a prezzo fisso dopo la call
- Ci bastano una build di test e account di test
Parlerete conTom ZaubermannFondatore e CEO, Zyberum
Oppure scriveteci
Rispondiamo entro un giorno lavorativo.