Sızma Testleri
Mobil Uygulama Sızma Testi
iOS ve Android uygulamalarınızı cihaz, ağ trafiği ve arkasındaki API'lerle birlikte test ediyoruz. Uygulamanın hassas veriyi nerede bıraktığını ve hangi korumaların aşılabildiğini gösteriyoruz.
Nedir?
Mobil uygulama sızma testi, uygulamanın sizin kontrolünüz dışındaki bir cihazda çalıştığını varsayar. Cihazda saklanan veri, sunucuyla iletişim ve uygulamanın kendi korumaları incelenir. Uygulamanın kullandığı API'ler de aynı çalışmada test edilir. Yöntem OWASP MASVS ve MASTG'ye dayanır.
Kapsam
- Cihazda saklanan veri, anahtarlar ve oturum bilgileri
- Sunucuyla iletişim ve sertifika sabitleme (pinning)
- Biyometrik giriş, yerel kimlik doğrulama ve oturum süresi
- Root ve jailbreak tespiti, kod gizleme ve bütünlük kontrolleri
- Uygulamanın arkasındaki API'lerde yetkilendirme
- Derin bağlantılar (deep link) ve diğer uygulamalarla veri paylaşımı
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Yeni bir mobil bankacılık, sigorta veya sağlık uygulaması mağazaya gönderilmeden önce.
- Ödeme, para transferi veya kimlik doğrulama akışını değiştiren büyük bir sürümden önce.
- Bir dış ajansın geliştirdiği uygulamayı teslim almadan önce bağımsız bir değerlendirme istediğinizde.
Yöntem
Nasıl çalışıyoruz?
-
Kapsam
Uygulama sürümlerini, test hesaplarını ve kapsamdaki API'leri birlikte belirleriz.
-
Statik inceleme
Uygulama paketindeki gömülü anahtarları, izinleri ve yapılandırma hatalarını inceleriz.
-
Dinamik test
Uygulamayı test cihazlarında çalıştırır, saklanan veriyi, trafiği ve korumaları inceleriz.
-
API ve yeniden test
Arkadaki API'leri uygulamadan bağımsız test eder, düzeltmelerden sonra yeniden deneriz.
Sonuç
Çalışmanın sonunda elinizde olan
Uygulamanızın cihazda ve trafikte hangi hassas veriyi korumasız bıraktığını ve hangi korumanın aşılabildiğini bilirsiniz. Bulgular MASVS kontrollerine eşlenmiş olarak elinizdedir.
Sık sorulan sorular
Root ve jailbreak tespiti uygulamamızı korumaz mı?
Bu korumalar saldırganı yavaşlatır ama durdurmaz. Asıl güvenlik, sunucu tarafındaki kontrollere ve cihazda hassas veri bırakılmamasına dayanmalıdır.
Kaynak koda ihtiyacınız var mı?
Gerekli değildir, test mağazaya giden uygulama paketiyle yapılır. Kaynak kod paylaşılırsa bazı bulgular daha hızlı ve daha kesin doğrulanır.
iOS ve Android ayrı ayrı mı test edilir?
Evet, iki platformun veri saklama ve güvenlik modelleri farklıdır. Ortak API'ler ise tek seferde test edilir.
Sızma Testleri
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın