Siber Güvenlik
Mobil Uygulama Güvenlik Testi Nasıl Yapılır?
Mobil uygulamalar neden farklı test edilir?
Mobil uygulama, saldırganın eline tamamen geçen bir yazılımdır: cihaz kullanıcının kontrolündedir, uygulama paketi indirilip incelenebilir. Bu yüzden web testine ek olarak cihaz tarafı riskler de ele alınmalıdır.
Referans standartlar
OWASP Mobile Application Security Verification Standard (MASVS) neyin doğrulanacağını, Mobile Application Security Testing Guide (MASTG) ise nasıl test edileceğini anlatır.
Test başlıkları
- Veri depolama: Token, parola veya kişisel veri düz metin olarak SharedPreferences, NSUserDefaults, SQLite veya loglarda saklanıyor mu? Hassas veriler Android Keystore / iOS Keychain'de olmalıdır.
- Ağ iletişimi: Tüm trafik TLS ile mi? Sertifika doğrulaması doğru yapılıyor mu? Kritik uygulamalarda sertifika sabitleme (pinning) var mı?
- Kimlik doğrulama ve oturum: Oturum süreleri, token yenileme, biyometrik girişin doğru uygulanması.
- API güvenliği: Uygulamanın konuştuğu arka uç; yetkilendirme hataları çoğunlukla burada bulunur.
- Tersine mühendislik: Paket açıldığında gömülü API anahtarı, gizli uç nokta veya iş mantığı görünüyor mu?
- Platform etkileşimi: Android'de dışa açık activity/servisler, derin bağlantılar (deep link), WebView ayarları.
- Kod kalitesi ve bağımlılıklar: Üçüncü parti SDK'ların güncelliği ve izinleri.
Sık karşılaşılan bulgular
- Uygulama içine gömülmüş API anahtarları ve gizli bilgiler
- Hata ayıklama (debug) modunun yayın sürümünde açık kalması
- Token'ların şifresiz saklanması
- Arka uçta yetki kontrolünün yalnızca uygulamaya güvenilerek yapılması
- Loglara kişisel veri yazılması
Önemli bir hatırlatma
Güvenliği sadece uygulamaya emanet etmeyin. İstemci tarafındaki her kontrol aşılabilir; asıl yetki kontrolü sunucuda yapılmalıdır.
Sonuç
iOS ve Android uygulamanızı yayına almadan veya büyük bir güncellemeden önce test ettirmek riski ciddi ölçüde azaltır. siber güvenlik testleri hizmetimiz hakkında bilgi alabilir veya teklif alabilirsiniz.