Dane przechowywane na urządzeniu
Sprawdzamy sposób przechowywania danych, tokenów i innych informacji wrażliwych. Weryfikujemy, czy aplikacja nie ujawnia ich w plikach, logach lub innych miejscach dostępnych poza zamierzonym przepływem.
Android i iOS
Testy aplikacji mobilnych: co zostaje na urządzeniu, a co trafia do backendu?
Badamy zachowanie aplikacji na Androidzie i iOS: przechowywanie danych, sesje, komunikację i integracje z systemem. Raport wyjaśnia znaczenie znalezionych problemów i wskazuje poprawki dla zespołu.
Napisz, którą platformę i wersję aplikacji chcesz zbadać oraz kiedy planujesz test. Wersję testową, dokumentację i dane dostępowe przekażesz później uzgodnionym, bezpiecznym kanałem.
Od 2007 roku rozwijamy doświadczenie w bezpieczeństwie IT.
Ręczna analiza wspierana narzędziami i oceną ryzyka.
Uzgodnione re-testy pomagają sprawdzić wdrożone poprawki.
Zakres testów
Dane na urządzeniu, sesje i połączenia z usługami.
Logowanie i sesje
Weryfikujemy mechanizmy uwierzytelniania, utrzymywania i kończenia sesji oraz zachowanie aplikacji przy zmianie użytkownika lub utracie dostępu.
Komunikacja z API
Sprawdzamy ochronę komunikacji i sposób obsługi żądań oraz odpowiedzi. Jeżeli zakres obejmuje również backend, weryfikujemy egzekwowanie uprawnień i dostęp do danych po stronie serwera.
Funkcje aplikacji i integracje
Analizujemy istotne przepływy, obsługę linków otwierających aplikację oraz wymianę danych z innymi komponentami. Szukamy możliwości wykonania operacji poza przewidzianym scenariuszem.
Przygotowanie
Kiedy warto zaplanować test?
Przed publikacją aplikacji, po istotnej zmianie funkcji, logowania lub integracji, a także w odpowiedzi na wymagania klienta albo w ramach okresowej weryfikacji bezpieczeństwa.
Przed rozpoczęciem określamy, które wersje i funkcje badamy oraz czy do prac należy również backend.
Co pomoże ustalić zakres i wycenę?
- Platformy i wersje aplikacjiAndroid, iOS lub obie platformy; dostępność wersji przeznaczonych do testów.
- Funkcje i role użytkownikówNajważniejsze operacje, rodzaje kont oraz dane przetwarzane przez aplikację.
- Backend i integracjeInformacja, z jakich API i usług korzysta aplikacja oraz czy mają być objęte testem.
- Środowisko i terminDostępność środowiska testowego, ograniczenia organizacyjne i oczekiwany termin realizacji.
Nie musisz mieć gotowej specyfikacji. Na początek wystarczy krótki opis aplikacji i powodu testu.
Porozmawiajmy o teścieCo otrzymujesz po teście
Raport, który pomaga zaplanować i wdrożyć poprawki.
Każde ustalenie opisujemy w kontekście badanego systemu: jak powstaje problem, co może umożliwić i jak go usunąć. Ocena ryzyka i priorytety pomagają zespołowi ułożyć prace naprawcze.
Zanonimizowany przykładowy raport załączamy do ofert przygotowywanych po ustaleniu zakresu testu.
- Potwierdzone ustaleniaOpis podatności, warunków jej wystąpienia i kroków pozwalających odtworzyć problem.
- Wpływ i możliwa ścieżka atakuWyjaśnienie, do czego błąd może prowadzić w badanym systemie.
- Ocena ryzyka i priorytetyPodstawa do ustalenia kolejności prac.
- Rekomendacje dla zespołu technicznegoWskazówki, które można przełożyć na zadania naprawcze.
- Podsumowanie dla osób decyzyjnychZwięzły obraz ustaleń i ich znaczenia dla organizacji.
- Uzgodnione re-testySprawdzenie wdrożonych poprawek na zasadach ustalonych z klientem.
Jak pracujemy
Od pierwszej rozmowy do sprawdzenia uzgodnionych poprawek.
W każdym etapie wiadomo, co przygotować, co badamy i jak wykorzystać wyniki.
Poznajemy system
Pytamy o system, powód testu, oczekiwany termin i decyzje, które mają wesprzeć wyniki.
Planujemy badanie
Określamy granice testu, środowisko, role, dostęp i dopuszczalne scenariusze.
Przygotowujemy dostęp
Wybieramy kanał komunikacji i bezpieczny sposób przekazania dokumentacji oraz danych dostępowych.
Testy
Ręcznie analizujemy system, korzystamy z narzędzi pomocniczych i sprawdzamy możliwe scenariusze ataku.
Raport i omówienie
Przekazujemy opis ustaleń, ocenę ryzyka i rekomendacje. Wyjaśniamy je zespołowi technicznemu.
Re-testy
Po wdrożeniu poprawek sprawdzamy je ponownie na wcześniej uzgodnionych zasadach.
Pytania przed testem
Co warto wiedzieć przed rozmową?
Czy test aplikacji mobilnej obejmuje również API?
Nie automatycznie. Przed rozpoczęciem ustalamy, czy testujemy aplikację, backend, czy oba elementy. Weryfikacja aplikacji nie zastępuje sprawdzenia uprawnień i logiki operacji po stronie serwera.
Czy Android i iOS wymagają osobnej weryfikacji?
Tak — różnią się mechanizmami platformy, sposobem przechowywania danych i integracją z systemem. Wspólny backend może stanowić wspólną część zakresu, ale ustalenia dla jednej wersji aplikacji nie potwierdzają bezpieczeństwa drugiej.
Jak przekazać aplikację do testów?
Sposób udostępnienia wersji testowej, kont i dokumentacji uzgadniamy podczas przygotowania. Nie przesyłaj danych dostępowych ani materiałów poufnych w pierwszym formularzu kontaktowym.
Czy potrzebny jest dostęp do kodu źródłowego?
Nie zawsze. To, jakie materiały będą potrzebne, zależy od pytań, na które ma odpowiedzieć test. Kod może pomóc w głębszej analizie, lecz nie jest wymagany w każdym podejściu.
Ile trwa test penetracyjny?
Czas zależy od wielkości i złożoności systemu, liczby ról oraz planowanych scenariuszy. Harmonogram przygotujemy po poznaniu systemu i granic badania.
Co dzieje się po przekazaniu raportu?
Omawiamy ustalenia z zespołem technicznym. Po wdrożeniu poprawek pozostajemy z klientem do zakończenia uzgodnionych re-testów. Ich warunki i obszary określamy wspólnie.
Co stanie się po wysłaniu zapytania?
Odpowiemy, jakich informacji potrzebujemy do przygotowania propozycji. Omówimy system, powód testu, środowisko i dostęp. Dokumentację oraz dane dostępowe przekażesz później uzgodnionym, bezpiecznym kanałem.
Porozmawiajmy o teście przed wyceną.
Wystarczy opis systemu, powodu testu i oczekiwanego terminu. W odpowiedzi wskażemy informacje potrzebne do przygotowania propozycji.