iOS e Android
Teste de intrusão a aplicações móveis iOS e Android
A aplicação que instalou na loja está no telemóvel de quem a quer atacar. Tudo o que ficou no binário, no armazenamento local ou numa API sem verificação está a um emulador de distância.
Duração típica: 2 a 3 semanas por plataforma.
Cobertura
O que analisamos numa aplicação móvel
Seguimos o OWASP MASVS e acrescentamos o que mais importa: o backend que a aplicação consome e que raramente é testado com o mesmo cuidado.
Armazenamento em dispositivo
Tokens, dados pessoais e cópias de segurança guardados sem proteção adequada em Keychain, Keystore, bases de dados locais e ficheiros de preferências.
Comunicação com o servidor
Validação de certificados, certificate pinning e a possibilidade de o contornar, mais tudo o que a aplicação envia sem necessidade.
APIs de suporte
As APIs que servem a aplicação móvel são testadas com o mesmo rigor de uma aplicação web: autorização por objeto, limitação de taxa e exposição de dados.
Proteção do binário
Segredos incorporados, chaves em texto claro, ofuscação, deteção de root e jailbreak, e o custo real de a contornar.
Autenticação e biometria
Fluxos com Face ID e impressão digital que se contornam do lado do cliente, tokens que não expiram e sessões que sobrevivem à desinstalação.
Superfície entre aplicações
Deep links, esquemas de URL personalizados, exported activities em Android e partilha de dados via pasteboard ou notificações.
Conformidade
Enquadramento para aplicações móveis em Portugal
RGPD
Aplicações móveis recolhem localização, contactos e identificadores de dispositivo. Verificamos o que é realmente transmitido e comparamos com o que a sua política de privacidade declara — a divergência entre os dois é um dos achados mais frequentes e dos mais fáceis de corrigir.
OWASP MASVS
Reportamos por requisito MASVS e pelo nível de verificação acordado, o que permite comparar versões da mesma aplicação ao longo do tempo e demonstrar evolução perante clientes empresariais.
DORA e Banco de Portugal
Aplicações de banca e pagamentos em Portugal fazem parte do perímetro de resiliência operacional digital. Testamos o fluxo completo, do ecrã de autenticação até à API que autoriza a operação.
PCI DSS
Se a aplicação recolhe ou encaminha dados de cartão, verificamos o tratamento em memória, o que é escrito em disco e o que sai em registos de diagnóstico enviados para serviços de terceiros.
Perguntas frequentes
Dúvidas sobre testes a aplicações móveis
Também lhe pode interessar
Teste a aplicação antes da próxima atualização
Envie-nos o binário e as contas de teste. Devolvemos âmbito, prazo e valor fixo sem qualquer compromisso.
Pedir orçamento