iOS e Android

Teste de intrusão a aplicações móveis iOS e Android

A aplicação que instalou na loja está no telemóvel de quem a quer atacar. Tudo o que ficou no binário, no armazenamento local ou numa API sem verificação está a um emulador de distância.

Duração típica: 2 a 3 semanas por plataforma.

Cobertura

O que analisamos numa aplicação móvel

Seguimos o OWASP MASVS e acrescentamos o que mais importa: o backend que a aplicação consome e que raramente é testado com o mesmo cuidado.

Armazenamento em dispositivo

Tokens, dados pessoais e cópias de segurança guardados sem proteção adequada em Keychain, Keystore, bases de dados locais e ficheiros de preferências.

Comunicação com o servidor

Validação de certificados, certificate pinning e a possibilidade de o contornar, mais tudo o que a aplicação envia sem necessidade.

APIs de suporte

As APIs que servem a aplicação móvel são testadas com o mesmo rigor de uma aplicação web: autorização por objeto, limitação de taxa e exposição de dados.

Proteção do binário

Segredos incorporados, chaves em texto claro, ofuscação, deteção de root e jailbreak, e o custo real de a contornar.

Autenticação e biometria

Fluxos com Face ID e impressão digital que se contornam do lado do cliente, tokens que não expiram e sessões que sobrevivem à desinstalação.

Superfície entre aplicações

Deep links, esquemas de URL personalizados, exported activities em Android e partilha de dados via pasteboard ou notificações.

Conformidade

Enquadramento para aplicações móveis em Portugal

RGPD

Aplicações móveis recolhem localização, contactos e identificadores de dispositivo. Verificamos o que é realmente transmitido e comparamos com o que a sua política de privacidade declara — a divergência entre os dois é um dos achados mais frequentes e dos mais fáceis de corrigir.

OWASP MASVS

Reportamos por requisito MASVS e pelo nível de verificação acordado, o que permite comparar versões da mesma aplicação ao longo do tempo e demonstrar evolução perante clientes empresariais.

DORA e Banco de Portugal

Aplicações de banca e pagamentos em Portugal fazem parte do perímetro de resiliência operacional digital. Testamos o fluxo completo, do ecrã de autenticação até à API que autoriza a operação.

PCI DSS

Se a aplicação recolhe ou encaminha dados de cartão, verificamos o tratamento em memória, o que é escrito em disco e o que sai em registos de diagnóstico enviados para serviços de terceiros.

Perguntas frequentes

Dúvidas sobre testes a aplicações móveis

Também lhe pode interessar

Teste a aplicação antes da próxima atualização

Envie-nos o binário e as contas de teste. Devolvemos âmbito, prazo e valor fixo sem qualquer compromisso.

Pedir orçamento