محورهای اصلی ارزیابی امنیت موبایل

• امنیت ذخیره‌سازی داده‌ها: (Local Storage) بررسی دقیق حافظه محلی دستگاه به‌منظور اطمینان از عدم ذخیره اطلاعات حساس، توکن‌های احراز هویت (JWT)، گذرواژه‌ها یا اطلاعات هویتی کاربران به صورت متن آشکار (Plaintext) در ساختارهایی مثل SQLite، و دیگر storage های سیستم (SharedPreferences / UserDefaults) و Keychain/Keystor. در این ارزیابی، سناریوهای دسترسی فیزیکی به دستگاه یا آلودگی به بدافزار نیز بررسی می‌شود؛ چراکه مهاجمان در چنین شرایطی می‌توانند فایل‌ها و داده‌های ذخیره‌شده را استخراج و سوءاستفاده کنند.
• مقاومت در برابر محیط‌های آلوده (Root/Jailbreak Detection) : در دستگاه‌های روت‌شده یا جیلبریک‌شده، لایه‌های امنیتی سیستم‌عامل تضعیف شده و دسترسی ریشه (Root) در اختیار مهاجم قرار می‌گیرد. یک اپلیکیشن امن باید به مکانیزم‌های خودکنترلی هوشمند مجهز باشد؛ ما سنجش مکانیسم‌های هوشمند اپلیکیشن را در مواجهه با این محیط‌های ناامن با استفاده از ابزارهای پویایی نظیر Frida و Objection ارزیابی می‌کنیم تا میزان پایداری سدهای دفاعی برنامه را در زمان اجرا (Runtime) بسنجیم.

در این ارزیابی، عملکرد مکانیزم‌های امنیتی اپلیکیشن در محیط‌های آلوده و ناامن، با بهره‌گیری از ابزارهای تحلیل پویا نظیر Frida و Objection بررسی می‌شود تا میزان مقاومت و پایداری مکانیزم‌های دفاعی برنامه در زمان اجرا (Runtime) سنجیده شود.

• تست ترافیک و دور زدن پینینگ (SSL Pinning Bypass):  توسعه‌دهندگان به‌منظور جلوگیری از حملات مرد میانی (MitM) و شنود ترافیک، از SSL Pinning استفاده می‌کنند. متخصصان ما با بهره‌گیری از تکنیک‌های پیشرفته قلاب‌اندازی در حافظه (Memory Hooking)، تلاش می‌کنند این مکانیزم‌ها را در شرایط واقعی ارزیابی و خنثی سازی کنند تا امکان تحلیل ترافیک اپلیکیشن فراهم شود. این فرآیند، امکان بررسی عمیق آسیب‌پذیری‌های موجود در وب‌سرویس‌ها و APIهای متصل به سرور را فراهم کرده و ارزیابی جامعی از امنیت لایه بک‌اند (Back-End) ارائه می‌دهد.

متدولوژی‌های ارزیابی امنیت موبایل (SAST & DAST)

ما به‌منظور تضمین بالاترین سطح کیفیت در پروژه‌های ارزیابی امنیت اپلیکیشن های موبایل، فرآیند تست نفوذ را بر اساس استانداردهای معتبر بین‌المللی، ازجمله (OWASP MASVS)، در دو لایه مجزا و مکمل می‌بریم  اجرا می کنیم:

۱. تحلیل ایستای امنیت اپلیکیشن (SAST)

در روش Static Application Security Testing، متخصصان ما بدون نیاز به اجرای اپلیکیشن ، به تحلیل و کالبدشکافی سورس‌کد یا باینری برنامه پرداخته و آسیب‌پذیری‌های ساختاری، ، ضعف‌های امنیتی و ریسک‌های پنهان در لایه‌های مختلف نرم‌افزار را شناسایی می‌کنند:

• کشف اسرار هاردکد شده (Hardcoded Secrets): جستجوی عمیق به‌منظور شناسایی کلیدهای API، توکن‌های دسترسی و آدرس‌ سرورهای توسعه که به‌صورت هاردکد شده در برنامه قرار گرفته‌اند. این اطلاعات می‌توانند به‌عنوان نقطه ورود مهاجمان برای نفوذ به زیرساخت‌های شبکه، سرویس‌ها و سرورهای داخلی سازمان مورد سوءاستفاده قرار گیرند.
• بررسی امنیت رمزنگاری محلی: تحلیل الگوریتم‌های و مکانیزم‌های رمزنگاری مورد استفاده برای حفاظت از داده‌ها و با هدف اطمینان از عدم استفاده از روش‌های منسوخ‌شده و آسیب‌پذیر (مانند MD5 یا SHA-1 ). در این فاز مرحله ، متخصصان ما با بهره‌گیری از ابزارهای پیشرفته دکامپایل و مهندسی معکوس(مانند JADX، IDA Pro  و Ghidra) ساختار و منطق امنیتی اپلیکیشن را تحلیل می‌کنند. این ابزارها در فرآیند ارزیابی امنیت اپلیکیشن‌های دسکتاپ و نرم‌افزارهای ویندوزی نیز برای کالبدشکافی باینری‌ها مورد استفاده قرار می‌گیرند.
• تحلیل جریان داده (Data Flow Analysis) : ردیابی مسیر داده ها و  ورودی‌های کاربر از مبدا تا مقصد، با هدف شناسایی پتانسیل حملاتی نظیر تزریق کد (Injection) و سرریز بافر.

۲. تحلیل پویای امنیت اپلیکیشن (DAST)

در روش Dynamic Application Security Testing، اپلیکیشن در یک محیط واقعی و در حین اجرا مورد ارزیابی قرار می‌گیرد تا رفتار آن در تعامل با حافظه  (RAM)، سیستم‌عامل و شبکه به‌صورت دقیق تحلیل شود.

• دستکاری حافظه در زمان اجرا (Runtime Manipulation): استفاده از تکنیک‌های تزریق کد به حافظه به‌منظور ارزیابی امکان دور زدن مکانیزم‌های امنیتی (مانند احراز هویت بیومتریک، اثر انگشت یا قفل‌های برنامه). با گسترش استفاده از پلتفرم‌های موبایل در صنایع ، بسیاری از اپلیکیشن‌ها به عنوان کلاینت کنترلی یا پورتال مانیتورینگ برای تجهیزات SCADA و سیستم‌های کنترل صنعتی (OT)] مورد استفاده قرار می‌گیرند ؛ از این‌رو، تست دستکاری حافظه در این سطح اهمیت دوچندانی یافته است.
• امنیت داده‌های در حال (Data-in-Transit): مانیتورینگ زنده ترافیک شبکه و بسته‌های تبادلی با هدف اطمینان از پیاده‌سازی صحیح پروتکل‌های امنیتی ارتباطی. این ارزیابی مشخص می‌کند که در صورت رمزگشایی ترافیک توسط مهاجم، آیا لایه‌های دفاعی محیطی سازمان ، ازجمله تجهیزات فایروال و امنیت زیرساخت (WAF)] توانایی شناسایی و فیلتر کردن درخواست‌های مخرب ارسالی از موبایل را دارند یا خیر.
• ابزارهای شاخص این فاز: Frida، Objection و Burp Suite Professional.