Android Security Verification (MASVS)
Android security verification against OWASP MASVS
تُقيّم خدمة التحقّق من أمن Android لدينا تطبيقات Android وفق معيار OWASP Mobile Application Security Verification Standard (MASVS)، مستخدِمةً دليل Mobile Application Security Testing Guide (MASTG) منهجاً للاختبار. نعمل عبر مجموعات ضوابط MASVS — التخزين الآمن، والتشفير، والمصادقة، واتصالات الشبكة، والتفاعل مع المنصّة، وجودة الكود، والصمود، والخصوصية — جامعين بين التحليل الساكن للتطبيق وبنائه والتحليل الديناميكي على جهاز فعلي. والنتيجة ليست مخرجات فاحص آلي، بل تحقّق ضابطاً بضابط يبيّن أين يفي التطبيق بالمعيار وأين لا يفي وما الذي ينبغي تغييره.
ما الذي تتضمّنه الخدمة
MASVS-STORAGE: كيفية تخزين البيانات الحسّاسة وتسجيلها في السجلّات وتخزينها مؤقتاً ونسخها احتياطياً
MASVS-CRYPTO: استخدام التشفير وإدارة المفاتيح
MASVS-AUTH: المصادقة والتفويض وإدارة الجلسات
MASVS-NETWORK: بروتوكول TLS والتحقّق من الشهادات وتثبيتها (pinning)
MASVS-PLATFORM: اتصالات IPC، والمكوّنات المُصدَّرة (exported)، وعناصر WebView، وروابط deep link
MASVS-CODE: جودة الكود وإعدادات البناء ومكتبات الأطراف الثالثة
MASVS-RESILIENCE: مقاومة العبث، وكشف صلاحيات الجذر (root)، والتعمية (obfuscation) (المستوى L2/R)
MASVS-PRIVACY: ما البيانات التي تُجمع وكيف تغادر الجهاز
التحليل الساكن لملفّ APK/AAB، وللكود المصدري عند توفّره
التحليل الديناميكي على جهاز فعلي، بما يشمل قياس السلوك في زمن التشغيل
مصفوفة امتثال MASVS ضابطاً بضابط
كيف يعمل
- ملخّص تنفيذي مع نظرة عامة على امتثال MASVS
- تقرير فنّي مفصّل وفق دليل MASTG
- مصفوفة امتثال MASVS ضابطاً بضابط (مجتاز / راسب / غير منطبق، مع الأدلّة)
- كلّ إخفاق مع إثبات مفهوم قابل لإعادة الإنتاج ودرجة خطورة وفق CVSS
- تحليل الفجوات وخارطة طريق للمعالجة مرتّبة بحسب الأولوية
- توثيق يدعم ادّعاء استيفاء ملفّ MASVS
- إعادة التحقّق بعد المعالجة
لماذا حافظ سيكيور
الأسئلة الشائعة
تُقيّم تطبيق Android وفق معيار OWASP Mobile Application Security Verification Standard مستخدِمةً MASTG منهجاً للاختبار، فتتحقّق من كلّ مجموعة ضوابط — التخزين، والتشفير، والمصادقة، والشبكة، والمنصّة، والكود، والصمود، والخصوصية — وتُبيّن أين يفي التطبيق بالمعيار وأين لا يفي.
MASVS هو المعيار: قائمة المتطلّبات الأمنية التي ينبغي أن يستوفيها تطبيق الجوّال. أمّا MASTG فهو دليل الاختبار: التقنيات العملية وحالات الاختبار المستخدَمة للتحقّق من تلك المتطلّبات. نحن نتحقّق وفق MASVS ونختبر باستخدام MASTG.
المستوى L1 هو المجموعة القياسية من الضوابط التي ينبغي أن يستوفيها كلّ تطبيق؛ ويضيف المستوى L2 ضوابط الدفاع في العمق للتطبيقات التي تتعامل مع بيانات حسّاسة؛ ويضيف المستوى R (الصمود) ضوابط ضدّ الهندسة العكسية والعبث، وهو مهمّ حين يجب أن يقاوم التطبيق نفسه مهاجماً مصمِّماً. ونختار الملفّ معكم أثناء تحديد النطاق.
كحدٍّ أدنى بناء بتهيئة الإصدار (APK أو AAB) وحساب اختبار. والوصول إلى الكود المصدري وتهيئة البناء يجعل التحليل الساكن أعمق وأسرع (اختبار الصندوق الرمادي أو الأبيض). نحن نختبر على أجهزتنا الخاصة؛ وإذا كان التطبيق يستهدف عتاداً محدّداً أو أسطول أجهزة داخلياً، فأخبرونا أثناء تحديد النطاق.
نستخدم النوعين معاً. فالجهاز ذو صلاحيات الجذر المزوَّد بأدوات القياس يتيح لنا فحص التخزين والذاكرة وحركة البيانات للتحقّق من الضوابط بدقّة؛ ونختبر كذلك على جهاز قياسي لتأكيد السلوك الذي يراه المستخدمون الفعليون. وفي أعمال الصمود (R)، يُعدّ تجاوز كشف صلاحيات الجذر جزءاً من الاختبار، لا طريقاً مختصراً للالتفاف عليه.
يغطّي MASVS التطبيق على الجهاز واتصالاته الشبكية، لكنّ كثيراً من مخاطر الجوّال تكمن في الـ API الذي خلفه. ونوصي بإقران ذلك بتقييم لواجهة الـ API؛ ولهذا السبب تحديداً تتوفّر مهمّة مجمَّعة للجوّال والـ API معاً.
يحصل كلّ ضابط راسب على درجة CVSS كأساس مشترك، تُعدَّل بحسب الأثر الفعلي في سياقكم — أيّ بيانات يكشفها ومدى سهولة الوصول إليه. وقد يرسب ضابط في المعيار ويبقى منخفض الخطورة، أو يجتاز تقنياً لكنّه يترك فجوة فعلية؛ والتقرير يوضّح هذا التمييز صراحةً.
نعم. بعد معالجتكم، نعيد التحقّق من الضوابط الراسبة للتأكّد من ثبات كلّ إصلاح، ونحدّث حالتها في مصفوفة الامتثال.
يعتمد ذلك على الملفّ وتعقيد التطبيق؛ وعادةً ما يستغرق التحقّق الشامل نحو أسبوعين إلى ثلاثة أسابيع. ونقدّم تقديراً محدّداً بعد تحديد النطاق.
خدمات ذات صلة
خدمات تكميلية قد تكون مفيدة لكم