iOS Security Assessment (MSTG)
iOS application security assessment following OWASP MSTG
يقيّم تقييم أمن iOS تطبيق iOS في مقابل معيار OWASP MASVS ودليل اختباره MASTG (المعروف سابقاً بـ MSTG). نعمل عبر مجموعات ضوابط MASVS — التخزين، والتشفير، والمصادقة، والشبكة، والتفاعل مع المنصّة، وجودة الشيفرة، والصمود — مع التركيز الخاص بـ iOS الذي يهمّ: Keychain وData Protection، وSecure Enclave وFace ID/Touch ID، وApp Transport Security وتثبيت الشهادات (pinning)، والاتصال بين العمليات عبر URL scheme وuniversal link، والصمود في وجه jailbreak والعبث. ندمج التحليل الساكن للتطبيق مع التحليل الديناميكي على جهاز، ونتابع كل اكتشاف حتى إثبات عملي، ونقيّم شدّته بـ CVSS إلى جانب الأثر الحقيقي على الأعمال.
ما الذي يشمله
التخزين المحلي: Keychain، وفئات Data Protection، وتسرُّب الأسرار إلى ملفات plist أو السجلّات أو الحافظة (pasteboard) أو النسخ الاحتياطية
التشفير: استخدام Secure Enclave، وإدارة المفاتيح، وعدم وجود مفاتيح ثابتة في الشيفرة أو خوارزميات ضعيفة
المصادقة والقياسات الحيوية: Face ID/Touch ID المربوطة بـ Secure Enclave، والفرض محلياً في مقابل جهة الخادم
الشبكة: App Transport Security، وتهيئة TLS، وتثبيت الشهادات (pinning)
التفاعل مع المنصّة: URL scheme، وuniversal link، والاتصال بين العمليات، وWebView، وكشف الحافظة (pasteboard)
جودة الشيفرة: مكتبات الأطراف الثالثة القديمة والمكوّنات ذات الثغرات المعروفة
الصمود: كشف jailbreak، ومكافحة العبث، ومكافحة التنقيح، ومدى صمودها فعلاً
التحليل الساكن لملف IPA والتحليل الديناميكي على جهاز (أدوات التحليل في زمن التشغيل)
سطح الـ backend وAPI الذي يعتمد عليه التطبيق، ضمن النطاق بالاتفاق
كيف يعمل
- ملخّص تنفيذي مع نظرة عامة على المخاطر لصنّاع القرار
- تقرير فني مفصّل، كل اكتشاف فيه بإثبات مفهوم قابل لإعادة الإنتاج
- ربط الاكتشافات بمجموعات ضوابط OWASP MASVS
- شدّة CVSS والأثر على الأعمال لكل اكتشاف
- ملخّص التغطية في مقابل مستويات التحقق في MASVS
- إرشادات تحصين iOS عبر التخزين والتشفير والشبكة والمنصّة
- خارطة طريق معالجة مرتَّبة حسب الأولوية بخطوات ملموسة
- إعادة الاختبار بعد المعالجة
لماذا حافظ سيكيور
الأسئلة الشائعة
يقيّم تطبيق iOS بحثاً عن نقاط الضعف الأمنية — التخزين غير الآمن، والتشفير الضعيف، والمصادقة والقياسات الحيوية المعيبة، وحماية الشبكة الضعيفة، والتفاعلات غير الآمنة مع المنصّة، والصمود الهزيل — مقيساً في مقابل OWASP MASVS ودليل اختباره MASTG، مع إثبات كل اكتشاف وتقييمه.
MASVS هو معيار OWASP لما يجب أن يفعله تطبيق الجوّال الآمن، مصنَّفاً إلى مجالات ضوابط ومستويات تحقق. أما MASTG فهو دليل الاختبار الذي يبيّن كيفية التحقق من تلك الضوابط؛ وهو الاسم الحالي لما كان يُسمَّى MSTG. نقيّم في مقابل MASVS ونختبر بـ MASTG.
يوفّر iOS كلاً من Keychain للأسرار وفئات Data Protection التي تربط تشفير الملفات بكون الجهاز غير مقفل. نتحقّق من أن البيانات الحساسة تستخدمها على نحو صحيح ولا تتسرّب إلى مكان آخر — إلى ملفات plist أو السجلّات أو الحافظة (pasteboard) أو لقطات الشاشة أو النسخ الاحتياطية غير المشفَّرة — وهو الموضع الذي يحدث فيه كشف بيانات الجوّال في الأغلب.
السؤال هو هل تحرس القياسات الحيوية شيئاً حقيقياً أم أنها مجرد فحص في واجهة المستخدم. فإذا أُحسِن تنفيذها، فإن نجاح القياس الحيوي يفتح مفتاحاً محفوظاً في Secure Enclave؛ وإذا أُسيء تنفيذها، اكتفى التطبيق بعرض مطالبة وتابع إذا أعادت نجاحاً، وهو ما يمكن لأدوات التحليل في زمن التشغيل تجاوزه. نختبر أيّهما الحاصل، وهل تُفرَض الإجراءات الحساسة على الخادم أيضاً.
إنه دفاع في العمق، لا بديل عن الضوابط الأخرى. كشف jailbreak ومكافحة العبث ومكافحة التنقيح ترفع الجهد المطلوب من المهاجم، لكن المهاجم المصمّم يستطيع تجاوزها؛ لذا يجب أن تجلس فوق تخزينٍ وتشفيرٍ وتفويضٍ سليم على جهة الخادم، لا أن تحلّ محلّها. نختبر إلى أي مدى تصمد هذه الدفاعات، والأهم، ما الذي ينكشف بمجرد تجاوزها.
التطبيق كملف IPA أو نسخة TestFlight، وحسابات اختبار لكل دور، والاتفاق على ما إذا كان الـ backend وAPIs ضمن النطاق. يجعل الوصول إلى الشيفرة المصدرية (مهمة صندوق أبيض أو رمادي) المراجعة أعمق وأسرع، لكن يمكننا الاختبار من التطبيق المُصرَّف وحده أيضاً. نتّفق على النطاق قبل أن نبدأ.
يحصل كل اكتشاف على درجة CVSS كأساس مشترك، تُعدَّل بالأثر الفعلي في سياقكم: أي بيانات أو إجراء يكشفه، وهل يحتاج إلى جهاز jailbroken أو وصول مادي. ولهذا قد تُرتَّب فجوة تحصين ونقص كاشف للبيانات لهما درجة CVSS نفسها بأولويتين مختلفتين.
نعم. بعد المعالجة، نعيد اختبار الاكتشافات المبلَّغ عنها للتأكّد من ثبات كل إصلاح وأنه لم يُدخِل مشكلة جديدة، ونحدّث حالتها في التقرير.
يعتمد على حجم التطبيق والميزات التي يستخدمها وما إذا كان الـ backend ضمن النطاق؛ ويستغرق التقييم المعتاد نحو أسبوعين إلى أربعة أسابيع. نقدّم تقديراً محدداً بعد تحديد النطاق.
خدمات ذات صلة
خدمات تكميلية قد تكون مفيدة لكم