Mobile + API Combined Assessment
Comprehensive assessment covering both mobile app and backend API
تقييمنا المجمَّع للجوّال والـ API يختبر تطبيق جوّال والواجهة الخلفية (API) التي يتحدّث إليها بوصفهما نظاماً واحداً، من طرف إلى طرف. يُختبر التطبيق بـ OWASP MASVS وMASTG؛ وتُختبر الواجهة الخلفية بـ OWASP API Security Top 10. ويقع معظم الضرر الفعلي عند الحدّ الفاصل بينهما — رمز (token) يثق به التطبيق أكثر من اللازم، أو معرّف كائن لا يتحقّق الخادم من ملكيته، أو وظيفة يخفيها التطبيق لكنّ الـ API ما زال يكشفها. نختبر كلّ جانب ثمّ التدفّقات التي تعبر الحدّ: كيف يُصادِق التطبيق، وما الذي يرسله، وما إذا كان الـ API يفرض القواعد نفسها التي يبدو أنّ التطبيق يفرضها. ويُتابَع كلّ نتيجة حتى إثبات عملي، وتُصنَّف وفق CVSS إلى جانب أثرها الفعلي، وتُوثَّق مع إصلاح ملموس.
ما الذي تتضمّنه الخدمة
اختبار تطبيق الجوّال وفق OWASP MASVS وMASTG: التخزين والتشفير والمنصّة والشبكة والصمود
اختبار الواجهة الخلفية (API) وفق OWASP API Security Top 10
تفويض معطوب على مستوى الكائن (BOLA): هل يستطيع مستخدم بلوغ كائنات مستخدم آخر بتغيير معرّف؟
مصادقة معطوبة ورموز (tokens) ضعيفة أو قابلة للتزوير
تفويض معطوب على مستوى الوظيفة وعلى مستوى خصائص الكائن — إجراءات أو حقول يخفيها التطبيق لكنّ الـ API ما زال يسمح بها
استهلاك غير مقيَّد للموارد وغياب تحديد المعدّل
تدفّق المصادقة والرموز (tokens) بين التطبيق والـ API، بما في ذلك التجديد وتسجيل الخروج
التحقّق من الشهادات وتثبيتها (pinning)، وحركة البيانات القابلة للاعتراض أو إعادة التشغيل
الأسرار ومفاتيح الـ API المضمَّنة في التطبيق
التهيئة الأمنية الخاطئة والجرد غير السليم لنقاط نهاية الـ API وإصداراته
كيف يعمل
- ملخّص تنفيذي مع نظرة عامة مجمَّعة على المخاطر لصنّاع القرار
- تقرير فنّي مفصّل، كلّ نتيجة مع إثبات مفهوم قابل لإعادة الإنتاج
- نتائج جانب التطبيق مربوطة بـ OWASP MASVS
- نتائج جانب الـ API مربوطة بـ OWASP API Security Top 10
- نتائج التكامل عند الحدّ الفاصل — تدفّق الرموز (tokens) والنقل والفرض على جانب الخادم
- درجة خطورة CVSS والأثر على العمل لكلّ نتيجة
- خارطة طريق للمعالجة مرتّبة بحسب الأولوية عبر التطبيق والـ API
- إعادة اختبار بعد المعالجة
لماذا حافظ سيكيور
الأسئلة الشائعة
يختبر تطبيق جوّال وواجهته الخلفية (API) بوصفهما نظاماً واحداً. يُختبر التطبيق بـ OWASP MASVS وMASTG، والـ API بـ OWASP API Security Top 10، ثمّ التدفّقات التي تعبر الحدّ بينهما — المصادقة والرموز (tokens) والفرض على جانب الخادم — مع إثبات كلّ نتيجة وتصنيفها.
أشدّ المشكلات ضرراً تكمن عند الحدّ الفاصل. فواجهة التطبيق تخفي إجراءات وحقولاً، فيفوتها اختبار يُشغّل التطبيق وحده — لكنّ الـ API ما زال يكشفها. واختبار الاثنين معاً يتيح لنا إرسال طلبات التطبيق نفسها مباشرةً والتحقّق ممّا إذا كان الخادم يفرض القواعد التي يبدو أنّ التطبيق يفرضها.
التفويض المعطوب على مستوى الكائن هو أن يُعيد الـ API كائناً أو يغيّره بناءً على معرّف في الطلب دون التحقّق من أنّ المستدعي يملكه. غيّروا المعرّف تبلغوا بيانات شخص آخر. وهو الخطر الأول للـ API، لذا نختبره مباشرةً بحساب ثانٍ في مواجهة الأول.
يمكننا العمل بالصندوق الأسود من الخارج، أو الصندوق الرمادي مع حسابات اختبار ووثائق الـ API، أو الصندوق الأبيض مع الوصول إلى الكود المصدري. والخيار المعتاد هو الصندوق الرمادي؛ ويمنح الصندوق الأبيض أعمق تغطية. وفي الحالين نطلب حسابين على الأقلّ لكلّ دور كي نختبر مستخدماً في مواجهة آخر.
نفضّل بيئة staging ببيانات تمثيلية، لأنّ اختبار الـ API يرسل طلبات كثيرة ويفحص حدود التفويض. وحيث يتعيّن أن يمسّ الاختبار بيئة الإنتاج، نتّفق على الحدود مسبقاً ونتجنّب أيّ إجراء متلِف أو كبير الحجم.
نختبر الـ API الذي يستخدمه التطبيق فعلاً، سواء أكان REST أم GraphQL أم أسلوباً آخر. ومخاطر التفويض والمصادقة في API Security Top 10 تنطبق على جميع الأساليب؛ أمّا طريقة اختبارنا لها فتتكيّف مع الواجهة.
تحصل كلّ نتيجة على درجة CVSS كأساس مشترك، تُعدَّل بحسب الأثر الفعلي في نظامكم — ما الذي يبلغه المهاجم، وبأيّ سهولة، وأيّ بيانات أو حسابات في خطر. ولهذا قد تُرتَّب مشكلتان لهما الدرجة نفسها على CVSS بأولويتين مختلفتين.
نعم — بعد معالجتكم، نعيد اختبار النتائج المُبلَّغة على كلٍّ من التطبيق والـ API للتأكّد من ثبات كلّ إصلاح. وتعتمد المدّة على حجم التطبيق وعدد نقاط نهاية الـ API، ونقدّم تقديراً محدّداً بعد تحديد النطاق.
نحدّد نقاط النهاية والخدمات الداخلة في التقييم مسبقاً. واختبار خدمات أكثر يزيد الجهد، لذا نتّفق على الحدود قبل أن نبدأ ونعكسها في التقدير — ولا يُختبر شيء خارج النطاق المتَّفق عليه.
خدمات ذات صلة
خدمات تكميلية قد تكون مفيدة لكم