اعتبارسنجی امنیت اندروید ما اپلیکیشن‌های اندروید را در برابر استاندارد OWASP Mobile Application Security Verification Standard (MASVS) می‌سنجد و از راهنمای Mobile Application Security Testing Guide (MASTG) به‌عنوان روش تست استفاده می‌کند. کار را روی گروه‌های کنترلی MASVS پیش می‌بریم: ذخیره‌سازی امن، رمزنگاری، احراز هویت، ارتباط شبکه، تعامل پلتفرم، کیفیت کد، مقاومت و حریم خصوصی؛ و تحلیل ایستای اپلیکیشن و بیلد را با تحلیل پویا روی دستگاه ترکیب می‌کنیم. خروجی، خروجیِ خام یک اسکنر نیست، بلکه یک اعتبارسنجی کنترل‌به‌کنترل است که نشان می‌دهد اپلیکیشن کجا استاندارد را برآورده می‌کند، کجا نه، و چه چیزی باید تغییر کند.
چه چیزی شامل می‌شود
MASVS-STORAGE: نحوه‌ی ذخیره، ثبت در لاگ، کش و پشتیبان‌گیری داده‌ی حساس
MASVS-CRYPTO: کاربرد رمزنگاری و مدیریت کلید
MASVS-AUTH: احراز هویت، مجوزدهی و مدیریت نشست
MASVS-NETWORK: TLS، اعتبارسنجی گواهی و pinning
MASVS-PLATFORM: IPC، مؤلفه‌های exportشده، WebView و deep link
MASVS-CODE: کیفیت کد، تنظیمات بیلد و کتابخانه‌های شخص ثالث
MASVS-RESILIENCE: ضدِدستکاری، تشخیص روت و مبهم‌سازی (سطح L2/R)
MASVS-PRIVACY: چه داده‌ای جمع می‌شود و چگونه دستگاه را ترک می‌کند
تحلیل ایستای APK/AAB و در صورت وجود، کد منبع
تحلیل پویا روی دستگاه، شامل ابزارگذاری زمان اجرا
ماتریس سازگاری کنترل‌به‌کنترل MASVS
چگونه کار می‌کند
- خلاصه‌ی اجرایی با نمای کلی سازگاری MASVS
- گزارش فنی تفصیلی بر اساس MASTG
- ماتریس سازگاری کنترل‌به‌کنترل MASVS (قبول / رد / بدون‌موضوعیت، با شواهد)
- هر رد با اثبات مفهوم تکرارپذیر و شدت CVSS
- تحلیل شکاف و نقشه‌ی راه رفع اولویت‌دار
- مستندات برای پشتیبانی از ادعای پروفایل MASVS
- اعتبارسنجی مجدد پس از رفع
چرا وادی ایمن حافظ
سوالات متداول
اپلیکیشن اندروید را در برابر استاندارد OWASP MASVS و با روش MASTG می‌سنجد و هر گروه کنترلی را تأیید می‌کند: ذخیره‌سازی، رمزنگاری، احراز هویت، شبکه، پلتفرم، کد، مقاومت و حریم خصوصی؛ و گزارش می‌دهد اپلیکیشن کجا استاندارد را برآورده می‌کند و کجا نه.
MASVS استاندارد است؛ فهرست الزامات امنیتی که یک اپلیکیشن موبایل باید برآورده کند. MASTG راهنمای تست است؛ تکنیک‌ها و موارد آزمون مشخص برای تأیید آن الزامات. ما در برابر MASVS اعتبارسنجی می‌کنیم و با MASTG تست می‌کنیم.
L1 مجموعه‌ی استاندارد کنترل‌هایی است که هر اپلیکیشن باید برآورده کند؛ L2 کنترل‌های دفاع در عمق را برای اپلیکیشن‌های دارای داده‌ی حساس می‌افزاید؛ R یا «مقاومت» کنترل‌های ضدِمهندسی معکوس و دستکاری را اضافه می‌کند، جایی که خودِ اپلیکیشن باید در برابر مهاجم مصمم بایستد. پروفایل را در دامنه‌گذاری همراه شما انتخاب می‌کنیم.
دست‌کم بیلد با پیکربندی انتشار (APK یا AAB) و یک حساب آزمایشی. دسترسی به کد منبع و پیکربندی بیلد، تحلیل ایستا را عمیق‌تر و سریع‌تر می‌کند (تست جعبه‌خاکستری یا جعبه‌سفید). ما روی دستگاه‌های خودمان تست می‌کنیم؛ اگر اپلیکیشن سخت‌افزار خاص یا ناوگان دستگاه سازمانی را هدف می‌گیرد، در دامنه‌گذاری بگویید.
از هر دو استفاده می‌کنیم. دستگاه روت‌شده با ابزارگذاری اجازه می‌دهد حافظه، ذخیره‌سازی و ترافیک را بازرسی کنیم تا کنترل‌ها را کامل بسنجیم؛ روی دستگاه استاندارد هم تست می‌کنیم تا رفتاری را که کاربر واقعی می‌بیند تأیید کنیم. در کار مقاومت (R)، دور زدن تشخیص روت بخشی از تست است، نه میان‌بری برای پرش از آن.
MASVS اپلیکیشن روی دستگاه و ارتباط شبکه‌ی آن را پوشش می‌دهد، اما بسیاری از ریسک‌های موبایل در APIِ پشت آن هستند. پیشنهاد می‌کنیم این کار را با ارزیابی API همراه کنید؛ دقیقاً به همین دلیل یک ارزیابی ترکیبی موبایل و API هم در دسترس است.
هر کنترل ردشده یک امتیاز CVSS برای مبنای مشترک می‌گیرد که با اثر واقعی در بافت شما تعدیل می‌شود: چه داده‌ای را افشا می‌کند و چقدر در دسترس است. یک کنترل می‌تواند استاندارد را رد کند اما کم‌ریسک باشد، یا فنی قبول شود اما شکاف واقعی بگذارد؛ گزارش این تمایز را روشن می‌کند.
بله. پس از رفع، کنترل‌های ردشده را دوباره اعتبارسنجی می‌کنیم تا پابرجایی هر رفع را تأیید کنیم و وضعیت آن‌ها را در ماتریس سازگاری به‌روز می‌کنیم.
به پروفایل و پیچیدگی اپلیکیشن بستگی دارد؛ یک اعتبارسنجی جامع معمولاً حدود دو تا سه هفته طول می‌کشد. پس از دامنه‌گذاری، برآورد دقیق می‌دهیم.
سرویس‌های مرتبط
خدمات تکمیلی که ممکن است برای شما مفید باشند