Безопасность мобильных приложений

Всё, что лежит в пакете, уезжает к пользователю, поэтому любую строку или ключ внутри установленного приложения можно оттуда восстановить; обфускация повышает трудозатраты, но не делает значение секретным. Поставленный ключ ограничивают в правах, а запросы авторизуют на сервере.

Токены и ключи хранят в платформенном хранилище — iOS Keychain или Android Keystore: оно аппаратно защищено и требует присутствия пользователя. Файлы, SharedPreferences и plist приватны лишь пока приватно устройство, поэтому токены делают короткоживущими.

Итоговый манифест APK и network-security-config собираются из всех зависимостей, поэтому неверно настроенная библиотека может вновь включить cleartext, даже когда ваш манифест его запрещает. Проверять конфиг каждой зависимости и итог в собранном APK — настройка действует, лишь если переживает merge при сборке.

MASVS — стандарт мобильной безопасности OWASP, а MASTG — руководство по тестированию. L1 — базовый уровень для любого приложения: хранение, защита канала, работа с платформой. L2 добавляет эшелонированную защиту, а устойчивость к вмешательству — отдельный набор.

TLS проверяет сервер по хранилищу доверенных корней устройства, а пиннинг сужает это до вашего ключа, поэтому ошибочно выпущенный сертификат или добавленный на устройстве CA не перехватит трафик незаметно. Плата — доступность: смена пина ломает выпущенные версии.

Данные утекают через облачные бэкапы, логи приложения, снимки в переключателе задач и буфер обмена. Чувствительные файлы исключают из правил бэкапа, токены не пишут в логи, экран закрывают при сворачивании, а чувствительные поля помечают.

Запрос возвращает согласие на устройстве, которое вы не контролируете, а бэкенд не видит ни лица, ни отпечатка, поэтому булев ответ клиента ничего не доказывает. Запрос привязывают к ключу в платформенном хранилище и подписывают им серверный challenge.

Экспортированная activity, сервис или receiver, как и любая кастомная URL-схема, — это публичная точка входа, которую может вызвать другое приложение, а схему может заявить не одно приложение. Входящий intent валидируют и предпочитают ссылки, привязанные к домену.

Собирать артефакты компрометации (файлы root, признаки эмуляции, хуки DBI), подписывать их и валидировать на сервере — нельзя доверять только клиентскому вердикту, ведь DBI-утилита Frida перехватит проверку и заставит вернуть «чисто» (как переопределяет evaluatePolicy, обходя биометрию). Обфусцировать функции детекта и тихо завершаться.

SDK работает внутри вашего процесса с правами приложения, его разрешениями и доступом к сохранённым данным, а поставляется под вашим именем, поэтому его дефекты и сбор данных становятся вашими. Просят только нужные разрешения, смотрят отправку и фиксируют версии.

Mobile Top 10 — просветительский список повторяющихся рисков: небезопасное хранение, небезопасная передача, слабая аутентификация; он нужен для приоритетов. MASVS превращает эти области в проверяемые требования, а MASTG описывает, как проверить каждое.

WebView исполняет удалённый контент внутри вашего процесса. JavaScript-мост открывает странице нативные методы, а доступ к файлам даёт приватное хранилище, поэтому недоверенный контент действует с правами приложения. Грузят только свой контент по TLS.