اختبار اختراق تطبيقات الجوال على iOS و Android

ما نختبره

نختبر تطبيقكم في كل مجال ينطبق عليه من مجالات معيار OWASP MASVS للتحقق من أمن تطبيقات الهواتف الذكية، إلى جانب واجهات برمجة التطبيقات التي يعتمد عليها.

• البيانات المخزّنة على الجهازMASVS-STORAGE

  ما يكتبه التطبيق في التخزين والسجلات والنسخ الاحتياطية، وهل تتسرّب منه بيانات حساسة.

• التشفيرMASVS-CRYPTO

  كيف يشفّر التطبيق البيانات ويتعامل مع المفاتيح، بما في ذلك المفاتيح والبيانات السرية المتروكة داخل التطبيق نفسه.

• تسجيل الدخول والجلساتMASVS-AUTH

  المصادقة وإدارة الجلسات ورموز التحقق لمرة واحدة والدخول بالبصمة، والتحقق الإضافي الذي تحتاجه العمليات الحساسة.

• الاتصال بالشبكةMASVS-NETWORK

  تشفير البيانات أثناء النقل والتحقق من الشهادات، بما في ذلك تثبيت الشهادات إن كنتم تستخدمونه.

• التفاعل مع نظام التشغيلMASVS-PLATFORM

  الروابط العميقة وغيرها من صور الاتصال بين العمليات، ومكوّنات WebView، وما تكشفه الشاشة.

• الشيفرةMASVS-CODE

  التعامل مع المدخلات، والمكوّنات الخارجية ذات الثغرات المعروفة، وطريقة فرض التحديثات.

• مقاومة الهندسة العكسيةMASVS-RESILIENCE

  كشف صلاحيات الجذر وكسر الحماية، ومقاومة التعديل والتمويه، بحسب ما تتطلبه مخاطركم.

• الخصوصيةMASVS-PRIVACY

  البيانات الشخصية التي يجمعها التطبيق ويشاركها، وهل يحتاج إليها فعلاً، وهو ما يهمّكم في نظام حماية البيانات الشخصية.

• واجهات برمجة التطبيقات خلف التطبيقBOLA / IDOR

  ضوابط الوصول بين المستخدمين، والتعديل غير المصرّح به للحقول، وتقييد معدل الطلبات، ومنطق الأعمال في المدفوعات والمحافظ والقسائم والحجوزات.

متى تختبرون تطبيقكم؟

• قبل الإطلاق أو قبل أي إصدار كبير، لتعالجوا المشكلات قبل أن يكتشفها عملاؤكم.
• عند إضافة المدفوعات أو المحفظة أو الدخول برمز التحقق، أو أي ميزة أخرى تنقل الأموال أو البيانات الشخصية.
• حين تطلبه جهة تنظيمية أو أحد عملائكم. فالضابط 2-11-3-1 من الضوابط الأساسية للأمن السيبراني يذكر تطبيقات الهواتف الذكية واللوحية ضمن الخدمات المقدَّمة عبر الإنترنت التي يجب أن يشملها اختبار الاختراق، ويدعو إطار الأمن السيبراني للبنك المركزي السعودي إلى اختبار سنوي للخدمات المقدَّمة للعملاء وعبر الإنترنت. اطّلعوا على صفحتي الضوابط الأساسية للأمن السيبراني ومتطلبات البنك المركزي السعودي.
• قبل جولة تمويل أو مراجعة أمنية من عميل كبير، حين قد يُطلب منكم تقرير اختبار اختراق حديث.

ما نحتاجه منكم

• نسخة Android (ملف APK أو AAB) ونسخة iOS (عبر TestFlight أو ملف IPA)
• حساب تجريبي لكل دور من أدوار المستخدمين، مثل العميل والمسؤول
• بيئة نختبر عليها، ويُفضَّل أن تكون البيئة التجريبية. وإن اختبرنا بيئة الإنتاج، نتفق أولاً على نوافذ الاختبار وشروط الإيقاف
• توثيق واجهات برمجة التطبيقات، مثل ملف OpenAPI أو مجموعة Postman، إن توفّر لديكم

ويُجرى الاختبار افتراضياً بأسلوب الصندوق الرمادي: نستخدم التطبيق كما يستخدمه عملاؤكم، بالحسابات التجريبية التي تزوّدوننا بها. وإن أمكنكم مشاركة الشيفرة المصدرية، يتيح لنا اختبار الصندوق الأبيض التعمّق أكثر.

ما تستلمونه

• ملخص تنفيذي لمخاطركم بلغة الأعمال
• تقرير نتائج تقني يتضمن تقييم CVSS والأدلة وخطوات إعادة التنفيذ، ليتحقق المطورون لديكم من كل نتيجة على أجهزتهم
• خارطة طريق للمعالجة بإرشادات تناسب بيئتكم التقنية، سواء كان التطبيق أصلياً أو متعدد المنصات
• ربط النتائج بالمتطلبات التنظيمية التي تلتزمون بها، مثل الضوابط الأساسية للأمن السيبراني وإطار الأمن السيبراني للبنك المركزي السعودي ونظام حماية البيانات الشخصية
• بيان بمجالات MASVS التي شملها الاختبار
• جلسة عرض النتائج مع فريقكم
• جولة واحدة لإعادة اختبار جميع النتائج المؤكدة خلال 90 يوماً دون تكلفة إضافية، ثم خطاب إغلاق يوثّق حالة كل نتيجة

وإذا أكدنا نتيجة حرجة، نُبلغ جهة التواصل المسمّاة لديكم خلال 24 ساعة من تأكيدها، دون انتظار التقرير النهائي.

السعر والمدة

نرسل إليكم سعراً ثابتاً وجدولاً زمنياً بعد أن نعرف حجم تطبيقكم: عدد أدوار المستخدمين والشاشات وواجهات برمجة التطبيقات فيه، وهل تحتاجون إلى منصة واحدة أم المنصتين. ولا نحتسب أتعابنا بالساعة، وإعادة الاختبار مشمولة.

أسئلة شائعة