البرمجة الآمنة للأجهزة المحمولة

تعني البرمجة الآمنة كتابة تطبيقات تقاوم الهجمات افتراضيًا.

وفي تطبيقات الهواتف المحمولة، تجمع البرمجة الآمنة بين التعامل الآمن مع البيانات، والحذر في الاتصال بالشبكة، والتصميم الدفاعي منذ البداية.

لا تثق أبدًا بالبيانات القادمة من المستخدم أو الشبكة.

أجرِ التحقق ونظّف كل مدخل قبل استخدامه، لمنع هجمات الحقن وحالات التعطل.

يجب أن تمر جميع حركة مرور الشبكة عبر HTTPS باستخدام TLS.

يحمي ذلك البيانات من القراءة أو التعديل على الشبكات غير الموثوقة، مثل شبكات Wi-Fi العامة.

يُعلم تثبيت الشهادة التطبيقَ بالثقة في شهادات خادم محددة فقط.

ويمنع ذلك هجمات الوسيط التي يعرض فيها المهاجم شهادة مزيفة تبدو صالحة.

احتفظ بالرموز والمفاتيح في Keystore أو Keychain، وليس في ملفات نصية عادية.

شفّر أي بيانات حساسة يتعين عليك تخزينها بنفسك.

لا تطلب سوى الأذونات التي يحتاج إليها تطبيقك فعلًا.

كلما قلّت الأذونات، قلّت البيانات المعرضة للخطر إذا اختُرق التطبيق، وزادت ثقة المستخدمين به.

يجب تنفيذ عمليات التحقق المهمة، مثل السعر أو الرصيد أو حقوق الوصول، على الخادم.

يمكن لأي شخص يعكس هندسة التطبيق تجاوز عمليات التحقق من جانب العميل.

يجب ألا تكشف رسائل الخطأ التفاصيل الداخلية.

سجّل التفاصيل بشكل خاص، لكن اعرض للمستخدمين رسائل عامة وآمنة فقط.

قد تحتوي مكتبات الجهات الخارجية على ثغرات.

تابع تبعياتك، وحدّثها بانتظام، وأزل أي تبعيات لم تعد تستخدمها.

استخدم رموزًا قصيرة العمر وجدّدها بأمان.

سجّل خروج المستخدمين بعد فترة من عدم النشاط، وألغِ الرموز عند تسجيل الخروج حتى لا تستمر الجلسة المسروقة إلى الأبد.

لا ينتهي العمل على الأمان عند الإصدار. أجرِ اختبارات أمنية تشمل عمليات الفحص الساكن، وفحوصات التبعيات، واختبارات الاختراق.

أصلح النتائج قبل أن يثبّت أي مستخدم التطبيق.

لماذا يجب تنفيذ عمليات التحقق المهمة، مثل السعر أو حقوق الوصول، على الخادم وليس على العميل؟

تعني البرمجة الآمنة للهواتف المحمولة التحقق من المدخلات، واستخدام TLS مع تثبيت الشهادة، وتخزين الأسرار بأمان، وتقليل الأذونات، وتطبيق المنطق على الخادم، والتعامل مع الأخطاء بحذر، وتحديث التبعيات، وتأمين الجلسات، والاختبار قبل الإصدار.