Reverse Engineering von Apps

Reverse Engineering bedeutet, eine fertige App auseinanderzunehmen, um zu verstehen, wie sie im Inneren funktioniert.

Angreifer nutzen dies, um Geheimnisse zu finden, Prüfungen zu umgehen und Schwachstellen aufzudecken.

Apps werden als Pakete verteilt: als APK auf Android oder als IPA auf iOS.

Im Wesentlichen handelt es sich dabei um Archive, die ein Angreifer entpacken und untersuchen kann.

Statische Analyse bedeutet, die App zu untersuchen, ohne sie auszuführen.

Angreifer entpacken das Paket und lesen dessen Dateien, Ressourcen und Code, um seine Struktur und Logik zu verstehen.

Tools können kompilierten Code wieder in eine lesbare Form umwandeln.

Unter Android konvertiert ein Tool wie jadx Bytecode in Java-ähnlichen Quellcode und zeigt dadurch, wie sich die App verhält.

Eines der ersten Dinge, nach denen Angreifer suchen, sind fest im Code hinterlegte Geheimnisse.

API-Schlüssel oder im Code hinterlegte URLs sind nach der Dekompilierung leicht zu erkennen. Verlassen Sie sich daher niemals darauf, Geheimnisse in der App zu verstecken.

Dynamische Analyse beobachtet die App während ihrer Ausführung.

Angreifer beobachten Netzwerkverkehr, Speicher und Funktionsaufrufe, um tatsächliche Werte und das tatsächliche Verhalten zu sehen und nicht nur statischen Code.

Tools wie Frida ermöglichen es einem Angreifer, sich in eine laufende App einzuklinken und ihr Verhalten während der Ausführung zu verändern.

Angreifer können eine Sicherheitsprüfung überspringen oder einen geheimen Wert lesen, während er verwendet wird.

Nachdem ein Angreifer eine App verstanden hat, kann er sie manipulieren.

Er verändert den Code, verpackt die App neu und verteilt eine geknackte oder mit einem Trojaner versehene Version an andere Benutzer.

Obfuskation benennt Code um und verändert ihn, sodass er schwerer zu lesen ist.

Dadurch wird Reverse Engineering nicht unmöglich, aber Angreifer werden verlangsamt und benötigen dafür mehr Aufwand.

Apps können mithilfe von Integritätsprüfungen feststellen, ob sie verändert wurden, und gerootete oder per Jailbreak entsperrte Geräte erkennen.

Wird eine Manipulation festgestellt, kann die App die Ausführung sensibler Funktionen verweigern.

Die wichtigste Erkenntnis: Gehen Sie davon aus, dass der Client analysiert und rekonstruiert werden kann.

Bewahren Sie Geheimnisse auf dem Server auf und treffen Sie dort kritische Entscheidungen, da der Angreifer ihn nicht kontrollieren kann.

Welche Annahme ist beim Entwurf der Sicherheit einer mobilen App am sichersten?

Angreifer analysieren Apps mit statischer und dynamischer Analyse, Decompilern und Hooking-Tools wie Frida, um Geheimnisse zu finden und die App zu manipulieren.

Verwenden Sie Obfuskation und Integritätsprüfungen, um sie auszubremsen. Vertrauen Sie letztlich jedoch dem Server, nicht dem Client.