Pemrograman Seluler yang Aman

Penulisan kode aman berarti menulis aplikasi yang secara bawaan tahan terhadap serangan.

Untuk aplikasi seluler, hal ini memadukan penanganan data yang aman, jaringan yang cermat, dan desain defensif sejak awal.

Jangan pernah memercayai data yang berasal dari pengguna atau jaringan.

Validasi dan bersihkan setiap masukan sebelum menggunakannya untuk mencegah injeksi dan kerusakan aplikasi.

Semua lalu lintas jaringan harus berjalan melalui HTTPS dengan TLS.

Hal ini melindungi data agar tidak dibaca atau diubah pada jaringan yang tidak tepercaya, seperti Wi-Fi publik.

Penyematan sertifikat memberi tahu aplikasi agar hanya memercayai sertifikat server tertentu.

Hal ini memblokir serangan perantara, ketika penyerang menyajikan sertifikat palsu yang tampak valid.

Simpan token dan kunci di Keystore atau Keychain, jangan pernah di dalam berkas biasa.

Enkripsilah data sensitif apa pun yang harus Anda simpan sendiri.

Mintalah hanya izin yang benar-benar diperlukan aplikasi Anda.

Lebih sedikit izin berarti lebih sedikit data yang berisiko jika aplikasi disusupi, serta meningkatkan kepercayaan pengguna.

Pemeriksaan penting, seperti harga, saldo, atau hak akses, harus dijalankan di server.

Pemeriksaan di sisi klien dapat dilewati oleh siapa pun yang merekayasa balik aplikasi.

Pesan kesalahan tidak boleh mengungkapkan detail internal.

Catat detail secara privat, tetapi tampilkan hanya pesan umum yang aman kepada pengguna.

Pustaka pihak ketiga dapat mengandung kerentanan.

Lacak dependensi Anda, perbarui secara berkala, dan hapus yang tidak lagi digunakan.

Gunakan token berumur singkat dan perbarui dengan aman.

Keluarkan pengguna setelah tidak aktif dan cabut token saat keluar agar sesi yang dicuri tidak berlangsung selamanya.

Keamanan tidak selesai saat rilis. Jalankan pengujian keamanan: pemindaian statis, pemeriksaan dependensi, dan uji penetrasi.

Perbaiki temuan sebelum pengguna memasang aplikasi.

Mengapa pemeriksaan penting seperti harga atau hak akses harus dijalankan di server, bukan di klien?

Penulisan kode seluler yang aman berarti memvalidasi masukan, menggunakan TLS dengan penyematan sertifikat, menyimpan rahasia dengan aman, meminimalkan izin, menerapkan logika di server, menangani kesalahan dengan cermat, memperbarui dependensi, mengamankan sesi, dan melakukan pengujian sebelum rilis.