Penyimpanan dan Komunikasi yang Tidak Aman

Dua kerentanan seluler yang paling umum adalah penyimpanan data yang tidak aman dan komunikasi yang tidak aman. Keduanya tercantum dalam OWASP Mobile Top 10.

Keduanya berawal dari pengembang yang terlalu mempercayai perangkat dan tidak melindungi data dengan baik.

Aplikasi menyimpan data di /data/data/<package>/:

• SharedPreferences: file XML berisi pasangan kunci-nilai.
• Basis data SQLite.
• File internal dan eksternal.

Penguji penetrasi memeriksa setiap lokasi untuk mencari rahasia yang disimpan tanpa perlindungan.

Kelemahan yang sering terjadi adalah menyimpan kata sandi, token, atau PII dalam teks biasa di SharedPreferences atau basis data.

Pada perangkat yang telah di-root, melalui pencadangan, atau dengan Objection, penyerang dapat membacanya secara langsung. Data sensitif harus dienkripsi atau disimpan di perangkat keras yang aman.

Data yang ditulis ke penyimpanan eksternal (area kartu SD) dapat dibaca semua pihak pada Android versi lama dan dapat diakses oleh aplikasi apa pun yang memiliki izin penyimpanan.

Menyimpan file sensitif di sana membuatnya dapat diakses aplikasi lain. Log yang ditulis ke disk juga merupakan kebocoran serupa.

Pilihan yang aman mencakup Android Keystore (kunci disimpan di perangkat keras dan tidak pernah dibuka untuk aplikasi) serta EncryptedSharedPreferences.

Keystore dapat melakukan operasi kriptografi tanpa mengungkapkan kunci, sehingga jauh lebih aman daripada kunci yang ditulis langsung dalam kode.

Komunikasi yang tidak aman berarti data dikirim tanpa perlindungan yang semestinya. Kasus terburuknya adalah HTTP teks biasa, yang memungkinkan siapa pun di jaringan membaca atau mengubah lalu lintas.

Semua lalu lintas sensitif harus menggunakan HTTPS/TLS.

Untuk memeriksa lalu lintas, arahkan perangkat melalui proksi pencegat seperti Burp Suite. Anda memasang sertifikat CA Burp pada perangkat agar HTTPS dapat dibaca.

Hal ini mengungkap titik akhir API, parameter, dan data sensitif apa pun yang sedang dikirim.

Aplikasi yang dibuat dengan baik menggunakan certificate pinning untuk menolak sertifikat apa pun selain miliknya, sehingga proksi dasar tidak dapat digunakan.

Seperti yang telah Anda pelajari, pengabaian SSL pinning dengan Frida menonaktifkan perlindungan ini sehingga Anda tetap dapat mencegat dan menilai keamanan API yang sebenarnya.

Bahkan dengan HTTPS, kelemahannya dapat berupa mempercayai semua sertifikat, menerima sertifikat yang kedaluwarsa, atau menonaktifkan verifikasi nama host—sering kali ditambahkan secara sembarangan untuk mempermudah pengembangan.

Hal-hal ini memungkinkan penyerang melakukan serangan man-in-the-middle meskipun TLS tersedia.

Dua kebocoran lainnya:

• android:allowBackup="true" memungkinkan siapa pun yang memiliki perangkat mengekstrak data aplikasi melalui adb backup.
• Output logcat yang terlalu rinci dapat mencetak token atau PII.

Keduanya harus dinonaktifkan atau disanitasi dalam lingkungan produksi.

Dua kebocoran yang sering terlewatkan: menyalin data sensitif ke papan klip (dapat dibaca aplikasi lain pada Android versi lama) dan tangkapan layar sistem yang diambil ketika aplikasi berpindah ke latar belakang.

Aplikasi perbankan mengatasinya dengan flag jendela FLAG_SECURE, yang memblokir tangkapan layar dan pratinjau pengalih tugas.

Sekarang Anda memahami penyimpanan dan komunikasi yang tidak aman:

• Aplikasi membocorkan rahasia dalam teks biasa di SharedPreferences, basis data, penyimpanan eksternal, dan log.
• Simpan rahasia di Android Keystore atau EncryptedSharedPreferences.
• Komunikasi yang tidak aman mencakup HTTP teks biasa hingga validasi TLS yang lemah; lakukan pencegatan dengan Burp.
• Atasi certificate pinning dengan Frida; nonaktifkan allowBackup dan sanitasi log.

Anda telah menyelesaikan kursus Pengujian Penetrasi Aplikasi Seluler.