Bezpieczne programowanie mobilne

Bezpieczne kodowanie oznacza pisanie aplikacji, które domyślnie opierają się atakom.

W przypadku urządzeń mobilnych obejmuje ono bezpieczne przetwarzanie danych, ostrożne korzystanie z sieci oraz projektowanie z myślą o ochronie już od samego początku.

Nigdy nie ufaj danym pochodzącym od użytkownika ani z sieci.

Przed użyciem należy weryfikować i oczyszczać wszystkie dane wejściowe, aby zapobiegać atakom typu injection i awariom.

Cały ruch sieciowy powinien odbywać się przez protokół HTTPS z użyciem TLS.

Chroni to dane przed odczytaniem lub modyfikacją w niezaufanych sieciach, takich jak publiczne Wi-Fi.

Przypinanie certyfikatów nakazuje aplikacji ufać wyłącznie określonym certyfikatom serwera.

Blokuje to ataki typu man-in-the-middle, w których atakujący przedstawia fałszywy certyfikat wyglądający na prawidłowy.

Tokeny i klucze należy przechowywać w magazynie Keystore lub Keychain, nigdy w zwykłych plikach.

Wszelkie poufne dane, które trzeba przechowywać samodzielnie, należy szyfrować.

Proś tylko o te uprawnienia, których aplikacja rzeczywiście potrzebuje.

Mniejsza liczba uprawnień oznacza mniejsze zagrożenie dla danych w razie przejęcia aplikacji oraz większe zaufanie użytkowników.

Kluczowe kontrole, takie jak sprawdzanie ceny, salda lub praw dostępu, muszą być wykonywane na serwerze.

Kontrole po stronie klienta może ominąć każdy, kto podda aplikację inżynierii wstecznej.

Komunikaty o błędach nie powinny ujawniać szczegółów wewnętrznych.

Szczegóły należy zapisywać prywatnie w logach, a użytkownikom wyświetlać tylko ogólne, bezpieczne komunikaty.

Biblioteki innych firm mogą zawierać luki w zabezpieczeniach.

Należy śledzić swoje zależności, regularnie je aktualizować oraz usuwać te, które nie są już używane.

Należy używać krótkotrwałych tokenów i bezpiecznie je odświeżać.

Po okresie bezczynności należy wylogowywać użytkowników, a podczas wylogowania unieważniać tokeny, aby skradziona sesja nie trwała bez końca.

Zabezpieczenia nie są gotowe w momencie wydania aplikacji. Należy przeprowadzać testy bezpieczeństwa: skanowanie statyczne, sprawdzanie zależności i testy penetracyjne.

Wykryte problemy należy naprawić, zanim ktokolwiek zainstaluje aplikację.

Dlaczego kluczowe kontrole, takie jak sprawdzanie ceny lub praw dostępu, muszą być wykonywane na serwerze, a nie po stronie klienta?

Bezpieczne tworzenie aplikacji mobilnych obejmuje weryfikowanie danych wejściowych, używanie protokołu TLS z przypinaniem certyfikatów, bezpieczne przechowywanie sekretów, ograniczanie uprawnień, egzekwowanie logiki na serwerze, ostrożną obsługę błędów, aktualizowanie zależności, zabezpieczanie sesji oraz testowanie przed wydaniem.