Güvenli Mobil Kodlama

Güvenli kodlama, varsayılan olarak saldırılara dirençli uygulamalar yazmak anlamına gelir.

Mobil uygulamalarda bu yaklaşım, en baştan itibaren güvenli veri işlemeyi, dikkatli ağ iletişimini ve savunmacı tasarımı bir araya getirir.

Kullanıcıdan veya ağdan gelen verilere asla güvenmeyin.

Enjeksiyonları ve çökmeleri önlemek için kullanmadan önce her girdiyi doğrulayın ve temizleyin.

Tüm ağ trafiği TLS ile HTTPS üzerinden iletilmelidir.

Bu, verilerin halka açık Wi-Fi gibi güvenilmeyen ağlarda okunmasını veya değiştirilmesini önler.

Sertifika sabitleme, uygulamaya yalnızca belirli sunucu sertifikalarına güvenmesini söyler.

Bu yöntem, saldırganın sahte ancak geçerli görünen bir sertifika sunduğu ortadaki adam saldırılarını engeller.

Belirteçleri ve anahtarları Keystore veya Keychain içinde tutun; bunları asla düz metin dosyalarında saklamayın.

Saklamanız gereken hassas verileri şifreleyin.

Yalnızca uygulamanızın gerçekten ihtiyaç duyduğu izinleri isteyin.

Daha az izin, uygulamanın güvenliği ele geçirildiğinde risk altındaki veri miktarının azalması ve kullanıcıların daha fazla güven duyması anlamına gelir.

Fiyat, bakiye veya erişim hakları gibi kritik denetimler sunucuda çalışmalıdır.

İstemci tarafındaki denetimler, uygulamanın tersine mühendisliğini yapan herkes tarafından atlanabilir.

Hata iletileri dahili ayrıntıları açığa çıkarmamalıdır.

Ayrıntıları gizli olarak günlüğe kaydedin; kullanıcılara yalnızca genel ve güvenli iletiler gösterin.

Üçüncü taraf kitaplıklar güvenlik açıkları içerebilir.

Bağımlılıklarınızı takip edin, bunları düzenli olarak güncelleyin ve artık kullanmadıklarınızı kaldırın.

Kısa ömürlü belirteçler kullanın ve bunları güvenli biçimde yenileyin.

Etkinlik olmadığında kullanıcıların oturumunu kapatın ve çalınmış bir oturumun sonsuza kadar sürmemesi için çıkış yapıldığında belirteçleri geçersiz kılın.

Güvenlik, yayımlama aşamasında tamamlanmış sayılmaz. Güvenlik testleri gerçekleştirin: statik taramalar, bağımlılık denetimleri ve sızma testleri.

Kullanıcılar uygulamayı yüklemeden önce bulguları düzeltin.

Fiyat veya erişim hakları gibi kritik denetimler neden istemci yerine sunucuda çalışmalıdır?

Güvenli mobil kodlama; girdileri doğrulamak, sertifika sabitleme ile TLS kullanmak, gizli bilgileri güvenli biçimde saklamak, izinleri en aza indirmek, mantığı sunucuda uygulamak, hataları dikkatle ele almak, bağımlılıkları güncellemek, oturumları güvenli hâle getirmek ve yayımlamadan önce test etmek anlamına gelir.