Аудит безопасности мобильного приложения Android и iOS

Разбираем сборку приложения и его сервер: что лежит на телефоне, что уходит в сеть и что можно достать из файла APK или IPA.

Рассчитать стоимость от 29 900 ₽

Мобильное приложение попадает в руки каждому пользователю целиком. Сборку можно скачать, распаковать и прочитать: найти адреса серверов, ключи сторонних сервисов, логику проверки подписки. Всё, что разработчик спрятал «в приложение», на самом деле лежит в открытом виде.

Второй источник проблем — данные на устройстве. Токен входа в обычных настройках, фото документов в общей галерее, кеш с историей заказов, который сохраняется после выхода. На утерянном или чужом телефоне это становится утечкой.

Проверяем по стандарту OWASP MASVS и руководству MASTG. Серверную часть приложения смотрим вместе с клиентом, потому что большинство серьёзных находок всё равно оказываются в API, а не в самом телефоне.

Калькулятор

Аудит мобильного приложения — расчёт стоимости

Отраслевые модули уже отмечены. Уберите лишнее или добавьте нужное — сумма в счёте будет та же, что в смете.

Выберите пакет

Добавьте нужное

необязательно

+ 39 900 ₽

+ 19 900 ₽

+ 14 900 ₽

от 14 900 ₽ за роль

от 24 900 ₽ за 50 методов

+ 69 900 ₽

+ 79 900 ₽

+ 49 900 ₽

+ 39 900 ₽

от 24 000 ₽ за 10 ч

+ 14 900 ₽

Ваша смета

Пакет «Орбита»129 000 ₽
Аудит сторонних SDK19 900 ₽
Мобильное приложение79 900 ₽

Стоимость работ

0 ₽

Срок: 3–4 недели

Счёт сейчас: 114 400 ₽ — предоплата 50%, остаток после приёмки

Без регистрации. Счёт и анкета придут на почту сразу. Работаем по договору и с разрешения владельца системы.

Почему телефон нельзя считать доверенным

Любую проверку, которая выполняется только в приложении, можно обойти: изменить сборку, подменить ответ сервера, запустить приложение на эмуляторе с правами администратора. Поэтому платная функция, скрытая только на телефоне, на деле доступна всем, кто захочет её открыть.

Правильная схема простая: приложение показывает, сервер решает. В отчёте мы отмечаем каждое место, где решение принимает телефон, и предлагаем перенести проверку на сервер.

Объём проверки по MASVS

групп требований стандарта: хранение, криптография, вход, сеть, платформа, код, устойчивость, приватность

сборки, если приложение есть в двух магазинах

серверное API, без которого проверка приложения неполная

Группы требований взяты из открытого стандарта OWASP MASVS; глубина проверки по каждой зависит от пакета.

Что чаще всего находим в мобильных приложениях

Ключ сервиса в сборке

Секретный ключ карт, SMS-шлюза или облачного хранилища зашит в приложение и читается за минуту.

Проверка подписки на телефоне

Платный режим включается сменой одного флага, потому что сервер не сверяет статус оплаты.

Логи с личными данными

Отладочный вывод с телефонами и токенами остался в релизной версии.

Скриншоты документов в галерее

Фото паспорта для верификации сохраняется в общую галерею и уходит в облачную копию пользователя.

Вечная сессия

Токен входа не истекает месяцами и не отзывается при смене пароля, поэтому украденный телефон остаётся «залогиненным» навсегда.

Пример: приложение фитнес-клуба с записью и оплатой

Android и iOS, запись на тренировки, абонементы и оплата картой. Пакет «Орбита» (129 000 ₽) + мобильное приложение (79 900 ₽) + вторая платформа (39 900 ₽) + аудит SDK (19 900 ₽). Итог — 268 700 ₽ и 4–5 недель. После исправлений токен хранится в защищённом хранилище, ключ платёжного сервиса убран из сборки, а чужие абонементы больше не открываются по номеру.

Собрать свой вариант

Вопросы и ответы

Вопросы о проверке приложения

Нужно ли давать исходный код?

Нет, работаем с готовой сборкой, как работал бы злоумышленник. Код нужен только в «Галактике», чтобы показать точное место исправления.

Приложение на Flutter или React Native — проверяете?

Да. Кроссплатформенные сборки разбираются иначе, но набор проверок тот же: хранение, сеть, ключи, API.

Магазин приложений сам не проверяет безопасность?

Модерация ищет вредоносное поведение и нарушения правил магазина, а не ошибки, через которые пострадают ваши пользователи.

Когда лучше заказывать?

За 3–4 недели до крупного релиза или до запуска оплаты внутри приложения, чтобы успеть исправить и пройти повторную проверку.

Приложение собирает геолокацию и контакты. Это проверяете?

Да, в группе приватности смотрим, какие разрешения запрашиваются, зачем они нужны и уходят ли эти данные сторонним SDK. Лишние разрешения — частая причина отказа при модерации и вопросов от пользователей.

Смотрите также

Бесплатные калькуляторы и шаблоны по теме

Все инструменты →