Auditoría de Aplicaciones Móviles

La auditoría de aplicaciones móviles es necesaria para garantizar la confidencialidad de la información gestionada por las aplicaciones internas y por las aplicaciones comerciales.

Las aplicaciones móviles tienen cada vez una mayor entrada en el mundo empresarial, donde se realizan desarrollos a medida para interactuar con las aplicaciones de negocio. La auditoría de aplicaciones móviles es necesaria para garantizar la confidencialidad de la información gestionada por las aplicaciones internas y por las aplicaciones comerciales.

Debido a la información que manejan y a los recursos que acceden es necesario realizar una auditoría de seguridad de las app móviles utilizadas en la empresa sobre cualquiera de las plataformas móviles existentes: IOS, Android , Windows phone y Blackberry contratando una auditoría de seguridad.

A la hora de planificar una revisión de seguridad de una app móvil se debe identificar qué recursos gestiona la aplicación móvil, qué información se almacena en el teléfono móvil o en la tablet, y qué información se transmite. Dependiendo de los requisitos de seguridad de la aplicación y de su criticidad entran en juego diferentes técnicas de análisis de seguridad de la aplicación móvil que pueden englobar las siguientes tareas: auditoría de aplicaciones móviles –Revisión de la app móvil, Seguridad en la transmisión de datos de aplicación móvil y revisión de seguridad de EndPoint.

Auditoría de aplicaciones móviles

Desempaquetado de la aplicación dependiendo de su formato (APK, IPA, ALX, JAD, XAP)
Detección de protectores y ofuscadores de código.
Análisis y auditoría de código fuente.
Análisis de la información almacenada por la app móvil.
Análisis de los mecanismos de almacenamiento de la plataforma.
Mecanismos de protección de acceso a los datos de la app.
Carga o ejecución externa de contenido.

Revisión de seguridad del EndPoint

Análisis del sistema contra la que se conecta la app móvil (Webservice,..)
Análisis de controles de seguridad basados en metodología OWASP.
Pruebas sobre mecanismos de autenticación y autorización.
Pruebas de suplantación de identidad del servidor.
Interceptación de credenciales de acceso o de información intercambiada.

Seguridad en la transmisión de datos de la aplicación móvil

Mecanismos de autenticación existentes
Capa de transporte y mecanismos de cifrado (HTTP, HTTPS, SSL, TLS,..)
Comprobación de certificados digitales (certificate pinning)
Identificación de recursos con los que se establece la conexión.