Sicurezza App Mobile iOS e Android
Un'app installata sul telefono dell'utente è in mano a chiunque: il codice può essere analizzato, il traffico intercettato, i dati locali esaminati.
Seguiamo lo standard OWASP MASVS e la guida di test MASTG, verificando app e backend con cui comunica.
La regola di fondo: mai fidarsi del client. Ogni controllo importante deve essere replicato lato server.
Rischi specifici delle app mobile
Dati locali non protetti
Token e dati personali in preferenze, database o log accessibili su dispositivi con root o jailbreak.
Traffico intercettabile
Mancata validazione dei certificati TLS, assenza di pinning dove opportuno.
Segreti nell'app
Chiavi API e credenziali incorporate nel pacchetto, facilmente estraibili con decompilazione.
Autenticazione debole
Biometria o PIN gestiti solo lato client, sessioni di lunga durata.
Componenti esportati
Activity, deep link e content provider accessibili ad altre app.
Backend non protetto
API chiamate dall'app ma esposte a manipolazione diretta.
Il nostro approccio
Analisi statica
Decompilazione, revisione del manifest, permessi e segreti incorporati.
Analisi dinamica
Test a runtime, intercettazione del traffico e verifica dell'archiviazione locale.
Test delle API collegate
Autenticazione, autorizzazione e logica di business lato backend.
Hardening
Pinning, offuscamento ove sensato, rilevamento root/jailbreak e Keychain/Keystore.
Checklist app mobile
- Dati sensibili solo in Keychain (iOS) o Keystore (Android)
- TLS validato correttamente, con pinning per le app ad alto rischio
- Nessun segreto o chiave di servizio nel pacchetto dell'app
- Token a vita breve e logout che invalida la sessione lato server
- Deep link e componenti esportati ridotti al minimo e validati
- Log di debug disattivati nelle build di produzione
Domande frequenti
Serve il codice sorgente?
Non è obbligatorio: partiamo dal pacchetto di installazione (APK/IPA), con il sorgente il test è più approfondito.
L'offuscamento basta a proteggere?
No, rallenta l'analisi ma non sostituisce i controlli lato server.
Approfondisci
Mettiamo in sicurezza il tuo app mobile
Raccontaci il tuo caso: ti rispondiamo entro un giorno lavorativo.