App móvil (iOS y Android)
Pentest de tu app móvil
Probamos tu app en iOS y Android como lo haría un atacante con el teléfono en la mano: qué guarda, qué deja ver y qué le puede pedir a tu servidor que no debería.
Pentest de app móvil con OWASP MASVS: análisis estático y dinámico del binario, almacenamiento local, comunicación y certificados, autenticación, y la API que consume la app.
- Duración
- 3 semanas
- Inicio
- Junto con la auditoría
desde US$3.900
Se suma a Dig, Rabbit Hole o Warren. Re-tests: los mismos de la auditoría a la que se suma.
Probar mi app¿Sacas una versión nueva pronto? Escríbenos y probamos antes de publicarla.
Es para ti si
- Tienes una app en App Store o Google Play que usan tus clientes.
- La app maneja datos personales, pagos o turnos.
- Un cliente grande o un banco te pidió una prueba de la app.
Qué revisamos
Si alguien en la misma red Wi-Fi puede espiar lo que la app manda.Comunicación cifrada, validación de certificados y pinning (MASVS-NETWORK).
Si se puede entrar sin la clave o quedarse con la sesión de otro.Autenticación, biometría, tokens y sesión (MASVS-AUTH).
Si la app trae claves o datos escondidos que alguien puede sacar desarmándola.Ingeniería inversa del binario, secretos embebidos y protecciones (MASVS-CODE y MASVS-RESILIENCE).
Qué le puede pedir la app a tu servidor que no debería, como datos de otro cliente.Pentest de la API que consume la app: control de acceso, IDOR y validación del lado del servidor.
Cómo trabajamos
Semana 0
Alcance
Nos pasas la app de prueba para iOS y Android y 2 cuentas por tipo de usuario.
Builds de prueba (IPA y APK o TestFlight), cuentas por rol y la app entra en la autorización firmada.
Semanas 1 y 2
Prueba
Desarmamos la app, la usamos en teléfonos de prueba y atacamos la API. Si algo es grave, te avisamos el mismo día.
Análisis estático y dinámico en dispositivos de prueba, intercepción de tráfico y pentest de la API.
Semana 3
Informe
Un segundo Lop revisa cada hallazgo y te entregamos el informe con cómo arreglarlo.
Revisión por un segundo Lop, informes técnico y ejecutivo, reunión de cierre.
Qué recibes
- Los hallazgos de la app y de su API, con cuánto te puede costar cada uno.
- Hallazgos con severidad CVSS, control MASVS que falla, prueba de concepto e impacto en dinero.
- Cómo arreglar cada uno, para iOS y para Android.
- Remediación por plataforma para tu equipo o tu proveedor.
- Cada arreglo probado de nuevo en la versión siguiente.
- Re-tests con el mismo plazo que la auditoría.
Límites del alcance
Incluye
- 1 app, en iOS y en Android.1 aplicación en sus dos plataformas.
- Hasta 2 tipos de usuario.Hasta 2 roles autenticados.
- La API que usa la app.Endpoints que consume la app, con las cuentas del alcance.
No incluye
- No se contrata solo: va sumado a Dig, Rabbit Hole o Warren.Módulo de una auditoría; no se vende por separado.
- No probamos en los teléfonos de tus clientes ni en la tienda publicada.Pruebas solo en dispositivos propios con builds de prueba.
- No arreglamos el código de la app: eso lo puede hacer Lop Fix.Sin remediación; disponible con Lop Fix.
¿Varias apps o más de 2 tipos de usuario? Te pasamos el precio cerrado antes de firmar.
Preguntas antes de contratar
¿Necesitan el código fuente?
No. Trabajamos con la app compilada, como lo haría un atacante. Si nos das el código, revisamos más rápido y con más detalle.
¿Por qué no se contrata solo?
Porque casi todo lo grave de una app pasa en el servidor que la atiende. Probar solo el teléfono deja afuera lo que más se rompe, y la auditoría ya cubre ese servidor.
¿Sirve si la app está hecha con Flutter o React Native?
Sí. Probamos la app que llega al teléfono, esté hecha con lo que esté hecha.
¿Tu negocio vive en una app?
En 3 semanas la probamos en iOS y Android, junto con su API, y verificamos cada arreglo.