App móvel (iOS e Android)

Pentest do seu aplicativo

Testamos o seu aplicativo no iOS e no Android como faria um atacante com o celular na mão: o que ele guarda, o que deixa ver e o que pode pedir ao seu servidor que não deveria.

Pentest de aplicativo com OWASP MASVS: análise estática e dinâmica do binário, armazenamento local, comunicação e certificados, autenticação, e a API que o app consome.

Duração: 3 semanas
Início: Junto com a auditoria

a partir de US$3.900

Somado a Dig, Rabbit Hole ou Warren. Retestes: os mesmos da auditoria à qual é somado.

Testar meu app

Vai lançar uma versão nova em breve? Escreva para nós e testamos antes de publicar.

É para você se

Você tem um aplicativo na App Store ou no Google Play que seus clientes usam.
O app lida com dados pessoais, pagamentos ou agendamentos.
Um cliente grande ou um banco pediu um teste do aplicativo.

O que revisamos

O que o app guarda no celular e se alguém com o aparelho na mão consegue ler.Armazenamento local, Keychain e Keystore, logs e backups (MASVS-STORAGE).

Se alguém na mesma rede Wi-Fi consegue espiar o que o app envia.Comunicação cifrada, validação de certificados e pinning (MASVS-NETWORK).

Se dá para entrar sem a senha ou ficar com a sessão de outro.Autenticação, biometria, tokens e sessão (MASVS-AUTH).

Se o app traz chaves ou dados escondidos que alguém consegue tirar desmontando.Engenharia reversa do binário, segredos embutidos e proteções (MASVS-CODE e MASVS-RESILIENCE).

O que o app consegue pedir ao seu servidor que não deveria, como dados de outro cliente.Pentest da API que o app consome: controle de acesso, IDOR e validação no servidor.

Como trabalhamos

Semana 0
Escopo
Você nos passa o app de teste para iOS e Android e 2 contas por tipo de usuário.
Builds de teste (IPA e APK ou TestFlight), contas por papel e o app entra na autorização assinada.
Semanas 1 e 2
Teste
Desmontamos o app, usamos em celulares de teste e atacamos a API. Se algo for grave, avisamos no mesmo dia.
Análise estática e dinâmica em aparelhos de teste, interceptação de tráfego e pentest da API.
Semana 3
Relatório
Um segundo Lop revisa cada achado e entregamos o relatório com como corrigir.
Revisão por um segundo Lop, relatórios técnico e executivo, reunião de encerramento.

O que você recebe

Os achados do app e da API, com quanto cada um pode custar.
Achados com severidade CVSS, controle MASVS que falha, prova de conceito e impacto em dinheiro.
Como corrigir cada um, para iOS e para Android.
Remediação por plataforma para a sua equipe ou o seu fornecedor.
Cada correção testada de novo na versão seguinte.
Retestes com o mesmo prazo da auditoria.

Limites do escopo

Inclui

1 aplicativo, no iOS e no Android.1 aplicação nas duas plataformas.
Até 2 tipos de usuário.Até 2 papéis autenticados.
A API que o app usa.Endpoints que o app consome, com as contas do escopo.

Não inclui

Não se contrata sozinho: vai somado a Dig, Rabbit Hole ou Warren.Módulo de uma auditoria; não é vendido separado.
Não testamos nos celulares dos seus clientes nem na versão publicada na loja.Testes só em aparelhos próprios com builds de teste.
Não corrigimos o código do app: isso o Lop Fix pode fazer.Sem remediação; disponível com Lop Fix.

Vários aplicativos ou mais de 2 tipos de usuário? Passamos o preço fechado antes de assinar.

Perguntas antes de contratar

Vocês precisam do código-fonte?

Não. Trabalhamos com o app compilado, como faria um atacante. Se você nos der o código, revisamos mais rápido e com mais detalhe.

Por que não dá para contratar sozinho?

Porque quase tudo de grave em um app acontece no servidor que o atende. Testar só o celular deixa de fora o que mais quebra, e a auditoria já cobre esse servidor.

Serve se o app é feito com Flutter ou React Native?

Sim. Testamos o app que chega ao celular, seja qual for a tecnologia.

Seu negócio vive em um aplicativo?

Em 3 semanas testamos no iOS e no Android, junto com a API, e verificamos cada correção.