Penetrationstest für mobile Apps

Üblicherweise benötigen wir etwa 3 bis 5 Tage pro mobile Anwendung. Mit erhöhter Funktionskomplexität oder vielen Berechtigungsebenen kann es auch länger dauern.

• Bereitstellung der APK/IPA in 2 Varianten: Wir benötigen ein Release Build sowie ein Debug Build ohne die Implementierung der Anti-Reverse-Engineering-Maßnahmen (ohne SSL Pinning, Root/Emulator-Erkennung, Code-Obfuscation, File-Integrity-Checks etc.). Dies stellt die effiziente getrennte Analyse von Schutzlevel (Basis & Erweitert) und Resilienz gegen Reverse Engineering sicher.
• Bereitstellung von Testaccounts: Wenn Rollen mit unterschiedlichen Rechten existieren (Administrator, Manager, normaler Nutzer etc), benötigen wir für die zu untersuchenden Rollen jeweils 2 Testaccounts. Somit lässt sich Potential zur horizontalen und vertikalen Rechteerweiterung effizient identifizieren.
• Whitelisting der IP-Adresse der Penetrationstester: Schwachstellenscanner sind ein elementarer Bestandteil eines Penetrationstests, um Prozessmodule zu automatisieren, sodass der Fokus der manuellen Prüfungen auf den ausschließlich manuell prüfbaren Punkten liegen kann. Dabei wird üblicherweise Datenverkehr erzeugt, der von Defensivmechanismen erkannt und geblockt wird. Um einen störungsfreien Einsatz des Schwachstellenscanners zu gewährleisten, arbeiten wir mit einem Whitelisting der IP-Adresse, von der gescannt wird.

Die statische Analyse bezieht sich ausschließlich auf Informationsquellen, welche auch ohne Ausführung der Anwendung zur Verfügung stehen. Dies betrifft insbesondere den Quellcode, sowie alle Konfigurations- und Ressourcendateien. Oft genügt ein Decompiler, um Zugang zum Quellcode zu erhalten. Zusätzlich werden Tools eingesetzt, um die zur Verfügung stehenden Dateien nach bestimmten Mustern und Implementierungen zu durchsuchen.

Während der dynamischen Analyse werden Informationsquellen verwendet, welche sich aus dem Laufzeitverhalten der mobilen Anwendung ergeben. Mittels Virtualisierungen sowie physischen Geräte wird in einer Man-in-the-Middle-Architektur eine Testumgebung aufgespannt. Gerootete bzw. gejailbreakte Betriebssysteme erweitern die Möglichkeiten des Penetrationstesters zur Datenakquise und -analyse.

• Handlungsrahmen gemäß Autorisierung: Ziele, Zeiten, Techniken
• Ausnutzung von Schwachstellen, wenn die Folgen abgeschätzt werden können
• Üblicherweise kein DoS / Stress Testing
• Als hoch oder kritisch eingestufte Befunde werden sofort kommuniziert, um erste Maßnahmen einleiten zu können
• Personenbezogene Daten werden nach Maßgabe DSGVO behandelt

Die Schwachstellen werden verständlich mit möglichen Folgen beschrieben und mit einem nachvollziehbarem Proof-of-Concept ergänzt.

Die konkreten Empfehlungen orientieren sich an der realen Umsetzbarkeit und sind mit hilfreichen Links versehen.

Die Management Summary erklärt die technisch komplexen Sachverhalte möglichst einfach.

Mit der Findings-Übersicht behält man auch bei umfangreichen Berichten den Überblick.

Bei einer gemeinsamen Präsentation gehen wir den Bericht Punkt für Punkt durch, so dass keine Fragen offen bleiben.

Unbeabsichtigt offengelegte Informationen, Authentifizierungsprozess, Potential für Rechteerweiterung, Session Management, alle Arten von Injection-Angriffen, API, Kryptographie, Manipulation der Geschäftslogik, Resilienz gegen Reverse Engineering

Wir liefern Ihnen Antworten auf folgende Fragen:

• Welche Schwachstellen existieren, welche Folgen resultieren daraus und wie lassen sie sich in einem realen Szenario ausnutzen?
• Können Front-/Backendsysteme kompromittiert werden?
• Welche sensiblen Daten können abgegriffen werden?
• Erkennen oder schützen Ihre Defensivsysteme vor unseren Angriffen?
• Wie können Geschäftsprozesse manipuliert werden?

Werden Informationen benötigt, welche nicht Teil des Berichts sind, werden diese, auf Basis der ständigen Dokumentation während des Penetrationstests, nachgeliefert. Auch nach der Präsentation des Berichtes kann mit dem Penetrationstester telefonisch oder per Mail Kontakt aufgenommen werden, um Fragen zu den dargestellten Schwachstellen, deren Auswirkungen sowie Behebung zu klären.

• • Mobile Security Framework (statische und dynamische Analyse)
  • Burp Suite Professional (webspezifische Schwachstellen)
  • Genymotion (Virtualisierung)
  • Frida und darauf basierende Tools wie Objection, RMS, fridump, frida-ios-dump etc. (dynamische Instrumentierung, Hooking)
  • Wireshark (Netzwerkverkehrsanalyse)
  • Ghidra (Decompiler)
  • UFED (forensische Analyse und Datenextraktion)