Мобильные приложения: модель платформ и артефакты

API, мобильные приложения и современные интерфейсы

Как устроена изоляция приложений, что можно извлечь из артефактов и как защищать данные на устройстве.

продвинутый~50 минAndroidiOSартефактыхранение данных

урок пройденСпросить ассистента по этому уроку

Зачем это нужно

Мобильные приложения хранят и передают чувствительные данные и часто содержат уникальные дефекты.
Модель безопасности платформ отличается от серверной и требует отдельного понимания.
Навык работы с артефактами востребован и в защите, и при анализе инцидентов.

Теория

Платформы применяют изоляцию приложений: каждое работает в своём контейнере с ограниченными правами, а доступ к данным других приложений и системе возможен только через разрешения и внешние интерфейсы. Безопасность строится на подписи приложений, разрешениях, механизмах защищённого хранения (хранилище ключей на Android, связка ключей на iOS) и на аттестации целостности устройства (например, SafetyNet и Play Integrity, App Attest).

Артефакты для анализа: пакет приложения (APK на Android, IPA на iOS), манифест, ресурсы, нативный код, строки, конфигурации, встроенные сертификаты. Полезно изучать: какие данные хранятся локально, как реализована аутентификация, есть ли встроенные секреты (их там быть не должно), как приложение проверяет целостность, как обрабатывает сертификаты, используется ли обфускация. Анализ может быть статическим и динамическим, с наблюдением за сетевым трафиком и файловой активностью в изолированной лаборатории.

Типовые проблемы: хранение токенов и ключей в незащищённых местах, избыточные разрешения, доверие к данным из внешних интерфейсов, отсутствие проверки целостности, слабая защита от отладки (что не является защитой само по себе), доверие к сертификатам пользователя в продакшене, использование устаревших библиотек, утечка данных в журналы. Защита: минимальные разрешения, защищённое хранилище, короткие сроки токенов, привязка к устройству, обфускация как элемент защиты, но не как её замена, обязательная проверка целостности и корректная работа с сертификатами.

Ключевые концепции

Изоляция приложения: Каждое приложение работает в собственном контейнере с ограниченными правами.
Защищённое хранилище: Аппаратно защищённый механизм хранения ключей и секретов на устройстве.
Аттестация целостности: Проверка подлинности устройства и приложения: SafetyNet, Play Integrity, App Attest.
Внешние интерфейсы: Точки интеграции приложений: требуют строгой проверки входных данных и прав.
Извлечённые строки: Текстовые данные из бинарного файла: часто раскрывают адреса, ключи, отладочные сведения.
Обфускация: Затрудняет анализ, но не устраняет уязвимости: рассматривается как дополнительный барьер.

Инструменты

Инструменты разбора пакетов приложений и статического анализа в лаборатории.
Динамические анализаторы и эмуляторы с настройками изоляции.
Прокси для наблюдения за трафиком приложения в своей лаборатории.
Платформенные утилиты работы с защищённым хранилищем.
Руководства OWASP MASVS и MASTG как методическая основа.

Практика в легальных лабораториях

Разберите в лаборатории учебное уязвимое мобильное приложение: манифест, разрешения, ресурсы, строки.
Составьте перечень хранимых данных и оцените, что защищено, а что нет.
Проверьте, как приложение работает с сертификатами и отладкой (без реального обхода — только наблюдение).
Настройте прокси в своей лаборатории и посмотрите, какие данные уходят на сервер.
Сформулируйте рекомендации по защищённому хранению и минимальным разрешениям.

Защита, детект и защитные меры

Используйте защищённое хранилище для секретов и токенов; никогда не встраивайте ключи в приложение.
Запрашивайте минимальные разрешения и проверяйте все данные, приходящие извне.
Обновляйте библиотеки и отслеживайте уязвимости зависимостей.
Включайте аттестацию устройства для критичных операций и корректную проверку сертификатов.

Правовая рамка и этика

Анализ приложений выполняется для своих приложений или учебных образцов; анализ чужих приложений — по разрешению правообладателя.
Обход защитных механизмов чужих приложений и распространение изменённых сборок противоправны.

Типичные ошибки

Хранить API-ключи и токены прямо в приложении.
Считать обфускацию достаточной защитой.
Оставлять отладочные и тестовые настройки в продакшен-сборке.

Чек-лист «умею»

Понимаю модель изоляции мобильных платформ.
Умею разобрать артефакты приложения и найти опасные практики.
Знаю, какие данные нельзя хранить локально в открытом виде.
Работаю с прокси и наблюдаю трафик приложения в лаборатории.
Формулирую рекомендации по защищённому хранению.

Вопросы на интервью

Как вы проверите, что приложение не хранит секреты в открытом виде?
Зачем нужна аттестация целостности и каковы её ограничения?
Какие разрешения вы считаете избыточными для обычного приложения?

Источники и первоисточники

← OAuth 2.1, OIDC и токены в сервисах Пройти экзамен →