Das Ziel von Penetrationstests für mobile Anwendungen (Apps) ist die Feststellung von Schwachstellen auf Applikationsebene, um die Sicherheit der Daten Ihrer Kunden und Ihrer Organisation selbst zu erhöhen. Unsere Penetrationstester überprüfen beispielsweise Authentifizierungs- und Autorisierungsmechanismen, Ein- und Ausgabevalidierung, Kommunikationssicherheit sowie die sichere Speicherung von sensiblen Daten. Der Fokus der Pentests wird bereits im Vorfeld mit Ihnen abgestimmt. Neben generellen Prüfungen, die sich beispielsweise an den OWASP-Mobile-Top-10-Risks orientieren, sind auch spezielle Prüfungen der Resilienz gegen Reverse Engineering möglich, um den Schutz Ihres geistigen Eigentums bewerten zu können. Die Resultate werden in einem Prüfbericht dokumentiert, der eine Zusammenfassung der Ergebnisse und eine detaillierte Darstellung der Befunde inklusive möglicher Maßnahmen zur Behebung enthält.

Penetrationstests sind empfehlenswert, wenn Ihre mobile Applikation schützenswerte Daten wie beispielsweise personenbezogene Daten, Zahlungsdaten, Zugangsdaten oder Gesundheitsdaten speichert, übermittelt oder verarbeitet. Durch die sich ständig verändernden Technologien und den damit verbundenen Wandel der Bedrohungslandschaft sollten Penetrationstests in regelmäßigen Abständigen und nach Änderungen mit Security Impact durchgeführt werden. Anwendungen mit besonderem Schutzbedarf, die in der Regel eine Zulassung der entsprechenden Vorschriften bzw. Regularien benötigen, erfordern häufig auch den Nachweis von Penetrationstests. Ein Beispiel sind die digitalen Gesundheitsanwendungen (DiGA), die einen Penetrationstest erfordern, um den geltenden Standards und Vorschriften nach der 1. DiGAVÄndV (Erste Verordnung zur Änderung der Digitalen Gesundheitsanwendungen-Verordnung) zu entsprechen.

Kontaktieren Sie uns!

Um Ihre Ziele und Erwartungen zu erfüllen, sind wir auf eine enge Zusammenarbeit mit Ihnen angewiesen. Unsere Pentester begleiten Ihr Projekt ab der Angebotserstellung bis zum Abschluss des Projekts, um Ihre Ziele möglichst effizient zu erreichen und gleichzeitig eine angemessene Testabdeckung gewährleisten zu können. Aus diesem Grund ist es wichtig, feste technische Ansprechpartner zu definieren, die dem Prüfteam über den gesamten Projektzeitraum für Rückfragen zur Verfügung stehen. Neben technischen Ansprechpartnern, die mit dem Prüfobjekt vertraut sind, benötigt unser Prüfteam zudem die folgenden Informationen:

• Klärung der Zielanwendung, Adressen und Prüfszenarien in einer gemeinsamen Abstimmung
• Bereitstellung des Zugangs zur mobilen Anwendung (APK, Google Play Test, IPA, TestFlight)
• Einrichtung von Benutzerkonten für verschiedene Rollen in der Anwendung, z. B. Standardbenutzer und Benutzer mit erweiterten Berechtigungen
• Kontaktdaten Ihrer Ansprechpartner für den Fall von Vorkommnissen während des Tests, insbesondere bei kritischen Sicherheitslücken, die sofortige Maßnahmen erfordern

Die benötigten Informationen sind von der gewünschten Prüftiefe und von der gewählten Prüfmethode abhängig. Ein Penetrationstest kann beispielsweise allein auf Basis von öffentlichen Informationen (Black-Box) durchgeführt oder im White-Box-Verfahren mit detaillierten Informationen, bis hin zum Zugriff auf den Quellcode der Anwendungen, angereichert werden.

Durch eine enge Zusammenarbeit und Ihre aktive Unterstützung bei der Planung können wir einen effektiven und umfassenden Penetrationstest für Ihre mobile Anwendung durchführen.

Kontaktieren Sie uns!

Alle Untersuchungsschritte orientieren sich an der gängigen Praxis und können in ähnlicher Form auch von Angreifern mit bösen Absichten durchgeführt werden. Das Prüfteam passt die einzelnen Prüfschritte während des Penetrationstests an anwendungsspezifische Gegebenheiten und Risiken an, um im Testzeitraum einen repräsentativen Überblick über die in den geprüften mobilen Applikationen vorhandenen Schwachstellen zu ermitteln. Typische Schwachstellen, die im Rahmen der Sicherheitsüberprüfung untersucht werden, sowie sinnvolle Prüfschritte werden beispielhaft im Folgenden benannt.

Speicherung von Anmeldeinformationen

In der Regel speichern mobile Anwendungen Anmeldeinformationen auf den Geräten zwischen, um die Usability nicht durch häufige Anmeldeaufforderungen zu verringern. Das Prüfteam analysiert, wie diese und andere sensible Daten gespeichert werden, um zu verhindern, dass die Daten durch unsichere, unnötige oder unsachgemäße Speicherung offengelegt werden. Mithilfe einer Kombination aus statischen und dynamischen Analysen werden relevante Informationen und deren Speicherorte identifiziert. Basierend auf den identifizierten Informationen wird im Anschluss geprüft, ob die Speicherorte und die umgesetzten Schutzmaßnahmen die Vertraulichkeit der Daten wahren können.

Prüfung der Authentifizierung und Autorisierung

Es wird geprüft, ob Authentifizierungs- und Autorisierungsmechanismen umgangen werden können, wodurch es möglich ist, dass Unbefugte Zugriff auf die Anwendung oder auf die Daten der Anwendung erhalten. Für die Prüfung erfasst das Prüfteam die Authentifizierungs- und Autorisierungsprozesse zur Laufzeit der Anwendung, um darauf aufbauend mögliche Schwachstellen zu identifizieren. Mithilfe von Werkzeugen für die Instrumentalisierung von mobilen Anwendungen und unter Verwendung von HTTP-Interception-Proxys versucht das Prüfteam, die implementierten Mechanismen zu manipulieren und unvorhergesehenes oder ungewolltes Verhalten zu provozieren.

Kommunikationssicherheit

In diesem Prüfschritt wird die Sicherheit der Kommunikation zwischen der mobilen Anwendung und dem Backend geprüft. Durch einen unzureichenden Schutz der Kommunikation kann es Dritten möglich sein, die Kommunikation mitzulesen und so an sensitive Informationen zu gelangen oder eine Inkonsistenz von Daten herbeizuführen. Das Prüfteam analysiert die eingesetzte Transportverschlüsselung, mögliche End-to-end-Verschlüsslung und weitere Maßnahmen wie Zertifikats-Pinning und CA-Pinning, um Schwächen zu identifizieren.

Schutz der mobilen Anwendungen gegen Reverse Engineering und Malware

Das Prüfteam nutzt in diesem Schritt gängige Methoden, um die Logik der Anwendung offenzulegen. Um umfassende statische und dynamische Analysen durchzuführen, prüft das Prüfteam Maßnahmen wie Quellcode-Verschleierung, Anti-Tampering und Root/Jailbreak-Detection. Die Maßnahmen werden dabei in der Regel Black-Box aus Sicht eines Angreifers ohne Insiderinformationen geprüft, um eine möglichst realitätsnahe Prüfung zu ermöglichen. Basierend auf den identifizierten und umgangenen Schutzmaßnahmen schätzt das Prüfteam die Aufwände für eine vollständige Kompromittierung der Anwendungslogik ein. 

Sicherheitsrelevante Fehlkonfigurationen

Die Anwendung wird durch das Prüfteam auf mögliche Fehlkonfigurationen geprüft, die es Dritten ermöglichen können, Daten auszuspähen, die Integrität von Daten zu beinträchtigen oder Einfluss auf die Verfügbarkeit zu nehmen. Für die Prüfung identifiziert das Prüfteam alle relevanten Konfigurationsdateien und deren Verwendung, um die Auswirkungen der Konfiguration zu bestimmen. 

Speicherung von vertraulichen Daten 

In diesem Prüfschritt liegt der Fokus auf der Identifizierung und Bewertung der Sicherheitsmaßnahmen, die zum Schutz vertraulicher Daten innerhalb der mobilen Anwendung verwendet werden. Dabei werden gängige Speicherorte wie lokale Datenbanken, Dateisysteme und Zwischenspeicher untersucht, um festzustellen, ob vertrauliche Informationen wie persönliche Daten oder Authentifizierungsinformationen sicher gespeichert werden. Ziel ist es, die Wirksamkeit der implementierten Sicherheitsmaßnahmen zu bewerten und das Risiko einer unautorisierten Offenlegung oder Manipulation von Daten einzuschätzen. 

Prüfung kryptografischer Verfahren

In diesem Schritt steht die verwendete Kryptografie im Fokus des Prüfteams. Es wird geprüft, ob die eingesetzten kryptografischen Methoden die Vertraulichkeit und Integrität vertraulicher Daten angemessen schützen. Dabei identifiziert das Prüfteam die Punkte der Anwendung, an denen kryptografische Methoden eingesetzt und parametrisiert werden. Basierend auf den identifizierten kryptografischen Methoden werden diese auf bekannte Schwächen und die richtige Verwendung geprüft. Die Methoden und deren Anwendung, z. B. inklusive der Schlüsselverwaltung, wird analysiert und auf Angemessenheit geprüft. Die Verwendung unsicherer oder nicht anwendungsgerechter Kryptografie kann Angreifern ermöglichen, vertrauliche Daten zu stehlen oder zu manipulieren.

Success Story AVI.Dat    Success Story regio iT - Ehrenamtskarte