OWASP MASVS
OWASP MASVS y los cuatro controles de resiliencia
Qué pide el estándar de seguridad móvil, dónde encaja la resiliencia y cómo ver hoy en qué punto está tu app.
Respuesta corta
El OWASP Mobile Application Security Verification Standard (MASVS) es el estándar de OWASP para los requisitos de seguridad de apps móviles. Agrupa los controles en ocho categorías, de STORAGE a PRIVACY. MASVS-RESILIENCE es la categoría sobre resistir la ingeniería inversa y la manipulación, con cuatro controles: integridad de la plataforma, antimanipulación, contra el análisis estático y contra el análisis dinámico.
MASVS, MASTG y MASWE
MASVS dice qué verificar. La OWASP Mobile Application Security Testing Guide (MASTG) dice cómo probarlo, con técnicas y herramientas, y la enumeración de debilidades conecta los requisitos con problemas concretos. Las revisiones de seguridad y los pentests suelen usar los tres juntos.
Por qué la resiliencia importa en apps que mueven dinero
Las demás categorías protegen datos y comunicaciones cuando el dispositivo es de confianza. La resiliencia cubre el caso en que no lo es: un teléfono con root, una app instrumentada o una copia modificada. Es la situación que crea el atacante cuando va a por apps que mueven dinero.
Cómo usarlo
Relaciona cada control con lo que hace tu app hoy, encuentra las carencias y corrige primero los problemas de configuración, que son baratos. Después añade protección en tiempo de ejecución y refuerzo para los controles de resiliencia, y guarda la evidencia de cada cambio para las revisiones.
Qué dicen las fuentes
MASVS agrupa sus controles en ocho categorías: STORAGE, CRYPTO, AUTH, NETWORK, PLATFORM, CODE, RESILIENCE y PRIVACY.
Fuente · comprobado el
MASVS-RESILIENCE-1: la app valida la integridad de la plataforma.
Fuente · comprobado el
MASVS-RESILIENCE-2: la app implementa mecanismos contra la manipulación.
Fuente · comprobado el
MASVS-RESILIENCE-3: la app implementa mecanismos contra el análisis estático.
Fuente · comprobado el
MASVS-RESILIENCE-4: la app implementa técnicas contra el análisis dinámico.
Fuente · comprobado el
Qué hace Moatgator
El Scan gratuito califica de A a F un APK, AAB o IPA, con los hallazgos asociados a OWASP MASVS-RESILIENCE.
Fuente · comprobado el
Shield cubre la defensa contra el análisis estático con la ofuscación de la app compilada.
Fuente · comprobado el
Runtime cubre la integridad de la plataforma, la antimanipulación y la defensa contra el análisis dinámico, con detecciones que responden por política.
Fuente · comprobado el
Dónde termina
La nota de un análisis estático lee el paquete; no sustituye un pentest ni una revisión completa de MASVS, y cumplir todos los controles no hace que una app sea imposible de atacar.
Preguntas frecuentes
¿MASVS es una certificación?
No. Es un estándar de verificación. Las organizaciones lo usan para definir requisitos y estructurar revisiones de seguridad y pentests.
¿Qué versión de MASVS debo usar?
La versión actual que publica OWASP en mas.owasp.org, que define las ocho categorías y los cuatro controles de resiliencia descritos aquí.
¿Toda app necesita MASVS-RESILIENCE?
No todas. Importa sobre todo en apps con dinero, credenciales o contenido valioso, donde el atacante invierte en ingeniería inversa.
¿Cómo compruebo mi app rápido?
Sube el APK, AAB o IPA al Scan gratuito. Lee el paquete y relaciona lo que encuentra con los controles de resiliencia, sin cuenta.
Mira en qué punto está tu app
Sube un APK, AAB o IPA al Scan gratuito y obtén una nota, sin cuenta.