OWASP MASVS
OWASP MASVS e os quatro controles de resiliência
O que o padrão de segurança mobile pede, onde entra a resiliência e como ver hoje em que ponto o seu app está.
Resposta curta
O OWASP Mobile Application Security Verification Standard (MASVS) é o padrão da OWASP para requisitos de segurança de apps móveis. Ele agrupa os controles em oito categorias, de STORAGE a PRIVACY. O MASVS-RESILIENCE é a categoria sobre resistir a engenharia reversa e adulteração, com quatro controles: integridade da plataforma, antiadulteração, contra análise estática e contra análise dinâmica.
MASVS, MASTG e MASWE
O MASVS diz o que verificar. O OWASP Mobile Application Security Testing Guide (MASTG) diz como testar, com técnicas e ferramentas, e a enumeração de fraquezas liga os requisitos a problemas concretos. Revisões de segurança e pentests costumam usar os três juntos.
Por que a resiliência importa para apps que movimentam dinheiro
As outras categorias protegem dados e comunicação quando o aparelho é confiável. A resiliência cobre o caso em que ele não é: celular com root, app instrumentado ou cópia modificada. É essa a situação que o atacante cria quando vai atrás de apps que movimentam dinheiro.
Como usar
Mapeie cada controle ao que o app faz hoje, ache as lacunas e corrija primeiro os problemas de configuração, que são baratos. Depois adicione proteção em tempo de execução e endurecimento para os controles de resiliência, e guarde a evidência de cada mudança para as revisões.
O que dizem as fontes
O MASVS agrupa os controles em oito categorias: STORAGE, CRYPTO, AUTH, NETWORK, PLATFORM, CODE, RESILIENCE e PRIVACY.
Fonte · conferido em
MASVS-RESILIENCE-1: o app valida a integridade da plataforma.
Fonte · conferido em
MASVS-RESILIENCE-2: o app implementa mecanismos contra adulteração.
Fonte · conferido em
MASVS-RESILIENCE-3: o app implementa mecanismos contra análise estática.
Fonte · conferido em
MASVS-RESILIENCE-4: o app implementa técnicas contra análise dinâmica.
Fonte · conferido em
O que a Moatgator faz
O Scan grátis dá nota de A a F a um APK, AAB ou IPA, com os achados mapeados ao OWASP MASVS-RESILIENCE.
Fonte · conferido em
O Shield cobre a defesa contra análise estática com a ofuscação do app compilado.
Fonte · conferido em
O Runtime cobre integridade da plataforma, antiadulteração e defesa contra análise dinâmica, com detecções que respondem por política.
Fonte · conferido em
Onde termina
A nota de um scan estático lê o pacote; ela não substitui um pentest nem uma revisão completa do MASVS, e cumprir todos os controles não torna um app impossível de atacar.
Perguntas frequentes
O MASVS é uma certificação?
Não. É um padrão de verificação. As organizações usam o MASVS para definir requisitos e organizar revisões de segurança e pentests.
Qual versão do MASVS devo usar?
A versão atual publicada pela OWASP em mas.owasp.org, que define as oito categorias e os quatro controles de resiliência descritos aqui.
Todo app precisa do MASVS-RESILIENCE?
Nem todo. Ele importa mais para apps com dinheiro, credenciais ou conteúdo valioso, em que o atacante investe em engenharia reversa.
Como confiro meu app rápido?
Envie o APK, AAB ou IPA para o Scan grátis. Ele lê o pacote e mapeia o que encontra aos controles de resiliência, sem cadastro.
Veja como está o seu app
Envie um APK, AAB ou IPA para o Scan grátis e receba uma nota, sem cadastro.