OWASP MASVS
OWASP MASVS и четыре контроля устойчивости
Что требует стандарт мобильной безопасности, где в нём устойчивость и как увидеть, на каком уровне ваше приложение сегодня.
Короткий ответ
OWASP Mobile Application Security Verification Standard (MASVS) — стандарт OWASP с требованиями к безопасности мобильных приложений. Он группирует контроли в восемь категорий — от STORAGE до PRIVACY. MASVS-RESILIENCE — категория об устойчивости к обратной разработке и модификации, в ней четыре контроля: целостность платформы, защита от модификации, защита от статического анализа и защита от динамического анализа.
MASVS, MASTG и MASWE
MASVS говорит, что проверять. OWASP Mobile Application Security Testing Guide (MASTG) говорит, как это тестировать, с техниками и инструментами, а перечень слабостей связывает требования с конкретными проблемами. Аудиты безопасности и пентесты часто используют все три вместе.
Почему устойчивость важна для приложений с деньгами
Остальные категории защищают данные и обмен, когда устройству можно доверять. Устойчивость охватывает случай, когда нельзя: телефон с root, инструментированное приложение или изменённая копия. Именно такую ситуацию создаёт злоумышленник, атакуя приложения, через которые проходят деньги.
Как этим пользоваться
Сопоставьте каждый контроль с тем, что приложение делает сегодня, найдите пробелы и сначала исправьте ошибки конфигурации — это дёшево. Затем добавьте защиту во время выполнения и укрепление для контролей устойчивости и сохраняйте подтверждение каждого изменения для аудитов.
Что говорят источники
MASVS группирует контроли в восемь категорий: STORAGE, CRYPTO, AUTH, NETWORK, PLATFORM, CODE, RESILIENCE и PRIVACY.
Источник · проверено
MASVS-RESILIENCE-1: приложение проверяет целостность платформы.
Источник · проверено
MASVS-RESILIENCE-2: приложение применяет механизмы защиты от модификации.
Источник · проверено
MASVS-RESILIENCE-3: приложение применяет механизмы защиты от статического анализа.
Источник · проверено
MASVS-RESILIENCE-4: приложение применяет техники защиты от динамического анализа.
Источник · проверено
Что делает Moatgator
Бесплатный Scan оценивает APK, AAB или IPA от A до F, сопоставляя находки с OWASP MASVS-RESILIENCE.
Источник · проверено
Shield закрывает защиту от статического анализа обфускацией скомпилированного приложения.
Источник · проверено
Runtime закрывает целостность платформы, защиту от модификации и от динамического анализа с помощью обнаружений, реагирующих по политике.
Источник · проверено
Где границы
Оценка статического анализа читает пакет; она не заменяет пентест или полный аудит по MASVS, и выполнение всех контролей не делает приложение неуязвимым.
Часто задаваемые вопросы
MASVS — это сертификация?
Нет. Это стандарт проверки. Организации используют его, чтобы задавать требования и строить аудиты безопасности и пентесты.
Какую версию MASVS использовать?
Текущую версию, опубликованную OWASP на mas.owasp.org: в ней определены восемь категорий и четыре контроля устойчивости, описанные здесь.
Нужен ли MASVS-RESILIENCE каждому приложению?
Не каждому. Он важнее всего для приложений с деньгами, учётными данными или ценным контентом, где злоумышленник вкладывается в обратную разработку.
Как быстро проверить приложение?
Загрузите APK, AAB или IPA в бесплатный Scan. Он читает пакет и сопоставляет найденное с контролями устойчивости, без регистрации.
Узнайте, как защищено ваше приложение
Загрузите APK, AAB или IPA в бесплатный Scan и получите оценку без регистрации.