Il pentest di un'app mobile analizza l'applicazione Android o iOS, le sue comunicazioni e i dati che conserva sul dispositivo, dove spesso finiscono token e informazioni personali senza protezione. A Messina riguarda app di biglietteria per i traghetti, servizi al cittadino e gestionali di campo, usati su reti pubbliche e quindi esposti a intercettazioni.
Tre fronti: app, traffico, backend
Analizzo il pacchetto dell'app per cercare chiavi e segreti nascosti, intercetto le comunicazioni verso il server per verificarne la cifratura e controllo cosa resta memorizzato sul dispositivo dopo il logout. Le stesse debolezze del backend emergono dal lato API.
Reti pubbliche e dispositivi non fidati
Un'app di biglietteria usata al porto viaggia spesso su Wi-Fi aperti. Verifico che i dati siano protetti anche su reti ostili e che l'app non si fidi ciecamente del dispositivo, magari già compromesso o con permessi di root.
Testate sia Android che iOS?
Sì, entrambi. Le tecniche cambiano ma l'obiettivo è lo stesso: capire cosa può estrarre o manipolare chi ha l'app e un dispositivo sotto controllo.
Serve il codice sorgente?
Non è indispensabile: lavoro anche in modalità black-box sul solo pacchetto. Avere il sorgente rende però l'analisi più profonda e veloce.
Controllate anche le API che l'app chiama?
Sì, perché gran parte dei rischi sta nel backend. Spesso il pentest mobile si integra con un test dedicato delle API.
Vuoi sapere come pentest mobile può proteggere la tua attività a Messina? Richiedi un preventivo gratuito.
Richiedi consulenza gratuita →