Ders 1.18: Mobil tehditler ve platformun uygulamaları nasıl koruduğu
Bir telefon e-postayı, bankacılığı, konumu ve şirket sistemlerinin anahtarlarını taşır ve her yere gider. Android ve iOS uygulamaları aynı temel fikirlerle korur: her uygulama kendi kullanıcısıyla kendi korumalı alanında (sandbox) çalışır, yalnızca izni olduğu verilere ve donanıma ulaşabilir ve imzalı olmalıdır. OWASP'ın Mobil Uygulama Güvenliği projesi (MASVS ve test kılavuzu MASTG) bunu bir denetim listesine dönüştürür. Laboratuvarda Northwind'in test telefonuna bağlanıyor, sürümünü ve yama düzeyini okuyor, şirket uygulamasını buluyor ve korumalı alanı iş başında görüyorsun: uygulamanın kendi kullanıcı kimliği ve veri klasörü var ve hata ayıklama kabuğu içine bakamıyor.
15 dk
Bu derste öğreneceklerin
- Başlıca mobil tehditleri saymak
- Uygulama korumalı alanını, izinleri ve imzalamayı açıklamak
- OWASP MASVS ve MASTG'yi tanımak
- adb ile bir cihaza bağlanmak
- Bir cihazın Android sürümünü ve yama düzeyini okumak
Temel terimler
- Korumalı alan (sandbox)
- Her uygulama, diğer uygulamalardan yalıtılmış olarak kendi özel depolamasıyla kendi kullanıcısı olarak çalışır.
- İzin
- Bir uygulamanın veri ya da donanım kullanmak için bildirmesi (hassas olanlarda kullanıcının vermesi) gereken bir hak.
- Uygulama imzalama
- Her uygulama geliştiricisi tarafından imzalanır; güncellemeler aynı imzayı taşımalıdır.
- OWASP MASVS / MASTG
- Mobil Uygulama Güvenliği Doğrulama Standardı ve Test Kılavuzu: güvenli bir uygulamanın ne yapması gerektiği ve nasıl test edileceği.
- adb
- Android Debug Bridge: bir telefonla ya da öykünücüyle konuşmak için geliştirici aracı.
← Zararlı yazılım türleri · Tüm dersler · Bilgisayar ağı nedir? →