Android uygulama güvenlik temeli

Amaç

Önce manifest ve exported yüzeyi incele, sonra sırların ve verinin nasıl saklandığını kontrol et, son olarak uygulamanın kurcalama ve bütünlük hatasına nasıl tepki verdiğini gör.

Ön koşullar

• Sahibi olduğun ya da açıkça test etmeye yetkili olduğun bir uygulama; emülatör ya da ayrılmış bir test cihazında kurulu.
• Statik inceleme için APK (manifest için apktool/`aapt`, kod için bir decompiler).
• İzolasyon: kişisel hesap ya da veri bulunmayan bir test cihazı/profili.

Ortam

• Binder IPC omurgadır: exported bileşenler, diğer uygulamaların erişebildiği parçalardır.
• Duran veri: uygulamanın token ve dosyaları nerede tuttuğu ve Keystore/Keymint destekli anahtar kullanıp kullanmadığı.
• WebView ve JNI/NDK: yüzeyi sıklıkla genişleten köprü noktaları.

Adımlar

1. 1

   Exported yüzeyi haritala

   Manifestten exported activity, service, receiver ve provider’ları listele. Her biri, bir izin ya da doğrulama kontrolüyle korunmuyorsa diğer uygulamalar tarafından erişilebilir.

2. 2

   Veri depolamayı incele

   Düz dosyalarda, loglarda ya da herkesin okuyabildiği konumlarda token, anahtar veya kişisel veri ara. Donanım destekli anahtarlar uygulama deposunda değil Keystore’da bulunmalı.

3. 3

   Köprü noktalarını incele

   WebView yapılandırmasını (JS köprüleri, dosya erişimi) ve native kodun Java/Kotlin katmanından veri aldığı JNI/NDK sınırını kontrol et.

4. 4

   Kurcalama tepkisini kontrol et

   Debugger altında ya da değiştirilmiş bir derlemede ne olduğunu gözle: bütünlük doğrulaması güvenli tarafta mı başarısız oluyor ve hata, kontrolün kendisini sızdırmadan mı ele alınıyor?

Nasıl doğrulanır

• Her exported bileşen ya amaçlanmıştır ya da bir gerekçeyle işaretlenmiştir.
• Korumasız bir konumdan hiçbir sır ya da kişisel veri okunamaz.
• Bütünlük hatası düzgün ele alınır ve kontrolün kendisini açığa çıkarmaz.