Análisis de seguridad de una aplicación web móvil para sistemas android versión 9, utilizando OWASP MOBILE 2016

Abstract

La aplicación móvil siendo una aplicación hibrida que permite a los clientes consultar saldos, realizar compra de boletería para eventos, pagar servicios, etc. Se asume que esta aplicación guarda, manipula o contiene información sensible de cada cliente, por lo que es necesario garantizar la seguridad de esta información, ya que presentaría un riesgo legal y de reputación para la empresa. Es por ello, que se ha solicitado el permiso de realizar un análisis de seguridad de la aplicación móvil y así poder presentar un informe del estado actual en el que se encuentra, ya que en una revisión rápida con la herramienta Mobsf, Se evidenció que la aplicación no cuenta con todos los controles necesarios para que esta aplicación sea publicada en tiendas móviles (Play Store y AppGallery) Por tanto, este trabajo tiene como objetivo realizar un análisis de vulnerabilidades, con el fin de conocer el estado de seguridad actual de la aplicación. Para ello se utilizará como referente el proyecto Mobile top 10 de OWASP (Open Web Application Security Project) en la versión 2016, el cual identifica los riesgos de seguridad que pueden surgir de acuerdo a su nivel de criticidad y con esto dar prioridad a los riesgos más críticos. Para encontrar las vulnerabilidades o principales riesgos se realizarán 2 tipos de análisis, uno estático y otro dinámico de la aplicación, con el primero se podrá realizar una búsqueda profunda de su estructura, su código y seguridad enfocada en el top 10 de OSWAP Mobile, esto se hará con herramientas como Dex2jar, JD-Gui y APkTool, Frida, Burpsuite, etc., que permiten conocer el código fuente de la aplicación y su nivel de seguridad. Y para el análisis dinámico se utilizarán herramientas como Genymotion, Docker, ADB, Tamer, etc., que permiten emular la aplicación como si se tratara de un teléfono móvil real, pero en el que será posible analizar y capturar todas las acciones que se llevan a cabo dentro de la aplicación y así poder validar si presenta algún comportamiento anormal. Una vez realizadas las pruebas de seguridad se presentará un informe a la empresa, para que tengan el conocimiento de los riesgos y/o vulnerabilidades presentes que tiene la aplicación y a su vez se les presentaran una serie de recomendaciones necesarias para poder solucionarlas.