Stille Datenabflüsse
Übermittlung von Standort, Kontakten, Zwischenablage oder Zugangsdaten an Drittserver.
Der Kontext
Warum vor der Veröffentlichung prüfen
Die Stores verlangen von Anbietern, ihre Datenschutzpraktiken anzugeben, doch diese Angaben machen die Anbieter selbst. Eine Anwendung kann daher veröffentlicht werden, ohne dass ihre Datenübertragungen, etwa an Drittserver, geprüft wurden.
Die deklarierten Berechtigungen anzusehen reicht nicht: Eine erteilte Berechtigung sagt nichts über ihre Nutzung aus. Erst die Analyse dessen, wofür die Anwendung programmiert ist, zeigt die tatsächliche Verarbeitung und ihre Empfänger.
Auf Unternehmensseite begründet die Verteilung von Anwendungen über ein MDM oder einen internen Store die Verantwortung der Organisation. Überträgt die Anwendung Daten unkontrolliert, ist die Organisation betroffen, ob sie sie entwickelt hat oder nicht.
Ein vollständiges Audit umfasst drei Punkte: Verhalten und Datenverarbeitung, die Sicherheit der Netzwerkkommunikation und Schwachstellen im Code, einschließlich der eingebetteten Bibliotheken.
Die Lösung
Wie Pradeo Ihre Anwendungen prüft
Die Lösung Mobile Application Security Testing von Pradeo analysiert den Binärcode der mobilen Anwendung, ohne Zugriff auf ihren Quellcode. Sie erkennt ihr Verhalten, ihre Netzwerkflüsse und ihre Schwachstellen, referenziert nach OWASP und US-CERT. Android und iOS werden von derselben Plattform abgedeckt.
Die Sicherheitsrichtlinie ist vollständig anpassbar, sodass der Bericht nur das zeigt, was in Ihrer Branche zählt. Die Audits laufen über die Online-Plattform oder per API, eingebunden in Ihre CI/CD-Pipeline: Jede neue Version wird vor der Veröffentlichung automatisch analysiert, ohne manuellen Schritt für die Entwickler.