Fugas de datos silenciosas
Envío de la geolocalización, los contactos, el portapapeles o credenciales a servidores de terceros.
El contexto
Por qué auditar antes de publicar
Las tiendas piden a los editores que declaren sus prácticas de privacidad, pero esas declaraciones las rellenan los propios editores. Una aplicación puede publicarse, por tanto, sin que se hayan controlado sus envíos de datos, por ejemplo a servidores de terceros.
Mirar los permisos declarados no basta: un permiso concedido no dice nada del uso que se hace de él. Analizar lo que la aplicación está programada para hacer revela los tratamientos reales y sus destinatarios.
Del lado de la empresa, distribuir aplicaciones mediante un MDM o una tienda interna compromete la responsabilidad de la organización. Si la aplicación transmite datos de forma no controlada, la organización se ve implicada, la haya desarrollado o no.
Una auditoría completa abarca tres puntos: los comportamientos y tratamientos de datos, la seguridad de las comunicaciones de red y las vulnerabilidades del código, incluidas las de las bibliotecas integradas.
La solución
Cómo Pradeo audita sus aplicaciones
La solución de Mobile Application Security Testing de Pradeo analiza el código binario de la aplicación móvil, sin acceso a su código fuente. Identifica sus comportamientos, sus flujos de red y sus vulnerabilidades, referenciadas según OWASP y US-CERT. Android e iOS se cubren con la misma plataforma.
La política de seguridad es totalmente personalizable, para que el informe solo muestre lo que importa en su sector. Las auditorías se ejecutan desde la plataforma en línea o por API, integradas en su cadena CI/CD: cada nueva versión se analiza automáticamente antes de su publicación, sin pasos manuales para los desarrolladores.