Implementação de Pentest em Aplicações Móveis

Com os avanços tecnológicos e da cultura do hacking, mesmo com equipes de segurança extremamente competentes é quase impossível se criar um programa sem falhas. Para preencher essa lacuna teve-se a ideia de pensar como o atacante para descobrir as vulnerabilidades e neutralizá-las antes de um ataque real. Os profissionais não só identificam vulnerabilidades, mas também as exploram para avaliar o que os invasores poderiam obter após uma exploração bem-sucedida das falhas. A implementação de testes em aplicativos comerciais gera um novo desafio em relação ao estudo da área. Essas aplicações geralmente têm um investimento em segurança, o que tornam o trabalho do atacante e do pentester mais difícil. Nesse contexto, o projeto busca implementar conceitos, métodos, ferramentas e processos de segurança utilizados em teste de intrusão em dispositivos móveis, com o objetivo de desenvolver o conhecimento e demonstrar a área e sua importância em um cenário real. As metodologias utilizadas foram pesquisas bibliográficas, aulas com especialista, ferramentas de segurança como a proxy Burp Suit e o software de análise MobSF, entre outras, além do kit de desenvolvimento do Android e do próprio terminal do Linux e seus comandos. O pentest, mesmo tendo vários padrões de execução, é uma atividade intuitiva e criativa. Para ambientes mobile, geralmente é seguido, mas não limitado, o padrão OWASP (Open Web Application Security Project). Primeiro é feita a engenharia reversa, depois as análises estáticas e dinâmicas e por fim o relatório. A análise estática gera uma base de informação para analisar e entender a forma que o aplicativo funciona e possíveis vetores de ataque que podem ser explorados com conhecimento técnico e ferramentas de ataques a fim de se encontrar vulnerabilidades para reportar a empresa responsável. O trabalho atualmente se encontra no início da fase de testes em aplicativos comerciais seguindo os meios legais. Devido a isto e do tempo limitado do projeto, ainda não foram obtidos os resultados esperados, isto é, não foram encontradas vulnerabilidades em aplicativos comerciais. O próximo passo, com conhecimento técnico melhorado, é encontrar falhas e fazer os respectivos relatórios (à empresa responsável pela falha).