Voor veel digitale diensten is de mobiele app inmiddels de belangrijkste ingang. Mensen bankieren, winkelen, regelen hun zorgzaken en werken op hun telefoon. Elke dag opnieuw vertrouwen miljoenen gebruikers daarbij gevoelige transacties en persoonlijke gegevens aan een app toe.
Die mobiliteit brengt eigen risico’s mee. Een app slaat gegevens lokaal op het toestel op, communiceert geregeld via een onbeveiligd wifinetwerk en draait op een telefoon die de gebruiker zelf kan rooten of jailbreaken. Bovendien zit de app-code letterlijk in handen van de gebruiker. Een APK- of IPA-bestand is te downloaden en te decompileren, en daarmee kan iemand hardcoded API-keys, versleutelingsalgoritmes en business logic uit de app halen.
Een mobile app pentest (kort voor mobile app penetratietest, ook wel iOS pentest, Android pentest of mobile application security testing genoemd) onderzoekt de beveiliging van een mobiele app met statische en dynamische analyse. Onze pentesters decompileren de app-code, bekijken de dataopslag, onderscheppen het netwerkverkeer en testen tegen de OWASP Mobile Top 10. Zo brengen we de zwakke plekken in kaart voordat een kwaadwillende hacker ze vindt.
Een mobiele app verwerkt vaak de gevoeligste gegevens van uw organisatie: inloggegevens van klanten, betaalgegevens, medische dossiers en bedrijfsdocumenten. Die gegevens staan op toestellen die makkelijk kwijtraken, gestolen worden of in verkeerde handen vallen. Eén kwetsbaarheid in de app kan dan leiden tot een groot datalek, een boete van de toezichthouder of reputatieschade.
Een mobile app pentest is verstandig in onder meer deze situaties:
Laat een mobiele app regelmatig testen. In de platforms van Android en iOS en in third-party libraries worden voortdurend nieuwe kwetsbaarheden ontdekt.
Een mobile app pentest kan op drie manieren. Het verschil zit in hoeveel voorkennis en toegang de pentester vooraf krijgt.
Bij een blackbox mobile app pentest kruipt onze pentester in de huid van een aanvaller zonder voorkennis van de app. Zo komt de test het dichtst bij een echte aanval van buitenaf.
Een greybox mobile app pentest zit tussen blackbox en whitebox in. De pentester krijgt beperkte informatie en toegang, wat de test realistisch én efficiënt houdt.
Bij een whitebox mobile app pentest krijgt onze pentester alle beschikbare informatie, inclusief de broncode en beheeraccounts. Daarmee onderzoeken we de app het grondigst.
Meer over onze aanpak en expertise leest u op de pagina over ons.
Wilt u weten hoe kwetsbaar uw mobiele app is? Neem dan vrijblijvend contact met ons op. We vertellen u graag meer over ons bedrijf en onze aanpak, en horen graag wat de scope van uw app is.
Elke mobiele app is anders, dus stellen wij voor elke opdracht een voorstel op maat op. Een pentest kan binnen 3 weken van start. De uitvoering duurt, afhankelijk van het type test en de complexiteit, tussen 3 dagen en 2 weken.
Wij analyseren uw Android- of iOS-app op data leakage, onveilige API-aanroepen en kwetsbaarheden in third-party libraries. Vraag een voorstel op maat aan.
Neem contact opOf mail ons direct via [email protected]
Een mobile app pentest en een API pentest vullen elkaar aan, maar kijken naar iets anders.
Een mobile app pentest richt zich op de app zelf:
Een API pentest kijkt naar de serverkant:
Een volledig onderzoek omvat beide. De mobile pentest test de app, de API pentest de backend. Wij raden u aan beide te laten uitvoeren, omdat kwetsbaarheden vaak juist op de grens tussen app en server zitten.
Voor het pentesten van mobiele apps bestaan verschillende erkende certificeringen:
Ook de certificeringen voor webapplicaties zijn van belang, omdat een mobile app vaak API-calls doet naar backend-endpoints. Deze certificeringen staan voor een hoog niveau op het gebied van mobile security en pentesten.
Bij een mobile app pentest werken wij volgens internationaal erkende methodieken:
Daarnaast houden wij rekening met de OWASP Mobile Top 10, de NCSC-richtlijnen, CWE (Common Weakness Enumeration) en CVSS (Common Vulnerability Scoring System) voor de scoring van de bevindingen.
Onze pentesters gebruiken bij een mobile app pentest onder meer deze tools:
Wij combineren deze tools altijd met handmatig onderzoek door een ervaren ethical hacker.
Hoe lang een mobile app pentest duurt, hangt af van de complexiteit en de testvorm die u kiest:
Heeft u een beperkt budget? Dan kunt u ook kiezen voor een timeboxed pentest. U geeft aan hoeveel budget er is en wij bepalen daarmee hoeveel tijd we aan de test besteden. We leggen de focus op de belangrijkste en best vindbare bevindingen. Dat is een goede eerste stap voor organisaties die nog niet eerder een pentest hebben laten doen.
Een mobile app pentest verloopt in twee fasen, volgens de OWASP Mobile Application Security Testing Guide (MASTG).
In de eerste fase doen wij statische analyse (SAST):
In de tweede fase doen wij dynamische analyse (DAST):
Wij testen alle soorten mobiele apps op iOS en Android.
Native apps:
Hybride apps die op meerdere platforms draaien:
Progressive web apps (PWA’s):
Elk type heeft eigen aandachtspunten. Wij stemmen onze aanpak daarop af.
De kwetsbaarheden die het vaakst in mobiele apps voorkomen, staan in de OWASP Mobile Top 10:
Deze kwetsbaarheden vormen de basis van elke mobile app pentest. Wij lopen ze stap voor stap na volgens de OWASP Mobile Application Security Testing Guide.