¿Qué es MAST?

Cada mañana, al levantarme, lo primero que hago es mirar en mi teléfono qué mensajes nuevos he recibido. Es un hábito muy arraigado. Para muchos de nosotros, el uso de las capacidades de estos dispositivos forma parte de nuestra rutina diaria. Como seguramente has observado, estamos saturados de aplicaciones móviles. Las utilizamos para administrar nuestro dinero, pedir servicios de transporte y comida, jugar, fijar objetivos y hacerle seguimiento a nuestra actividad física, y para montones y montones de cosas más. Incluso hay aplicaciones tan estrambóticas y divertidas como la que te dice cuáles son los momentos adecuados en una película que estás viendo en el cine para salir al baño y no perderte las escenas más cruciales. Al parecer, a principios de esta década, el número de aplicaciones móviles rondaba ya los 8.9 millones.

Las aplicaciones y dispositivos móviles no suelen alcanzar el mismo nivel de seguridad que las aplicaciones de escritorio y los PC. Hoy en día, los sistemas operativos más comunes para aplicaciones móviles son Android e iOS. Estos sistemas disponen de controles de seguridad que ayudan de alguna manera a los desarrolladores de software a crear aplicaciones seguras. No obstante, a menudo corresponde a los desarrolladores elegir entre múltiples opciones de seguridad, y muchas veces sus decisiones no son las mejores.

Las aplicaciones móviles que carecen de controles adecuados pueden acabar revelando datos sensibles a otras aplicaciones presentes en los dispositivos. Los usuarios maliciosos y el malware pueden saltarse fácilmente los controles de autenticación, autorización e introducción de datos. Por otra parte, la falta de un cifrado potente para el almacenamiento y la transmisión de datos es bastante peligrosa. Todas estas debilidades se deben a ignorancia y errores en el proceso de desarrollo. En este sentido, los desarrolladores novatos (aunque los expertos también pueden cometer estos errores) también pueden insertar inocentemente nombres de usuario y contraseñas directamente en sus códigos fuente. Además, pueden copiar y pegar fragmentos de código o descargar librerías y marcos de trabajo sin pensarlo dos veces y, de este modo, acabar creando y distribuyendo aplicaciones vulnerables.

Riesgos como los anteriores se exponen en el OWASP Mobile Top 10, que forma parte del OWASP Mobile Security Project. Este proyecto pretende proporcionar a los desarrolladores de software y a los equipos de seguridad recursos de orientación para crear y mantener aplicaciones móviles seguras. El estándar ofrecido en este proyecto es el OWASP MASVS (Mobile Application Security Verification Standard). Vinculada a este estándar hay una guía, la OWASP MSTG (Mobile Security Testing Guide), la cual describe los procesos para probar los controles incluidos en MASVS.

El último OWASP Mobile Top 10, la lista de 2016, presenta los siguientes riesgos:

Las técnicas de evaluación más utilizadas en MAST para la detección de vulnerabilidades son las pruebas de seguridad de aplicaciones estáticas (SAST) y las pruebas de seguridad de aplicaciones dinámicas (DAST). La primera es la que accede a la estructura interna de la aplicación mientras no se está ejecutando para evaluar su código fuente, byte o binario. No detecta problemas relacionados con datos en transición o en reposo. La segunda es la que, sin acceso a la estructura, analiza la funcionalidad de la aplicación mientras se ejecuta. Simula ataques contra la aplicación y verifica sus reacciones (la efectividad de sus controles de seguridad).

Aplicar una de estas técnicas, o incluso ambas, basándose únicamente en la automatización, es insuficiente para una evaluación holística de una aplicación móvil. Las herramientas automáticas pueden actualizarse constantemente en función de las bases de datos y las nuevas versiones de las plataformas móviles, pero se centran en la detección de algunas vulnerabilidades conocidas. Para una mejor cobertura en MAST, deben incluirse pruebas de penetración manuales continuas. Este procedimiento realizado por expertos en seguridad aumenta la precisión, reduciendo las tasas de falsos positivos y no pasando por alto vulnerabilidades más complejas y graves, incluso de día cero.

Cuando una organización solicita este servicio, busca prevenir la explotación de vulnerabilidades en las aplicaciones que emplea u ofrece a sus usuarios. Busca asegurar que los controles de seguridad de la aplicación funcionan correctamente y así proteger la integridad y confidencialidad de su información y la de sus usuarios. Al utilizar servicios de distribución digital, como Google Play Store o Apple App Store, las organizaciones familiarizadas con MAST saben que estos proveedores no revisan completamente sus aplicaciones. (Ni Google ni Apple realizan evaluaciones dinámicas, por ejemplo.) Ellas saben que es su propio deber obtener análisis integrales de su software.

No importa si tu empresa es pequeña o grande. Aunque las segundas suelen ser más buscadas por los ciberdelincuentes, las primeras también pueden ser víctimas de ciberataques a través de sus propias aplicaciones. En Fluid Attacks ofrecemos MAST, integrando SAST, DAST y pentesting para identificar vulnerabilidades en tus aplicaciones móviles. (Nuestro equipo de hacking cuenta con certificaciones como eMAPT para evaluar la seguridad de aplicaciones móviles y otras muchas credenciales que puedes consultar aquí). Introducimos fácilmente nuestras pruebas en tu ciclo de vida de desarrollo de software para analizar continuamente tu código y configuraciones para identificar problemas de seguridad y que así puedas remediarlos antes de mover tus aplicaciones a producción. Además, es posible que utilices nuestras pruebas no solo en tus aplicaciones, sino que también las solicites para comprobar muchos otros sistemas. Te recordamos que, dentro de nuestras técnicas de análisis, también disponemos de SCA para detectar problemas de seguridad en tus componentes de código abierto o de terceros.

Puedes contactarnos para obtener más información sobre MAST en Fluid Attacks y sus capacidades. Y si quieres empezar a disfrutar de nuestras pruebas automáticas, puedes solicitar la prueba gratuita de 21 días de nuestro plan Essential de Hacking Continuo aquí.