01Sorun ve çözüm
Mobil uygulama sızma testi hizmeti, Android ve iOS sürümlerini hem paket düzeyinde hem de çalışırken inceler; cihazdaki veri saklamayı, ağ iletişimini ve sunucu ile konuşma biçimini yazılı izin ve onaylı kapsam içinde sınar. Bulgular, yayınlanacak sürümde neyin düzeltilmesi gerektiğini gösterecek şekilde raporlanır.
02Kimler için
Mobil uygulama sızma testi hangi durumlarda gerekir
Uygulama mağazaya girmeden önce ve hassas bir işlev eklendiğinde test en çok değer taşır.
- Uygulamasını ilk kez Google Play ya da App Store'a göndermeden önce güvenlik kontrolü yaptırmak isteyen ekipler
- Biyometrik giriş, ödeme, konum veya sağlık verisi gibi hassas işlevler ekleyen işletmeler
- Uygulamayı dış bir firmaya yaptırmış ve yayınlamadan önce bağımsız doğrulama isteyen şirketler
- Kurumsal müşterisi ya da bankası mobil uygulama güvenlik raporu talep eden yazılım firmaları
03İhtiyaçlar
Mobil uygulamada yoklanan güvenlik sorunları
Risk üç yerde birikir: cihazdaki veri, ağdaki trafik ve sunucudaki işlem.
- 01
Cihazda güvensiz veri saklama
Parola, oturum anahtarı ya da kişisel verinin şifresiz yerel dosyalarda, günlüklerde veya yedeklerde bırakılıp bırakılmadığı kontrol edilir.
- 02
Pakete gömülmüş sırlar
Uygulama paketi tersine çevrildiğinde API anahtarları, sabit parolalar veya iç adresler okunabiliyorsa bu bilgi herkese açıktır.
- 03
Zayıf ağ iletişimi
TLS yapılandırması, sertifika sabitleme ve araya girilerek trafiğin okunup değiştirilip değiştirilemediği denenir.
- 04
Bileşenler ve bağlantılar
Dışarıdan tetiklenebilen derin bağlantılar, WebView kullanımı ve Android'de dışa açık bileşenler yetkisiz işlem yaptırabilir.
- 05
Oturum ve biyometrik doğrulama
Biyometrik girişe yalnızca istemcide mi karar verildiği, oturum anahtarının cihazda nasıl korunduğu ve çalınan bir oturumun sunucuda geçersiz kılınıp kılınamadığı denenir.
04Özellikler
Mobil uygulama sızma testi kapsamı ve çıktıları
Android ve iOS sürümleri ayrı planlanır; ortak kullandıkları arka uç ayrıca kapsama alınabilir.
- 01
Statik inceleme
Paket açılarak izinler, yapılandırma dosyaları, kütüphaneler ve kod içindeki hassas veriler incelenir.
- 02
Dinamik inceleme
Uygulama gerçek veya emüle edilmiş cihazda çalıştırılır; çalışırken dosyalarda ve bellekte ne bıraktığı, trafiğinin nasıl göründüğü izlenir.
- 03
Arka uç API testi
Uygulamanın konuştuğu uç noktalar, mobil istemciden bağımsız olarak yetki ve girdi kontrolleri açısından sınanır.
- 04
Rapor ve yeniden test
Bulgular platform ve risk derecesine göre gruplanır; düzeltilen sürüm için yeniden test yapılır.
05Entegrasyonlar
Mobil uygulama testinin bağlandığı sistemler
Mobil uygulama tek başına bir paket değil, bir dağıtım ve servis zincirinin parçasıdır.
- 01
Dağıtım ve mağaza süreci
Test için kullanılacak derleme sizden alınır; mağaza hesabınız ve mağaza altyapıları hedef değildir.
- 02
Gömülü SDK'lar
Analiz, bildirim ve reklam kütüphanelerinin hangi veriyi nereye gönderdiği incelenir; bu bilgi KVKK değerlendirmeniz için de girdi olur.
- 03
Kimlik ve ödeme servisleri
Giriş, biyometrik doğrulama ve ödeme akışının uygulama ile sunucu arasında nasıl yürüdüğüne bakılır; ödeme kuruluşunun kendi altyapısı kapsam dışıdır.
06Süreç
Mobil uygulama testinin adımları
Adım 01
Kapsam ve derleme teslimi
Platformlar, test derlemesi, test hesapları, arka uç kapsamı ve iletişim kişileri yazılı olarak belirlenir.
Adım 02
Paket analizi
Uygulama paketi açılır; izinler, yapılandırma, kütüphaneler ve gömülü sırlar incelenir.
Adım 03
Çalışma zamanı testi
Uygulama cihazda çalıştırılarak veri saklama, ağ trafiği ve bileşen etkileşimleri gözlenir.
Adım 04
Arka uç doğrulaması
Uygulamanın konuştuğu API'ler yetki ve girdi açısından ayrıca sınanır.
Adım 05
Raporlama
Bulgular platforma ve riske göre gruplanır; yayından önce kapatılması gerekenler öne alınır.
Adım 06
Yeniden test
Düzeltilen derleme alınır; kapanan bulgular doğrulanır ve rapor güncellenir.
07Teknoloji
Mobil güvenlik testinde izlenen standartlar
Test planı OWASP MASVS gereksinimlerine ve OWASP Mobile Application Security Testing Guide yöntemlerine göre kurulur. Hassas veri işlemeyen uygulamalarda standart düzey, finans ve sağlık gibi alanlarda daha kapsamlı düzey ve dayanıklılık kontrolleri seçilebilir.
Devamını okuDaha az göster
Root ve jailbreak tespiti ya da kod gizleme gibi koruma katmanları ek savunmadır, tek başına güvenlik sağlamaz; bunları atlatma denemesi isteğe bağlıdır ve ayrıca yazılı kararlaştırılır. Testler sizin sağladığınız test hesapları ve test derlemesiyle yürür, gerçek müşteri verisi kullanılmaz.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Mobil uygulama sızma testi hakkında sık sorulan sorular
Mobil uygulama sızma testi hem Android hem iOS için mi yapılır?
İki platform ayrı kalemlerdir; ikisini birlikte ya da yalnızca birini seçebilirsiniz. Ortak kullandıkları arka uç API ise tek sefer, ayrıca kapsama alınır.
Mobil uygulama sızma testi fiyatları neye göre değişir?
Platform sayısı, ekran ve işlev karmaşıklığı, arka ucun kapsama alınıp alınmaması ve dayanıklılık kontrolleri fiyatı etkiler.
Mobil uygulama sızma testi firması hangi dosyaları ister?
Test derlemesi (APK, AAB ya da IPA), rol bazlı test hesapları ve varsa API belgesi. Kaynak kod paylaşımı zorunlu değildir; paylaşılırsa daha derin bir inceleme yapılabilir.
Mağazadaki sürümü indirip test edebilir misiniz?
Yayındaki sürüm indirilebilir, ancak hata ayıklamaya uygun, izlenebilir bir test derlemesi daha doğru sonuç verir. Hangisinin kullanılacağı kapsam belgesinde yazılı olur.
Bu test KVKK uyumunu belgeler mi?
Hayır. Test, uygulamanın kişisel veriyi nasıl sakladığına ve ilettiğine dair teknik bulgular sağlar; bunlar uyum çalışmanıza girdi olur. Hukuki değerlendirme için hukuk danışmanınıza başvurun.
Uygulamamız React Native veya Flutter ile yazıldıysa test değişir mi?
Çerçeveye göre paket analizi yöntemi farklılaşır, ancak cihazdaki veri, ağ trafiği ve arka uç davranışı her çerçevede aynı şekilde incelenir. Kullandığınız çerçeveyi ön görüşmede belirtmeniz yeterlidir.
10İlgili hizmetler