Перейти к содержанию

Рекомендации по безопасной разработке приложений

Рекомендации для Android

Небезопасное хранение ключевой информации

Доступное на запись хранилище ключей
Доступное на запись хранилище ключей со слабым паролем
Доступное на чтение файловое хранилище ключей
Доступное на чтение хранилище ключей со слабым паролем, содержащее закрытые ключи
Доступное на чтение хранилище ключей со слабым паролем, содержащее открытые ключи
Доступное на чтение хранилище ключей с приватными ключами, защищёнными слабым паролем
Использование файлового хранилища ключей
Хранилище ключей со слабым паролем, содержащее закрытые ключи
Хранилище ключей со слабым паролем, содержащее открытые ключи
Хранилище ключей с приватными ключами, защищёнными слабым паролем

Передача sensitive-информации в Activity

Небезопасная передача sensitive-информации в Activity
Небезопасная передача sensitive-информации во внешнюю Activity
Передача sensitive-информации во внутреннюю Activity

Передача sensitive-информации в Service

Небезопасная передача sensitive-информации в Service
Небезопасная передача sensitive-информации во внешний Service
Небезопасная передача sensitive-информации во внутренний Service

Передача sensitive-информации по сети

Включение sensitive-информации в параметры GET-запроса
Включение чувствительной информации в HTTPS запрос
Передача sensitive информации в HTTP-запросе
Получение sensitive информации в HTTP-ответе
Получение чувствительной информации в HTTPS-ответе

Хранение sensitive-информации

Хранение sensitive-информации в памяти
Хранение sensitive-информации в общедоступном файле вне директории приложения
Хранение sensitive-информации в общедоступном файле внутри директории приложения
Хранение sensitive-информации в приватном файле вне директории приложения
Хранение sensitive-информации в приватном файле внутри директории приложения
Хранение sensitive-информации в общедоступной защищённой базе данных
Хранение sensitive-информации в защищённой базе данных
Хранение чувствительной информации в незащищённой базе данных
Хранение sensitive-информации в общедоступной незащищённой базе данных
Хранение sensitive-информации в исходном коде приложения
Хранение или использование ранее найденной sensitive-информации
Хранение sensitive-информации в кэше клавиатуры

Хранение ключей/сертификатов

Хранение приватного ключа/сертификата не защищенного паролем в директории/ресурсах приложения
Хранение публичного ключа/сертификата в директории/ресурсах приложения
Хранение приватного ключа/сертификата, защищенного паролем, в директории/ресурсах приложения
Хранение сертификата/ключа в директории/ресурсах приложения

Прочие

Вывод sensitive-информации в системный лог
Небезопасный алгоритм подписи
Недостаточная длина ключа подписи
Передача sensitive-информации в BroadcastReceiver
Передача sensitive-информации в private BroadcastReceiver
Передача sensitive-информации в параметрах SQL-запроса
Возможность создания резервной копии приложения
Приложение не обфусцировано
Слабый пароль шифрования базы данных
Перехват пароля шифрования базы данных
Приложение разрешает сетевые соединения по протоколу HTTP
Небезопасная конфигурация сетевого взаимодействия
Потенциальное выполнение произвольного кода в контексте приложения
Хранение значений Cookies в стандартной базе WebView
Небезопасные настройки в AndroidManifest.xml
Небезопасные настройки в AndroidManifest.xml. Флаг android:hasFragileUserData
Небезопасные настройки в AndroidManifest.xml. Флаг android:requestLegacyExternalStorage
Отсутствует или некорректно реализован SSL-pinning
Возможность опосредованного запуска приватных Activity
Возможность подмены URL
Возможность открытия произвольного URL в WebView
Возможность получения доступа к произвольному файлу
Возможность получения доступа к произвольному ContentProvider
Возможность доступа к произвольному файлу через ContentProvider

Рекомендации для iOS

Небезопасное хранение ключевой информации

Доступное на запись хранилище ключей
Доступное на запись хранилище ключей со слабым паролем
Доступное на чтение файловое хранилище ключей
Доступное на чтение хранилище ключей со слабым паролем, содержащее закрытые ключи
Доступное на чтение хранилище ключей со слабым паролем, содержащее открытые ключи
Доступное на чтение хранилище ключей с приватными ключами, защищёнными слабым паролем
Использование файлового хранилища ключей
Хранилище ключей со слабым паролем, содержащее закрытые ключи
Хранилище ключей со слабым паролем, содержащее открытые ключи
Хранилище ключей с приватными ключами, защищёнными слабым паролем

Хранение ключей/сертификатов

Хранение сертификата/ключа в директории/ресурсах приложения
Хранение приватного ключа/сертификата защищенного паролем в директории/ресурсах приложения
Хранение публичного ключа/сертификата в директории/ресурсах приложения
Хранение приватного ключа/сертификата не защищенного паролем в директории/ресурсах приложения

Прочие

Включенное кэширование сетевых запросов
Вывод sensitive-информации в системный лог
Небезопасная конфигурация App Transport Security
Приложение не использует функции защиты от переполнений
Наличие скриптов сборки в собранном пакете приложения
Наличие Podfile в собранном пакете приложения
Хранение sensitive-информации в кэше клавиатуры
Хранение sensitive-информации в NSUserDefaults
Хранение sensitive-информации в приватном файле
Хранение sensitive-информации в исходном коде приложения
Хранение чувствительной информации в Binary Cookies
Хранение или использование ранее найденной чувствительной информации

К началу