Esegui un test di penetrazione sulla tua applicazione Android

Gli agenti di Aikido installano la tua app Android, effettuano l'accesso come utente e la sottopongono a un attacco proprio come farebbe un malintenzionato, analizzando contemporaneamente sia l'app che il suo backend. Per ogni problema confermato vengono fornite anche le istruzioni precise per riprodurlo.

Un intervento manuale richiede giorni o settimane per essere programmato e viene eseguito una sola volta; verifica una versione che è già obsoleta nel momento in cui si arriva a testarla, per poi diventare irrilevante man mano che si continuano a rilasciare nuove versioni anche dopo aver ricevuto il rapporto. Il test di penetrazione con IA per Android viene eseguito quando lo si desidera e fornisce risultati riproducibili e confermati da exploit nel giro di poche ore.

Di solito nel giro di poche ore. Carica il tuo APK, inserisci il link al codice sorgente, aggiungi un utente di prova e gli agenti inizieranno a testare l'app.

È necessario l'accesso al codice sorgente, poiché al momento supportiamo solo test di penetrazione Android di tipo white-box. Avendo a disposizione il codice sorgente e l'app in esecuzione, l'agente individua difetti logici che la scansione black-box non rileva.

La build non può utilizzare il certificate pinning e non può avere attivate le funzionalità di rilevamento root, rilevamento emulatore o RASP. Queste protezioni impediscono agli agenti di installare e strumentare l'app su un dispositivo di test, quindi carica una build con tali funzionalità disabilitate.

Tutto ciò che ci si aspetterebbe da un test di penetrazione su Android, compreso l’uso non sicuro di WebView, l’abuso di deep link e componenti esportati, problemi di autenticazione lato client, vulnerabilità di tipo injection, controlli di accesso non corretti, gestione delle sessioni inadeguata e comportamenti non sicuri delle API. Inoltre, individua difetti nella logica di business e problemi di autorizzazione quali IDOR, accesso tra tenant e bypass dell’autenticazione, analizzando il comportamento previsto dell’app.

I risultati vengono riportati solo dopo che gli agenti sono riusciti a sfruttare con successo le vulnerabilità e a confermarle sull'app in produzione. Se un tentativo di attacco non può essere convalidato, viene scartato e non viene mai visualizzato nei risultati.

Poiché Aikido conosce già il tuo codice, AutoFix genera una modifica mirata per una vulnerabilità confermata e apre una pull request, in modo che il tuo team possa esaminare la correzione e procedere al merge secondo le proprie tempistiche. Per confermare la correzione, ricompila l'app e carica il nuovo APK per eseguire un nuovo test nello stesso ambito.

Sei tu a definire quali obiettivi gli agenti possono attaccare e quali possono solo raggiungere. Il traffico passa attraverso un proxy che verifica ogni richiesta in base a tali criteri; per impostazione predefinita, gli agenti operano in modalità non distruttiva e, prima della valutazione, vengono eseguiti dei controlli preliminari. Se qualcosa va storto, il test si mette automaticamente in pausa e può essere interrotto immediatamente.

Sì. Ogni esecuzione genera un rapporto sul test di penetrazione pronto per la revisione contabile, contenente risultati convalidati, prove di vulnerabilità e indicazioni per la risoluzione dei problemi.

Gli agenti di Aikido hanno eguagliato la copertura ottenuta dagli esseri umani e, in alcuni casi, l’hanno superata, esplorando costantemente un numero maggiore di percorsi, individuando anche i difetti logici più profondi che un tester manuale solitamente trascura. La differenza sta nella cadenza: un pentest eseguito da un essere umano viene effettuato una sola volta, mentre gli agenti vengono rieseguiti ad ogni build.