Esegui un test di penetrazione sulle tue app iOS e Android

Gli agenti di Aikido installano la vostra app Android o iOS, effettuano l'accesso come utenti e la sottopongono a un attacco simulando le mosse di un avversario, analizzando contemporaneamente sia l'app che il suo backend. Per ogni problema confermato vengono fornite anche le istruzioni precise per riprodurlo.

Un intervento manuale richiede giorni o settimane per essere programmato e viene eseguito una sola volta; verifica una versione che è già obsoleta nel momento in cui si arriva a testarla, per poi diventare irrilevante man mano che si continuano a rilasciare nuove versioni anche dopo aver ricevuto il rapporto. I test di penetrazione basati sull’intelligenza artificiale per dispositivi mobili vengono eseguiti quando si desidera e forniscono risultati riproducibili e confermati da exploit.

Di solito nel giro di poche ore. Carica il tuo file APK o IPA, inserisci il link al codice sorgente, aggiungi un utente di prova e gli agenti inizieranno a testare l'app. Puoi seguire ogni fase in tempo reale mentre l'app viene testata.

È necessario il codice sorgente dell'app mobile, poiché i test di penetrazione su dispositivi mobili sono per ora solo di tipo white-box, sia su Android che su iOS. Il codice sorgente del backend è facoltativo, ma la sua aggiunta migliora la copertura dell'API. Avendo a disposizione il codice sorgente e l'app in esecuzione, gli agenti riescono a individuare difetti logici difficili da rilevare dall'esterno.

Sì. Per Android, la build non può utilizzare il certificate pinning e non può avere attivate le funzionalità di rilevamento dei privilegi di root, di rilevamento dell’emulatore o qualsiasi sistema di autoprotezione delle applicazioni in fase di esecuzione (RASP). Tali protezioni impediscono agli agenti di installare e strumentare l’app su un dispositivo di test, quindi carica una build con queste funzionalità disattivate. Per iOS, carica un file IPA firmato che non sia crittografato.

Tutto ciò che ci si aspetta da un test di penetrazione su dispositivi mobili, inclusi problemi di autenticazione lato client, vulnerabilità da iniezione, controlli di accesso non corretti, gestione delle sessioni inadeguata e comportamenti non sicuri delle API. Gli agenti verificano inoltre il comportamento specifico della piattaforma in fase di esecuzione, come WebView non sicure, deep link e manipolazione degli intent su Android, nonché il dirottamento degli schemi URL e l’insicurezza del Keychain o dell’archiviazione dei dati su iOS. Rilevano inoltre difetti nella logica di business e problemi di autorizzazione quali IDOR, accesso tra tenant e bypass dell’autenticazione, analizzando il comportamento previsto dell’app.

I risultati vengono segnalati solo dopo che gli agent hanno sfruttato con successo la vulnerabilità e l'hanno confermata sull'app in esecuzione. Se un tentativo di attacco non può essere convalidato, viene scartato e non viene mai mostrato tra i risultati.

Poiché Aikido conosce già il tuo codice, AutoFix genera una modifica mirata per una vulnerabilità confermata e apre una pull request, in modo che il tuo team possa esaminare la correzione e integrarla secondo le proprie esigenze. Per confermare la correzione, ricompila l'app e carica il nuovo APK o IPA per eseguire un nuovo test nello stesso ambito.

Sei tu a definire quali obiettivi gli agenti possono attaccare e quali possono solo raggiungere. Il traffico passa attraverso un proxy che verifica ogni richiesta in base a tali criteri; per impostazione predefinita, gli agenti operano in modalità non distruttiva e, prima della valutazione, vengono eseguiti dei controlli preliminari. Se qualcosa va storto, il test si mette automaticamente in pausa e può essere interrotto immediatamente.

Sì. Ogni esecuzione produce un report di penetration test pronto per l'audit, completo di risultati convalidati, prove di exploit e indicazioni per la remediation.

Gli agenti di Aikido hanno eguagliato la copertura offerta dagli esseri umani e, in alcuni casi, l’hanno superata, esplorando costantemente un numero maggiore di percorsi, compresi i difetti logici più profondi che un tester manuale solitamente trascura. L’unica differenza sta nella frequenza: un pentest eseguito da un essere umano avviene una sola volta, mentre gli agenti possono essere riavviati ogni volta che si carica una nuova build.

Sì. È possibile caricare un file APK, un file IPA o entrambi in un'unica valutazione. Di solito entrambe le app condividono gli stessi utenti di test e lo stesso backend, quindi basta configurarli una sola volta e i risultati relativi sia alle app che all'API vengono riportati in un unico rapporto.

No. Android e iOS vengono valutati in un’unica analisi, il cui prezzo dipende dall’entità del lavoro. Aikido calcola il costo in base a ciò che è effettivamente presente nelle tue app e ti mostra il costo in crediti prima del lancio.

No. Gli agenti individuano le API a cui la tua app fa riferimento durante l'utilizzo e poi le testano. Una documentazione più completa contribuisce comunque a migliorare la copertura e, per ottenere risultati ottimali, è consigliabile collegare anche il codice del backend.