移动APP安全检测

移动APP安全检测
【一】背景说明
随着智能移动终端产业真正的走向移动信息时代，智能移动终端已经有了强大的处理能力，正从一个简单的通讯工具变成一个综合的信息处理平台，移动终端的应用，对企业已有的信息安全防护体系带来严峻的挑战和风险。移动终端作为客户信息存储、网上交易的重要工具，其自身的安全性关系数据安全、资金安全。若移动端存在安全隐患或者逻辑漏洞，就很有可能被利用或者病毒传播，造成用户的信息泄露及财产的损失，严重影响企业正常运营及发展。
【二】检测依据
移动终端应用软件安全检测依据标准：
•GB/T18336.1-2008《信息技术 安全技术 信息技术安全性评估准则 *1部分；简介和一般模型》
•GB/T18336.2-2008 《信息技术 安全技术  信息技术安全性评估准则 *2部分；安全功能要求》
•GB/T18336.3-2008 《信息技术 安全技术  信息技术安全性评估准则 *3部分；**要求》
•JR/T0092-2012《中国金融移动支付客户端技术规范》
•JR/T0098.3-2012 《中国金融移动支付检测规范*3部分：客户端软件》
•Q/CUP037.1.2-2013《中国银联移动支付技术规范-*1卷-*2部分-移动终端支付应用软件安全规范》
【三】检测对象
| 智能手机 | 平板电脑 | 智能手表 | 安卓系统 | 苹果系统 |移动互联设备|
【四】检测内容
1、组件安全检测
对Activity安全、BroadcastReceiver安全、Service安全、Content Provider安全，Intent安全和WebView的规范使用检测分析，发现因为程序中不规范使用导致的组件漏洞。
2、代码安全检测

对代码混淆、Dex保护、So保护、资源文件保护以及第三方加载库的代码的安全处理进行检测分析，发现 代码被反编译和破解的漏洞。

3、内存安全检测 检测APP运行过程中的内存处理和保护机制进行检测分析，发现是否存在被修改和破坏的漏洞风险。

4、数据安全检测
对数据输入、数据存储、存储数据类别、数据访问控制、敏感数据加密、内存数据安全、数据传输、证书 验证、远程数据通信加密、数据传输完整性、本地数据通讯安全、会话安全、数据输出、调试信息、敏感信 息显示等过程进行漏洞检测，发现数据存储和处理过程中被非法调用、传输和窃取漏洞。

5、业务安全检测
对用户登录，密码管理，支付安全，身份认证，**时设置，异常处理等进行检测分析，发现业务处理过程 中的潜在漏洞。