Practical Mobile Application Security

In diesem viertägigen Kurs werden die Grundlagen der Sicherheit mobiler Apps für die mobilen Betriebssysteme Google Android und Apple iOS vermittelt. Sie lernen Methoden, Tools und Tipps zur Bewertung der Sicherheit mobiler Apps kennen.

Voraussetzungen: Grundkenntnisse in den Bereichen Sicherheit, Bedrohungsmodellierung, Linux CLI, objektorientierte Programmierung und Testen von Webanwendungen. Empfohlen, aber nicht erforderlich:

• Vertrautheit mit der ARM/AArch64-Montage
• Erfahrung mit Java-, Kotlin-, Swift- oder Objective-C-Programmierung
• Erfahrung beim Testen von Thick-Client-Anwendungen
• Webdienste (REST, SOAP, JSON) testen

Nach Abschluss dieses Kurses sollten die Lernenden Folgendes können:

• Geräte- und Anwendungssicherheitsmodelle für die Betriebssysteme Android und iOS und ihre Sicherheitsfunktionen beschreiben
• Eine Testumgebung für Android- und iOS-Plattformen unter Berücksichtigung von Jailbreaking, Rooting und anderen Konzepten erstellen und konfigurieren
• Statische Analyse von APK- und IPA-Dateien in einer praxisorientierten Lab-Umgebung durchführen, die Android Dalvik Bytecode und die von Apple kompilierte Swift- und Objective-C-Assembly behandelt
• Verstehen, welche Daten wo gespeichert werden sollen, wie auf sie zugegriffen werden soll und welche Fallstricke mit einer unsachgemäßen Datenspeicherung verbunden sind
• Die prozessübergreifende Kommunikation analysieren, indem Sie die offengelegten Komponenten auf beiden Plattformen miteinander verknüpfen und Fuzzing durchführen
• Netzwerkkommunikation zuverlässig abfangen und ändern, um Sicherheitsfunktionen wie Certificate Pinning zu umgehen und dabei Überschneidungen und Unterschiede zwischen API-Tests für mobile Apps und der Bewertung herkömmlicher Webanwendungen zu berücksichtigen
• Gängige DBI-Tools (Dynamic Binary Instrumentation) für Anwendungstests sowie Daten- und Codeanalysen in Szenarien wie dem Umgehen der Jailbreak/Root-Erkennung oder dem Anpinnen von Zertifikaten verwenden
• Eine Testanwendung infiltrieren, so viele Sicherheitslücken wie möglich aufzählen und Empfehlungen zur Verbesserung der Anwendungssicherheit in Betracht ziehen

Sicherheitstechniker, Anwendungsentwickler und Penetrationstester.

Präsenzschulungen

4 Tage