ስነ-ምግባራዊ ሃከራት ከመይ ጌርና ናብ ዝኾነ ሞባይል መሳርሒ ንሰባበር (ብሕጋዊ መንገዲ!) ኣቃሊዖም

ከም ዝኣመሰለ ናይ ሞባይል ኣፕ ሕሰብ ፣ ካብ ናይ ተጠቃሚ ምልክት ቃል ክሳብ ዝርዝር ክፍሊት ኩሉ ዝሕዝ። ከም ሓደ ፈታኒ ምእታው መጠን፡ ስራሕካ እቲ ቦርሳ ብጽኑዕ ከም ዝተዓሸገ ምርግጋጽ እዩ-ዝኾነ ናይ ብሓቂ መጥቃዕቲ ዝፍጽም ሰብ ክሰባበር ቅድሚ ምፍታኑ ነዊሕ።ኣብዚ መምርሒ፡ ንሕና ክንመርሓካ ኢና , ካብ ምእካብ ትኽክለኛ መሳርሒታት ክሳብ... ኮድን ትራፊክን ምትንታን እዩ። ዘሊልና ንእቶ! ዲጂታላዊ ቦርሳ ብኹሉ መስርሕ ሞባይል ፔንስቲንግ መእተዊ ሞባይል መሳርሒታት ዳርጋ መቐጸልታ ገዛእ ርእስና ኣብ ዝኾነት ዓለም ኢና እንነብር ዘለና። ሰባት ፣ ፣ ብተሌፎን ስለ ዝገብርዎ፣ ምርግጋጽ ልዕሊ ኩሉ እዩ። ስለዚ ድማ እዩ ሞባይል ፔንስቲንግ ኣገዳሲ ዝኸውን: ኣብ ልዕሊ ኣፕስ ዝፍጸም መጥቃዕቲ ንምምሳል ድኽመታት ንምቅላዕን ንደቨሎፐራት ንኽዕቅብዎ ንሕግዞምን። ባንክ ዕዳጋ ማሕበራዊ ርክብ ድሕነት ኣፕ ኣብኡ ዘሎ ንዓኻትኩም ኣብዚ ኣሎ፤ : ብሰንኪ ምፍሳስ ዳታ ወይ ዝተሰርቀ መረጋገጺታት ድቃስ ኣይክትስእንን ኢኻ። ሰላም ኣእምሮ : ተቖጻጸርቲ (ተጠቀምትኻን) ድልዱል ናይ ምክልኻል ደረጃታት ይጠልቡ። ምኽባር : ውሑስ ኣፕስ ማለት ዝያዳ ሕጉሳት ዓማዊልን ዝወሓደ ሓደጋ ኣሉታዊ ኣርእስታት ዜናን ማለት እዩ። Reputation Boost ሞባይል ጴንጠስቲንግ እንታይ እዩ? ኣብ ሕመረቱ ፡ ንሓደ ኣፕ ክትሰባበር ፈጠራዊ መገድታት ምርካብ እዩ-ልክዕ ከምቲ ናይ ብሓቂ መጥቃዕቲ ዝፍጽም ሰብ-መጀመርታ ነቲ ድኽመታት ከተዐርዮ ትኽእል። ካብ ስታንዳርድ ዌብ ፔንስቲንግ ዝተፈልየ እዩ ምኽንያቱ ሞባይል ኣፕስ፤ ፡ ሞባይል ፔንተስቲንግ : ኣንድሮይድን iOSን ነፍሲ ወከፎም ናይ ገዛእ ርእሶም ሕግታት፡ ናይ ድሕነት ሞዴላትን ቅልውላዋትን ኣለዎም። Run on Unique Platforms : ስሱዕ ሓበሬታ ኣብ ከባቢኻ ክዕቀብ ስለ ዝኽእል፡ ንመሳርሒታት ዝምልከት መኽዘን ምፍታሽ ወሳኒ ይገብሮ። ዳታ ኣብ መሳርሒታት ምዕቃብ : ሞባይል መተግበሪታት መብዛሕትኡ ግዜ ብኤፒኣይ ኣቢሎም ምስ ድሕረ-ባይታ ኣገልገልቲ ይዛረቡ፣ እዚኦም ብግቡእ እንተዘይተፈቲኖም ብጌጋ ክውነኑ ወይ ተቓላዕቲ ክኾኑ ይኽእሉ። ኣብ ኤፒኣይ ብብዝሒ ምጽጋዕ ልሙዳት ብድሆታት ምስ ምግጣም , bypassing , ከምኡ’ውን ንኽልቲኡ ን logic ምትንታንን ይርከብዎም። root/jailbreak detection SSL pinning client-side server-side ልሙዳት ስግኣታት ኣብ ሞባይል ኣፕሊኬሽናት ኣብ ማእከላይ ዘመን ዝነበረ ዕርዲ ኣብ ኣእምሮኻ ስኣሎ—እዚኦም እዮም እቶም መጥቃዕቲ ዝፍጽሙ ልሙዳት “ድኹማት ነጥብታት” ዒላማ ዝገብሩ: ውሑስ ዘይኮነ መኽዘን መረዳእታ ተሃዋሲ ቶከናት ወይ ናይ ተጠቃሚ መረጋገጺታት ኣብቲ መሳርሒ ብዘይ ምስጢራዊ ይተርፉ። ድኹም ሰርቨር-ሳይድ ቁጽጽር ዝጎደለ ምእታው ምጽራይ ወይ ሃከራት ክምዝምዝዎ ዝኽእሉ ጉድለት ዘለዎ ኤፒኣይ ሎጂክ። እኹል መከላኸሊ ንጣብ መጓዓዝያ ዘይምህላው HTTP ወይ ጉድለት ዘለዎ HTTPS ምጥቃም፣ መጥቃዕቲ ዝፍጽሙ ሰባት ትራፊክ መርበብ ክዓግቱ ወይ ክቕይሩ የኽእሎም። ውሑስ ዘይኮነ ምርግጋፅን ፍቓድን ምሃብ ብሕማቕ ዝተተግበረ ናይ መእተዊ ስርዓታት፣ ምሕደራ ክፍለ ግዜ፣ ወይ ፍቓድ ምፍታሽ። ብወገን ዓሚል ዝመጽእ ተቓላዕነት ምስጢር ንምግላጽ ብተገላባጢ ምህንድስና ክስራሕ ዝኽእል ኮድ፡ ወይ ኣብ ግዜ ምዝዋር ክእለ ዝኽእል ስነ-መጐት። ብዛዕባ እዞም ሓደጋታት ዝያዳ ንምርካብ ኣብ ከምኡ’ውን ኣብ ተወከሱ። ከም ንኹሉ ክህሉ ዝኽእል መጻወድያታት ዘጉልሑ እዮም። OWASP Mobile Top 10 መምርሒ ፈተነ ድሕነት ሞባይል ኣፕሊኬሽን (MASTG) ካርታታት ንሞባይል ቴስቲንግ ተዳለዉ ቅድሚ ነቲ ሓወልቲ ብህቦብላ ምውራድካ የድልየካ . ብናይ ፐንተስቲንግ ኣዘራርባ፡ እዚ ማለት ኣብ ሓቀኛ ዓለም ዳታ ከይጎዳእካ ብዘይ ስግኣት ክትፍትነሉ እትኽእል ሃዋህው ምድላው ማለት እዩ። መሰረታዊ ነገራት ንኽልቲኡ ኣንድሮይድን ኣይኦኤስን ንሽፍን። ፡ ቅኑዕ ዕጥቅን ኣጽዋርን ኣንድሮይድ ናይ ኣንድሮይድ ኣፕስ ክትፍትን ከለኻ፡ ከም ወይ ዝኣመሰሉ መሳርሒታት ተጠቒምካ ቨርቹዋል መሳርሒታት ክትሽክርክር ትኽእል ኢኻ። እዞም ኤሙለተራት እዚኦም፡ ኣካላዊ መሳርሒ ከየድለየካ፡ ኣፕስ ብቕልጡፍ ክትተክልን ክትፍትንን የኽእሉኻ። ሓደ ንምትካል ዝርዝር ስጉምትታት ዚ ክትረኽብዎ ትኽእሉ ኢኹም። ኣንድሮይድ ኤሙለተር ጀኒሞሽን ኣብዚ መምርሒ ’ ኣንድሮይድ ኤሙለተር ይኹን እምበር፡ መብዛሕትኡ ግዜ ምጥቃም ዝያዳ ልክዕ ውጽኢት ይህብ-ብፍላይ ኣብ ሓቀኛ ዓለም ንዘሎ ኩነታት መርበብ፡ ሴንሰራት ወይ ባዮሜትሪክ ምርግጋጽ ክትፍትን ኣብ ዘድልየካ እዋን። ዝያዳ ምዕቡል ፈተነታት ከም ወይ ብዕምቆት ዳታ ፎረንሲክስ ክትገብር እንተሓሲብካ፡ ጭቡጥ ሃርድዌር ምህላው ዓቢ ፕላስ እዩ። ፊዚካዊ መሳርሒ ሱር ምፍታሽ ውፉይ መሳርሒ ክትገዝእ ወይ ክትልቃሕ እንተ ወሲንካ፡ ገለ ኣንድሮይድ ስልክታት ምዃኑ ኣብ ግምት ኣእቱ ። ሱር ምግባር ናብቲ ስርዓተ ምምሕዳር ብዕምቆት ክትኣቱ ይሕግዘካ፣ እዚ ድማ ሕቡኣት ፋይላት ክትትንትን፣ ገደባት ኣፕ ክትሓልፍን ልዑል ፍቓድ ዝሓትት ሓያላት መሳርሒታት ከተካይድን የኽእለካ። ሱር ንምግባር ዝቐለለ ሱር ምትካል ልክዕ ከምቲ ኣብ ስርዓተ ምምሕዳር ስልክኻ ዝኣቱ ዓጽሚ መፍትሕ ምርካብ እዩ። ከም ልሙድ፡ ንስኻ፤ Android Rooting ነቲ ቦትሎደር ክፈትዎ። ብሕታዊ ምሕዋይ (ንኣብነት፡ TWRP) ፍላሽ። ከም ወይ ዝኣመሰለ ናይ ሱር ምሕደራ መሳርሒ ምትካል ። Magisk SuperSU ነፍሲ ወከፍ ስልክን ኦኤስ ቨርዥንን ናቱ ቅልውላው ስለዘለዎ ንውሑዳት ፈተነታት ድሉዋት ኩኑ። እቲ ጽቡቕ ዜና፡ ሓደ መሳርሒ ሱር ምስ ገበረ፡ ብሓፈሻ ነቲ ፋርምዌር ኣብ ፋብሪካ ዳግማይ እንተዘይተሰሪዕካዮ ወይ እንተዘይኣዕቢኻዮ፡ ከምኡ እዩ ዝጸንሕ። ድሕሪ ዳግማይ ምጅማር ናይ iOS ጀይልብሬክ ክጠፍእ ከም ዝኽእል ኣብ ግምት ኣእቱ-ስለዚ ኣንድሮይድ ሓደ ሓደ ግዜ ንፈተነ ዝያዳ ቀጻሊ መድረኽ የቕርብ። ኩሉ ግዜ ንፍሉይ ስልክኻ ዝእመን መምርሒታት ተኸተል-ዘይግቡእ ሱር ምግባር ነቲ ሶፍትዌር ከበላሽዎ ወይ ናይ ጸጥታ ቀዳዳት ከእቱ ይኽእል። ከምኡ’ውን ብርግጽ ቅድሚ ምጥላቕካ ! ዳታኻ ምትሕብባር ግበር ኣብነት ናይ ፒክሰል 3ሀ ሱር ምግባር ፕሮክሲ ከም በርፕ ሱት ዝኣመሰለ ከም “ስፓይግላስ”ካ ሕሰቦ። ኩሉ እቲ ካብቲ ኣፕ ዝኣቱን ዝወጽእን ትራፊክ ክትሪኦን ክትቅይሮን የኽእለካ። ውሑስ ዘይኮነ ርክብ፡ ጉድለት ዘለዎ ምርግጋጽ ምርግጋጽ ወይ ጽላሎታዊ ሕቶታት ክትሕዝ ኢኻ። ንሞባይል ዝኸውን ፕሮክሲ ምድላው ኣብ iOSን Androidን ተመሳሳሊ እዩ። ንነፍሲ ወከፍ መድረኽ ወግዓዊ መምርሒታት ክትረኽብዎ ትኽእሉ ኢኹም ። ፕሮክሲ ኣብዚ ነገራት ምስ ዝተወሰኑ ማዕቀፋት ብልሓት ይረኽቡ፤ ሓደ ሓደ ግዜ ብሰንኪ ብሕታዊ ኔትወርክ ላይብረሪታት ንናይ ስርዓት-ዓቐን ፕሮክሲ ቅጥዕታት ዕሽሽ ይብሎ። Xamarin ንፕሮክሲታት ከኽብር ይኽእል እዩ ግን ከገድድ ይኽእል እዩ፣ ትራፊክ ንኸይትርኢ ይዓግተካ። ፍሉተር ምስክር ወረቐት ፒኒንግ ነዞም መሰናኽላት ንምስጋር፡ ነቲ ኮድ ክትቅይሮ ትኽእል ኢኻ፡ ከም ወይ ዝኣመሰሉ መሳርሒታት ተጠቒምካ ፒኒንግ ከተጥፍእ ወይ ድማ ትራፊክ ንምሓዝ ሪቨርስ ፕሮክሲታት (ንኣብነት ) ከተቕውም ትኽእል። ኣቀራርባኻ ምትዕጽጻፍ ኣካል ናይቲ ምዝንጋዕ እዩ! Frida Objection ፡ mitmproxy ኣፕ ምትካል እቲ ኣፕ ገና ኣብ Google Play Store እንተዘይሃልዩ-ንpentests ልሙድ-ንሳይድሎድ ክህልወካ ተኽእሎ ኣሎ። ነቲ APK ብመንገዲ Google Drive ወይ ብቐጥታ ብናይ ምውራድ ሊንክ ከተካፍሉ ትኽእሉ ኢኹም። ካልእ ምቹእ ኣማራጺ ድማ ምጥቃም ኮይኑ፡ እዚ ድማ ንመዳርግቲ ኣካላት ዕድመ ብምልኣኽ ፈተነታት የዳሉ። APK ፋይል Firebase App Distribution iOS ኣብ iOS ውን ዝበለጸ ሓቀኛ ናይ ፈተነ ተመኩሮ የቕርብ። ኣብ ሃርድዌር-ፍሉያት ባህርያት ከም , , ከምኡ’ውን ሴንሰራት ክትጥሕል ትኽእል ኢኻ፡ ከምኡ’ውን ክውንነታዊ ናይ መርበብ ምትእስሳር ክትሕዝ ትኽእል። ውልቃዊ መሳርሒ ትገዝእ ወይ ትጥቀም እንተኾንካ ዝቐለሉ ምዃኖም ዝፍለጡ ሞዴላት ኣብ ግምት ኣእቱ (ኩለን ኣይፎናት ነዚ መስርሕ ብማዕረ ምሕዝነት ስለዘይኮና)። ቨርቹዋል መሳርሒታት iOS እንተድኣ ኣድልዩካ ሓያል ኣብ ደበና ዝተመርኮሰ ፈተነታት ይህብ፡ ዋላ እኳ ነጻ እንተዘይኮነ። መብዛሕትኦም ፈተንቲ ክሳብ ሕጂ ንዕሙቕ ዝበለ ምፍታሽ ኣብ ኣካላዊ መሳርሒ ይምርኮሱ። ፊዚካዊ መሳርሒ Face ID Touch ID ፡ ንጀይልብሬክ ፡ ኮረሊየም ቤት ማእሰርቲ ምፍራስ ብዙሕ ከምቲ ኣፕል ኣብ መሳርሒታታ እተእትዎ መዕጸዊ ምእላይ ኮይኑ ይስምዓካ። ሱር ፍሉይ መሰላት ትረክብ፣ ምትዕርራይ ክትተክል፣ ሕቡእ ፋይላት ማህደር ክትድህስስ ወይ ምዕቡላት ፔንስቲንግ ስክሪፕት ከተካይድ የኽእለካ። ህቡባት መሳርሒታት ን ን ይርከብዎም። እቲ ዝበለጸ ምርጫ ኣብ iOS ቨርዥንካን ሞዴል መሳርሒኻን ይምርኮስ። iOS Jailbreaking unc0ver Checkra1n ዘክር፥ ሓደስቲ መሳርሒታት ንጀይልብሬክ ዝኸበዱ ክኾኑ ይኽእሉ። ገለ ጀይልብሬክስ ካብ ሪቦት (“semi-untethered”) ኣይድሕኑን እዮም። ኩሉ ግዜ ቅድሚ ምስ ሲስተም ፋይላት ምትሕውዋስካ ንኣይፎንካ ። ባክኣፕ ግበሮ ከምኡ’ውን መሳርሒኻ ዳግማይ ክጅምር ከሎ ዝተወሰኑ ናይ ጸጥታ ንብርክታት ብኣውቶማቲክ ከም ብሓድሽ ከም ዝንቀሳቐሱ ኣስተውዕል፣ ስለዚ ኣብ ነፍሲ ወከፍ ሓይሊ ኣብ እትህቦ እዋን ዳግማይ ጀይልብሬክ ክትገብር ከድልየካ ይኽእል እዩ። ኣፕ ምትካል ናይ iOS መተግበሪታት ብ ፋይላት ይመጹ-ምስ ኣብ ኣንድሮይድ ዝርከቡ APKs ዝመሳሰል እዩ። ኣብ ጀይልብሮከን ስልኪ፡ ከም ዝኣመሰሉ ፋይል ማናጀር ወይ ከም ዝኣመሰሉ ኣፕስ ተጠቒምካ IPAs ክትተክል ትኽእል ኢኻ። ንዝያዳ ወግዓዊ መስመር፡ ኣዳለውቲ መብዛሕትኡ ግዜ ኣብ ይምርኮሱ፡ እዚ ድማ ንፈተንቲ ብኢመይል ክዕድሙ የኽእሎም-ነቲ መላግቦ ጥራይ ምጥዋቕ፡ iOS ድማ ነቲ ዝተረፈ ይሕዞ። IPA Filza Sideloadly TestFlight ከባቢኻ ብግቡእ ምድላው-ቅኑዓት መሳርሒታት (ቨርቹዋል ወይ ፊዚካዊ) ምምራጽ፡ ፕሮክሲ ምውቃርን ከመይ ጌርካ ኣፕስ ብጎኒ ከም እትጽዕኖ ምርዳእ- ናብ ውሽጣዊ ኣሰራርሓ ሓደ ኣፕ ድሉው ምዃንካ የረጋግጽ። ገለ ምትዕጽጻፍ ክወስድ ይኽእል እዩ፡ ግን እቲ ፍጹም ኣወዳድባ ምስ ረኸብካ፡ እቲ ሓቀኛ ፔንስቲንግ ክጅምር ይኽእል እዩ! ንዓሚቕ ምጥላቕ ስታትቲካዊ ትንተና (SAST) ሕጂ ናብ ምምርማር እቲ ኣፕ ባዕሉ ንሰግር-ምሉእ ብምሉእ ከይተሰርሐ። እዚ ቅድሚ ናብ ውሽጢ ምእታውካ ፕላን ካስትል ምንባብ ማለት እዩ። ኣብ ኮድ ወይ ኮንፊግር ፋይላት ፣ ፣ ከምኡውን ካልእ ጉዳያት ንደሊ። ብሃርድኮድ ዝተሰርሑ ምስጢራት ውሑስ ዘይኮኑ ውቅርታት ከተተኩረሎም ዘለና ቁልፊ መዳያት ሓርድኮድ ዘለዎም ምስጢራት ኤፒኣይ መፍትሕታት፡ ቶከናት፡ መረጋገጺታትን ምስጢራዊ መፍትሕታትን ሓደ ሓደ ግዜ ብቐጥታ ኣብቲ ምንጪ ኮድ ይውድኡ። መጥቃዕቲ ዝፍጽሙ ሰባት ነቲ ኣፕ ሪቨርስ ኢንጅነሪንግ እንተገይሮምሉ፡ ነዚ ምስጢራት ብውሑድ ጻዕሪ ክምንጥልዎን ተጠቀምቲ ወይ ኣገልግሎት ክመስሉን ይኽእሉ። ውሑስ ዘይኮኑ ውቅርታት ካብ መጠን ንላዕሊ ዝፍቀድ ፍቓድ፡ ናይ ምእራም ሰንደቕ ዕላማታት ተነቒሉ ዝተገደፈ፡ ወይ ዘይግቡእ ምፍራም ኩሎም ኣብ ዕጥቂ ኣፕካ ቀዳዳት ክገብሩ ይኽእሉ። ሓደ ቅጥዒ-ከም NSAllowsArbitraryLoads ኣብ iOS Info.plist ወይ android:debuggable="true"-ንመጥቃዕቲ ሰብ ኣብ ማእከል (MITM) ወይ ዘይተሓለወ ምእራም ማዕጾ ክኸፍት ይኽእል። ተሃዋሲ ዳታ ምቅላዕ ኣብቲ መሳርሒ ብግልጺ ጽሑፍ ናይ ክፍለ ግዜ ቶከናት ወይ ውልቃዊ ሓበሬታ ምኽዛን (መዝገብ፡ ዝተኻፈለ ምርጫታት፡ ከባብያዊ ፋይላት) ንመዓት ዝኸውን ኣሰራርሓ መግቢ እዩ። ዝኾነ ኣካላዊ ርክብ ዘለዎ ወይ ሱር ዝሰደደ/ጀይልብሮክ ዘለዎ ስልኪ ዘለዎ ሰብ፡ ንየው ነጀው ስሒቡ ክቡር ዳታ ክሰርቕ ይኽእል እዩ- ዝኾነ ኣረሜናዊ ሓይሊ ኣየድልን። ኣፕ ሎጂክን ጉድለታትን መብዛሕትኡ ግዜ፡ እቶም ሱር ጉዳያት ካብቲ ባህርያት ብኸመይ ከም ዝትግበሩ እዮም ዝመጹ። ኣገደስቲ ምፍታሻት-ከም ምርግጋጽ-ምስ ዝጎድሉ ወይ ብጥብቂ ኣብ ዘይትግበሩሉ እዋን፡ መጥቃዕቲ ዝፍጽሙ ሰባት ንመከላኸሊታትካ ብቐሊሉ ክሓልፍዎ ይኽእሉ። ብተመሳሳሊ ድኹማት ክሪፕቶግራፊክ ተግባራት ወይ ውሑስ ዘይኮኑ ኣካላት ኣፕ እውን ንዝኾነ ኣፕካ ዝምርምር ሰብ ህይወቱ ቀሊል ክገብሮ ይኽእል እዩ። ዝርዝር ምፍታሽ MSTG ንስታቲካዊ ትንተና ብኣገባብ ክትምክቶ ዝሕግዘካ ዕሙቕ ዝበለ ዝርዝር መፈተሺ የቕርበልካ፤ መምርሒ ፈተነ ድሕነት ሞባይል (MSTG) [ ] : ተሃዋሲ ዳታ ኣብቲ መሳርሒ ብዘይ ምስጢራዊ ኣይኽዘንን እዩ። MSTG-STORAGE-1 [ ] : ኣብ ሓባራዊ መኽዘን ዝኾነ ተሃዋሲ ዳታ ኣይኽዘንን እዩ። MSTG-STORAGE-2 [ ] : ግቡእ ኣጠቓቕማ ክሪፕቶግራፊክ ኣልጎሪዝምን ቤተ-መጻሕፍትን። MSTG-CRYPTO-1 [ ] : ውሑስ ናይ ርክብ መስመራት (ንኣብነት፡ HTTPS/TLS)። MSTG-NETWORK-1 [ ] : ኣብ ምንጪ ኮድ ብሃርድኮድ ዝተሰርሑ ምስጢራት ዘይምህላው። MSTG-CODE-1 [ ] : ኮድ ምድንጋር ብግቡእ ይትግበር። MSTG-CODE-3 [ ] : መከላኸሊ ኣንጻር ሪቨርስ ኢንጅነሪንግ። MSTG-RESILIENCE-1 [ ] : ናይ ምእራም ዓቕሚ ኣብ ምፍራይ ተሰናኺሉ ኣሎ። MSTG-RESILIENCE-2 [ ] : ብግቡእ ኣተሓሕዛ ፍቓድ ተጠቃሚን ናይ ብሕቲ ዳታን። MSTG-PRIVACY-1 መሳርሒታት ሳስት ዝተፈላለዩ መሳርሒታት ነቲ ኣፕ ከይሰራሕካ ኮድካ፡ ኮንፊገስካን ባይነሪኻን ክትቆርጾ ክሕግዙኻ ይኽእሉ እዮም፤ MobSF (ማዕቀፍ ድሕነት ሞባይል) : APK/IPA ስርዓዮ እሞ MobSF ዝርዝር ጸብጻብ ከውጽእ እዩ: ክህልዉ ዝኽእሉ ጌጋ ውቅርታት፣ ጥርጡራት ፍቓድ፣ ወይ ብሃርድኮድ ዝተሰርሑ ምስጢራት ክዝርዝር እዩ። ኣጠቓቕማ : ገለ ዳይናሚክ ባህርያት እውን ስለዘለዎ ጽፉፍ ኩሉ ኣብ ሓደ ፍታሕ ይገብሮ። ቦነስ (ኣንድሮይድ) APKTool : Decompile ድሕሪኡ ዳግማይ ምጥርናፍ ሓደ APK ኣብ ውሽጡ እንታይ ከምዘሎ ንምርኣይ። እዚ AndroidManifest.xml ንምንባብ፡ ጸጋታት ንምምርማር፡ ወይ ነቲ ኣፕ ንምትዕርራይ ፍጹም እዩ። Use apktool d app.apk -o output_director (ኣንድሮይድ) JADX : ዳልቪክ ባይትኮድ (.dex) ናብ ዝንበብ ጃቫ ምቕያር። ከም ኤፒኣይ መፍትሕታት ዝኣመሰሉ ክህልዉ ዝኽእሉ ተቓላዕነት ዘለዎም መስመራት ኮድ ንምፍላጥ ብሉጽ እዩ። ኣጠቓቕማ jadx app.apk -d output_directory (iOS) ክላስ-ዳምፕ፣ ሆፐር፣ ግሂድራ : Objective-C class headers (Class-Dump) ኣውጽእ ወይ iOS binaries (Hopper/Ghidra) ምፍንጫል። እቲ ኣፕ Swiftified እንተኾይኑ፡ Swift metadata እውን ክትሪኢ ኢኻ። ኣጠቓቕማ ኣብነታት ኣንድሮይድ ሓበሬታ ምግላጽ ናይ ኣንድሮይድ ኣፕስ ካብ ፋይላቶም ከም , , ወይ ዝኣመሰሉ መሳርሒታት ተጠቒምካ ክእለዩ ይኽእሉ ። APK APKTool JADX MobSF እዚ መስርሕ እዚ ምንጪ ኮድ፣ ኣቃውማ መተግበሪን ከም AndroidManifest.xml ወይ .smali ፋይላት ዝኣመሰሉ ተሃዋሲ ኣካላትን ዘቃልዕ ኮይኑ፣ እዚኦም ድማ ንኣፕ ሎጂክን ፍቓድን ከቃልዑ ይኽእሉ። ንጹር ጽሑፍ ትራፊክ ምፍቃድ መጥቃዕቲ ዝፍጽሙ ሰባት፡ ንዘይምስጢራዊ (HTTP) ርክብ ንሰማዒ ወይ ምትዕንቓፍ ክጥቀሙሉ ይኽእሉ። ዲባግ ዝግበረሉ መተግበሪ ዝኾነ መሳርሒ (ወይ ኤሙለተር) ዘለዎ ሰብ ዲባገር ኣተሓሒዙ ኣብ ስሱዕ ዳታ ወይ ሎጂክ ክምርምር ይኽእል። ሃርድኮድ ዘለዎም ኤፒኣይ መፍትሕታት public class ApiClient { private static final String API_KEY = "12345-abcdef-67890"; private static final String API_SECRET = "superSecretPassword123!"; } ብAPKTool ወይ JADX ቅልጡፍ ምፍንጫል ነዞም መፍትሕታት የቃልዕ፣ እዚ ድማ መጥቃዕቲ ዝፍጽሙ ሰባት ነቲ ኣፕ ኣምሲሎም ወይ ብዘይፍቓድ ኣገልግሎት ድሕረ ባይታ ክረኽቡ የኽእሎም። ተሃዋሲ ዳታ ኣብ ንጹር ጽሑፍ abc123XYZ987 user@example.com ቶከናት ወይ ዝርዝር ተጠቃሚ ብግልጺ ጽሑፍ እንተተዓቂቡ፡ ሱር ዝሰደደ መሳርሒ ብቐሊሉ ከውጽኦም ይኽእል። iOS ብጌጋ ዝተዋቕረ Info.plist NSAppTransportSecurity NSAllowsArbitraryLoads ኣፕል ብነባሪ ውሑስ ርክባት የተግብር፣ ስለዚ ነዚ ምግዳፍ ነቲ ኣፕ ንሓደጋታት MITM ወይ ዘይተመሰጠረ ትራፊክ ይኸፍቶ። ከም , , ከምኡ’ውን ዝኣመሰሉ ናይ ምፍንጫል መሳርሒታት፡ Objective-C ክፍልታት፡ ኣስማት ሜላታትን ክልተኣዊ ፋይላትን ሓዊስካ፡ ትሕዝቶ ፋይል ናይቲ ኣፕ የውጽኡ። Class-Dump Hopper Disassembler Ghidra IPA ዳይናሚክ ትንተና (DAST) 1.1. ስታቲካዊ ትንተና ንፕላን ናይ ሓደ ካስትል ዘጽንዕ እንተኾይኑ ኣብ ውሽጢ እቲ ካስትል ነፍሲ ወከፍ ማዕጾን መስኮትን እናፈተሽካ ምዝዋር እዩ። ነቲ ኣፕ ነካይዶ፡ ከመይ ከም ዝኸይድ ንከታተሎ፡ ዝኾነ ድኽመት ኣብ ሓቀኛ ግዜ ክንምዝምዞ እንተኽኢልና ድማ ንርኢ። ፡ ዳይናሚክ ትንተና ከተተኩረሎም ዘለና ቁልፊ መዳያት መርበብ ሓበሬታ ርክብ ኣብ እዋን ትራንዚት ዳታ ናይቲ ኣፕካ ኣረጋግጽ። ኣፕካ ኣብ ኤችቲቲፒ ወይ ብዘይግቡእ ዝተዋቕረ ኤችቲቲፒኤስ ዝምርኮስ እንተኾይኑ፡ ሓደ መጥቃዕቲ ዝፍጽም ሰብ ነቲ ዳታ ክኣቱ፡ ክዓግቶ ወይ ከይተረፈ ክቕይሮ ይኽእል። ንዝጎደለ ወይ ድኹም , ንኣፕካ ንመጥቃዕቲ ሰብ-ኣብ-ማእከላይ (MITM) ምቅላዕ እውን ከምኡ። ከምዘይፈስስ SSL/TLS certificate pinning ምርግጋፅን ፍቓድን ምሃብ ዋላ’ውን ናይ መእተዊ ስክሪናትካን ናይ ተጠቃሚ ተራኻን ኣብ ወረቐት ድምጺ እንተመሰለ፡ እቲ ሓቀኛ ፈተና ሓደ ሰብ ኣብ ግዜ ምዝዋር ክሓልፎም ይኽእል ድዩ ኣይክእልን እዩ። ንኣብነት ሓደ መጥቃዕቲ ዝፍጽም ሰብ ንናይ ክፍለ ግዜ ቶከናት ዳግማይ ክጥቀመሉ ይኽእል ድዩ ወይስ ክግምቶ ይኽእል ድዩ? እቲ ኣፕ ብትኽክል ግዜ ይውዳእ ድዩ ወይስ ንዘልኣለም ክፉት ይገብሮ? ናይ ምዝዋር ግዜ ምሉእነትን ድሕነትን ምፍታሽ ብዙሓት ኣፕስ ሓደ መሳርሒ (ኣንድሮይድ) ወይ (iOS) እንተኾይኑ ክፈልጡ ይፍትኑ እሞ ድሕሪኡ ንገለ ባህርያት ምዝዋር ወይ ምዕጋት ኣብዮም። ኣብ እዋን ዳይናሚክ ትንተና፡ ኣብ ኮድ ናይቲ ኣፕ ብምትእስሳር ነዞም ቼክታት ክትሓልፎም ትኽእል እንተኾንካ ክትዕዘብ ትደሊ፡ ስለዚ ብዝኾነ መንገዲ ምፍታን ክትቅጽል ትኽእል። ነዞም ስጉምትታት ብቐሊሉ ክትሓልፎም እንተኺኢልካ፡ መጥቃዕቲ ዝፍጽሙ ሰባት እውን ይኽእሉ እዮም። ሩት ጀይልብሮክ ኣብ እዋን ምፍጻም ዳታ ምፍሳስ እቲ ኣፕ ስሱዕ ሓበሬታ (ከም ፓስዎርድ ወይ ቶከን) ብግልጺ ጽሑፍ ይምዝግብ ድዩ? ኣፕስ ክትቅይር ወይ ነቲ መሳርሒ ድሕሪት ክትቅይሮ ከለኻ፡ እቲ ብሚስጢራዊ ዳታ ዝተቐረጸ ስክሪን ጌና ይርአ ድዩ? እዚ ዓይነት ብዘይ ፍላጥ “ናይ እንጀራ” ኣሰር ንመጥቃዕቲ ዝፍጽሙ ሰባት ትኽ ኢሉ ናብቲ ስንቂ ክመርሖም ይኽእል። ኤፒኣይን ሰርቨር-ሳይድ ምርግጋጽን እቲ ኣፕ ብዓይኒ ዓሚል ውሑስ ክመስል ይኽእል እዩ፡ እንተኾነ ግን እቲ ድሕሪት ኤፒኣይ ንፍቓድ ተጠቃሚ ወይ እታው እንተዘይኣረጋጊጹ፡ ሓደ መጥቃዕቲ ዝፍጽም ሰብ ኣብ በረራ ንዝቐርቡ ሕቶታት ብምቕያር ዘይተፈቕደ መእተዊ ንምርካብ ወይ ነቲ ስርዓት ክሰብሮ ይኽእል። ንኽልቲኡ ባህርያት ዓሚልን ኣገልጋልን ብሓባር ምፍታን ወሳኒ እዩ። ዝርዝር ምፍታሽ MSTG ዳይናሚክ ትንተና እውን ይሽፍን እዩ። ኣብ ኣእምሮኻ ክትሕዞም ዘለካ ገለ ቸክታት እነሆ፤ መምርሒ ፈተነ ድሕነት ሞባይል (MSTG) [ ] : ኣፕ ንናይ ምትዕንቓፍ ወይ ናይ ምግልባጥ ምህንድስና ፈተነታት ይፈልጥን ይከላኸልን እዩ። MSTG-RESILIENCE-1 [ ] : ኣፕ ሱር ዝሰደዱ ወይ ጀይልብሮክ ዝኾኑ መሳርሒታት ይፈልጥ። MSTG-RESILIENCE-2 [ ] : ኣፕ ኣብ ግዜ ምዝዋር ምሉእነት ኮዱን ጸጋታቱን የረጋግጽ። MSTG-RESILIENCE-3 [ ] : ኣፕ ንኹሉ ትራፊክ መርበብ ሓበሬታ ሓያል ምስጢራዊ ስእሊ ብምጥቃም ምስጢራዊ ይገብሮ። MSTG-NETWORK-1 [ ] : ኣፕ ኣብ ኣድላይነቱ ምስክር ወረቐት ፒኒንግ የተግብር። MSTG-NETWORK-3 [ ] : ኣፕ ኣብ ፕላትፎርም ድሕንነት ኣገባባት ጥራይ ኣይምርኮስን ኮይኑ ስጉምትታት ጸጥታ ብናጻ የተግብር። MSTG-PLATFORM-1 [ ] : ኣፕ ንናይ ክፍለ ግዜ ግዜ ምውዳእን ናይ ተጠቃሚ ዳግማይ ምርግጋጽ ጠለባትን ብግቡእ የተግብር። MSTG-AUTH-2 [ ] : ኣፕ ስሱዕ ዳታ ናብ ስርዓተ ምዝገባ ኣይምዝግብን እዩ። MSTG-STORAGE-4 [ ] : ኣፕ ስሱዕ ዳታ ኣብ ውሑስ ዘይኮነ ቦታ ኣይዕቅብን እዩ። MSTG-STORAGE-5 [ ] : ኣፕ ንናይ ምዝዋር ግዜ ስርሓት እዋናዊ ክሪፕቶግራፊክ ኣልጎሪዝም ይጥቀም። MSTG-CRYPTO-1 ነዚኦም ከም ፍኖተ- ናይ ሓቀኛ ዓለም ፈተናታትካ ሕሰቦም። ኣብ ነፍሲ ወከፍ ማዕጾን መስኮትን ብስርዓት ክትሃርም ይሕግዙኻ፡ ተዓጽዩ ከምዘሎ ንምርግጋጽ። ካርታ መሳርሒታት ዳስት ዘይከምቲ ኣብ ምፍታሽ ኮድ ዘተኮረ SAST፡ DAST ኣብ ዙርያ ናይቲ ኣፕን ምፍታሽን እዩ ዝዘውር። ኣብ ታሕቲ ነቲ መስርሕ ስሉጥ ንምግባር ዝሕግዙ ህቡባት መሳርሒታት ኣለዉ፤ ምዝዋር / በርፕ ሱት ኦዋስፕ ዛፕ : ክልቲኦም ኣብ መንጎ እቲ ኣፕን ድሕረ-ባይታ ኣገልገልትን ትራፊክ ክትሕዝን ክትቅይርን ዘኽእሉኻ ዝዓግቱ ፕሮክሲታት እዮም። ውሑስ ዘይኮኑ መወዳእታ ነጥብታት፡ ጉድለታት ክፍለ-ግዜ፡ ወይ ምፍሳስ ዳታ ንምፍላጥ ምቹእ እዩ። ኣጠቓቕማ ፍሪዳ : ኣብ ምዝዋር መስርሓት ዝኣቱ ዳይናሚክ መሳርሒታት መሳርሒ፣ SSL ፒኒንግ፣ ሱር/ጀይልብሬክ ምፍላጥ፣ ወይ ካልእ ብወገን ዓሚል ዝግበር ገደባት ክትሓልፍ ዝሕግዘካ። ኣጠቓቕማ ልሙድ ፍሪዳ ትእዛዛት። ተግባር ትእዛዝ ምስ ዝጎዪ መስርሕ ምትእስሳር frida -U -n ኩሎም ዝጎዩ መስርሓት ዘርዝሩ frida-ps -U ብሕታዊ ስክሪፕት ምውጋእ frida -U -n -c script.js ፍሉያት ተግባራት ምክትታል frida-trace -U -n ፍሉይ ተግባር ምትእስሳር frida -U -n --eval 'Interceptor.attach(Module.findExportByName(null, "function_name"), { onEnter: function (args) { console.log(args[0].toInt32()); } })' (ኣንድሮይድ) ድሮዘር : ኣብ ስካን ናይ ኣንድሮይድ ክፍልታት ከም Activities, Services, Broadcast Receivers, ከምኡ’ውን Content Providers ንናይ ጸጥታ ድኽመታት ዘተኮረ እዩ። ኣጠቓቕማ ልሙዳት ትእዛዛት ድሮዘር ተግባር ትእዛዝ ምስ ሓደ መሳርሒ ምትእስሳር drozer console connect ንጥፈታት ምዝርዛር run app.activity.info -a ምስ ናብ ወጻኢ ዝለኣኹ ንጥፈታት ምትእስሳር run app.activity.start --component ንኤስኪዩኤል ኢንጀክሽን ዝኸውን ፈተነ run scanner.provider.injection -a ተቓውሞ : ኣብ ፍሪዳ ዝተሃንጸ ኮይኑ፡ ግን ንዕማማት ከም ምዕጻው SSL pinning ወይ ምድህሳስ ናይቲ ኣፕ ፋይል ሲስተም ዝኣመሰሉ ቀለልቲ ትእዛዛት ኣለዎ። ስክሪፕቲንግ ጉሩ እንተዘይኮይንካ ፍጹም እዩ። ኣጠቓቕማ ልሙድ ናይ ተቓውሞ ትእዛዛት። ተግባር ትእዛዝ ኣብ ሓደ ዝጎዪ ኣፕ ኣተሓሕዞ objection -g explore SSL Pinning ኣሰናኽል android sslpinning disable / ios sslpinning disable ሓበሬታ መመልከቲ ምሕታም android application info or ios application info ኣብነታት ኣንድሮይድ መርበብ ምቁራጽን ምምሕያሽን ትራፊክ ኣንድሮይድ ብመንገዲ ከም ዝኣመሰለ መሳርሒ ብምምራሕ፡ ፈተንቲ ንሕቶታት ክዓግቱን ክቕይሩን ይኽእሉ። ንኣብነት እቲ ኣፕ ብኤችቲቲፒ መረጋገጺታት እንተሰዲዱ ወይ ድማ ናይ TLS ምስክር ወረቐት ብግቡእ ከረጋግጽ እንተዘይክኢሉ፡ ሓደ መጥቃዕቲ ዝፍጽም መጥቃዕቲ ክፍጽም ይኽእል። Burp Suite ሰብ ኣብ ማእከል (MITM) POST /login HTTP/1.1 Host: api.example.com Content-Type: application/json { "username": "test_user", "password": "secret_password" } ናይ ክፍለ ግዜ ቶከናት፣ ውልቃዊ ዳታ፣ ወይ ናይ ክፍሊት ሓበሬታ ክቃላዕ ወይ ክዕንቀፍ ይኽእል እዩ። ስሱዕ ዳታ ዘቃልዕ ሎግስ ዲባግ 03-09 12:34:56.789 1234 5678 I MyAppLogger: User token = "abc123XYZ987" 03-09 12:34:56.789 1234 5678 I MyAppLogger: Payment info: "card_number=4111111111111111" ዝኾነ (ወይ ጐዳኢ ኣፕ) ዘለዎ ሰብ ነዞም ምዝገባታት ኣንቢቡ ክምዝምዞም ይኽእል ነይሩ። ኤዲቢ ውሕስነት ዘይብሎም ንጥፈታት / ኣቕረብቲ ትሕዝቶ ብምጥቃም፡ ፈተንቲ ናብ ወጻኢ ዝለኣኹ ንጥፈታት ወይ ዝኾነ ምርግጋጽ ዘየድልዮም ኣቕረብቲ ትሕዝቶ ክረኽቡ ይኽእሉ። Drozer drozer console connect run app.provider.query content://com.example.app.provider/users ዳታ ብዘይ ግቡእ ፍቓድ እንተተመሊሱ፡ መጥቃዕቲ ዝፍጽሙ ሰባት ናይ ሓደ ተጠቃሚ ሓበሬታ ከንብቡ ወይ ክቕይሩ ይኽእሉ። ሱር ምልላይ ምሕላፍ ከም ወይ ዝኣመሰሉ መሳርሒታት ኣብ ግዜ ምዝዋር ንroot detection ወይ SSL pinning checks ክትሓልፍ የኽእሉኻ፤ Frida Objection frida -U -n com.example.app --eval "..." objection -g com.example.app explore android sslpinning disable android root disable ios sslpinning disable ios root disable ኣብ ሱር ዘለወን ስልክታት ዝርከቡ መጥቃዕቲ ዝፍጽሙ ሰባት፡ ምፍታን ወይ ኣብ ተሃዋሲ ተግባራት ምትእስሳር ክቕጽሉ፡ ምስጢር ክገልጹ ወይ ኣብ ስነ-መጐት ኣፕ ምትዕንቓፍ ክቕጽሉ ይኽእሉ። iOS ጀይልብሬክ ዲቴክሽን ባይፓስ ብዙሓት ናይ iOS ኣፕስ ስልኪ እንተረኺቦም ኣይሰርሑን እዮም። ብ , ነቲ ናይ ምፍላጥ ሜላ ክትሕንጥጦን ክትሽፍኖን ትኽእል ኢኻ፤ ጀይልብሮክ ዝኾነት Frida Interceptor.attach(Module.findExportByName(null, "jailbreakDetectionFunction"), { onEnter: function (args) { console.log("Bypassed jailbreak check!"); // Force return a 'clean' status } }); መጥቃዕቲ ዝፍጽሙ ሰባት ነቲ ኣፕ ኣብ ሓደጋ ዝወደቑ መሳርሒታት ከካይዱን ኣብ ዳታ ወይ መንጠልጠሊታት ክምርምሩን ይኽእሉ። ኣብ ስርዓት ምዝገባታት ዝርከብ ተሃዋሲ ዳታ 2023-03-09 12:34:56.789 MyApp[1234:5678] Payment info: card_number=4111111111111111 2023-03-09 12:34:56.789 MyApp[1234:5678] session_token=abc123XYZ987 ኣብ ጀይልብሮክ መሳርሒታት-ወይ ብመንገዲ ናይ ደገ ምዝገባ ምእካብ-ኣጥቃዕቲ ብቐጥታ ስሱዕ ዳታ ይዓጽዱ። ልሙዳት ብድሆታት ኣብ ሞባይል ጴንጠስቲንግ : መሳርሒታት ኣንድሮይድ ብኦኤስ ቨርዥን፣ ብሕታዊ ሮምን ብናይ ኣፍረይቲ ምምሕያሻትን ኣዝዮም ይፈላለዩ፣ እዚ ድማ ንፈተነታት ዝተሓላለኸ ይገብሮ። Platform Fragmentation : ከም SSL pinning, root/jailbreak detection, and obfuscation ዝኣመሰሉ ባህርያት ንpentesting ክዕንቅፉ ይኽእሉ። ስጉምትታት ድሕነት መተግበሪ : ጸሊም-ሳንዱቕ ፈተነ መብዛሕትኡ ግዜ ብከም APKTool ወይ JADX ዝኣመሰሉ መሳርሒታት ሪቨርስ ኢንጅነሪንግ የድሊ፣ እዚ ድማ ግዜ ክወስድ ይኽእል። ውሱን ምብጻሕ ምንጪ ኮድ : ሳንድቦክሲንግ፣ መከላኸሊ መዘክርን ኣድላይነት ሱር ዝሰደዱ/ጀይልብሮከን መሳርሒታትን ንናይ ሓቂ ዓለም ዋሕዚ ስራሕ ፈተነታት የተሓላለኹ። ዳይናሚክ ትንተና ገደባት : SSL ፒኒንግ፣ ምስክር ወረቐት ምጽዳቕ፣ ወይ VPNs ንመደበኛ MITM ፕሮክሲታት ክኽልክሉ ይኽእሉ። ከም , , ከምኡ ውን ዝኣመሰሉ መሳርሒታት ንbypass ኣገደስቲ ይኾኑ። ድሕነት መርበብን ምፍታሽ ትራፊክን Frida Burp Suite mitmproxy ብተደጋጋሚ ዝሕተቱ ሕቶታት (FAQ) ሞባይል ፔንስቲንግ እንታይ እዩ? ንሱ ድማ፡ ኣብ ሓቀኛ ዓለም ዝፍጸም መጥቃዕቲ ብምምሳል፡ ሓደ ናይ ሞባይል ኣፕ ክሳብ ክንደይ ውሑስ ምዃኑ ምፍታን'ዩ- ቅድሚ እቶም መጥቃዕቲ ዝፍጽሙ ሰባት ዝኾነ ስንጥቆታት ምድላይ። ስለምንታይ እዩ ሞባይል ፔንቴስቲንግ ኣገዳሲ ዝኸውን? ስማርትፎናት ብዙሕ ውልቃውን ፋይናንሳውን ዳታ ስለዘለወን፡ ንገበነኛታት ሳይበር ቀንዲ ዕላማ እየን። ቀንዲ ስጉምትታት እንታይ እዮም? ቁጽጽር ዝግበረሉ ሃዋህው ምድላው፣ ስታትቲክ ትንተና (SAST) ምግባር፣ ዳይናሚክ ትንተና (DAST) ምግባር፣ ርኽበታት ምስናድን ድሕሪ ምእራም ዳግማይ ምፍታንን። እንታይ መሳርሒታት የድልዩኒ? Burp Suite ወይ ZAP ንመዕጸዊ ትራፊክ፡ MobSF ንስካን፡ APKTool/JADX (Android)፡ Class-Dump/Hopper (iOS)፡ ተወሳኺ ከም Frida ወይ Objection ዝኣመሰሉ ናይ ምትእስሳር መሳርሒታት። ክንደይ ግዜ ኢና ክንሓስብ ዘለና? ድሕሪ ዓበይቲ ምዕባለታት፡ ሓደስቲ ባህርያት፡ ወይ ርኡይ ናይ ትሕተ ቅርጺ ለውጢ። ብዝበለጸ ንቐጻሊ ምፍታሽ ኣብ CI/CD ምውህሃድ። ልሙዳት ተቓላዕነት እንታይ እዮም? ውሑስ ዘይኮነ መኽዘን ዳታ፡ HTTPS ዘይብሉ፡ ብሓርድኮድ ዝተገብረ ምስጢር፡ ድኹም ምሕደራ ክፍለ-ግዜ፡ ከምኡ’ውን ብጌጋ ዝተዋቕረ ኤፒኣይ። ኩሉ ነገር ኣውቶማቲክ ክኸውን ይኽእል ድዩ? ናይ ብሓቂ ኣይኮነን። መሳርሒታት ንገለ ስካናት ብኣውቶማቲክ ክገብርዎ ይኽእሉ እዮም፣ ብኢድ ዝግበር ፈተነ ግን ዝያዳ ብልሓት ዘለዎ ናይ ስነ-መጐት ጉድለታት ወይ ዝተሓላለኸ ሕግታት ንግዲ የቃልዕ። ንኽልቲኡ ኣንድሮይድን ኣይኦኤስን ክንፍትኖ ኣለና ድዩ? እወ፡ ነፍሲ ወከፎም ፍሉይ ናይ ጸጥታ ሞዴላትን መጻወድያታትን ኣለዎም። pentest ምግባር ሕጋዊ ድዩ? ፍጹም፡ ካብቲ ወናኒ ኣፕ ግሉጽ ፍቓድ እንተሃልዩካ። እንተዘይኮይኑ ዘይሕጋዊ እዩ። ካበይ ክጅምር? ኣጽንዕ፣ መሰረታዊ ምግልባጥ ተማሃር፣ ከምኡ’ውን ብክፉት ምንጪ ዘለዎም መተግበሪታት ወይ ናሙና ዕላማታት ተለማመድ። መምርሒ ፈተነ ሞባይል ድሕነት OWASP (MASTG) መደምደምታ ሞባይል ፔንተስቲንግ ከም ዓቢ እዩ —ማርሻታት (መሳርሕታትን መሳርሕታትን ብምእካብ ትጅምር)፣ ድሕሪኡ ነቲ መሬት (SAST)፣ ኣብ መወዳእታ ድማ ነፍሲ ወከፍ ድኹም ቦታ ንምርካብ ። እዚ ብቐጻሊ ብምግባርን ርኽበታትካ ብምሕባርን፡ መተግበሪታትካ ጽኑዓትን ተጠቀምትኻ ውሑሳትን ክኾኑ ኢኻ። ጕዕዞ ትስካውት ብኢድካ ዝግበር ኣቀራርባ (DAST) ትወስድ ዘክር: ሶፍትዌር መዓልታዊ ይምዕብል: ስግኣታት እውን ከምኡ። ፔንተስቲንግ ኣክ ኣካል ናይ ምዕባለ ህይወትካ ግበሮ-ምኽንያቱ እቲ ዝበለጸ መገዲ ንመንግስቲ ንምውሓስ ንሓለውኻ ፈጺምካ ዘይምግዳፍ እዩ። ቀጻሊ ብዛዕባ ደራሲ እዚ ጽሑፍ ’ ዚ ዝተባህለት መሃንድስ ፈተነ ጸጥታ ኣብ ዝተዳለወ ኮይኑ፡ ብኣሌክስ ሲቲኦ ዝተገምገመ ’ ዩ። ኣብ መርመራ ምእታውን ምምዛን ድሕነትን ልዕሊ ሓሙሽተ ዓመት ናይ ኢድ ተመኩሮ ኣለዎ። ንሳ ኣብ ምፍታን ዌብ ኣፕሊኬሽናት፡ ትሕተ ቅርጺ (ኣብ ውሽጢ ትካልን ኣብ ደበናን)፡ ከምኡ’ውን ሞባይል መድረኻት (iOSን Androidን) ዝነጥፍ ክኢላ እያ። ክእለታ ኣብ ኣገባባት ጸሊም ሳንዱቕ፡ ግራጭ ሳንዱቕን ጻዕዳ ሳንዱቕን ዝሽፍን ኮይኑ፡ ጎኒ ጎኒ ብቕዓት ኣብ ገምጋም ተቓላዕነትን ምግምጋም ድሕነት ምንጪ ኮድን እዩ። ብኣናስታስያ ቶልካቾቫ ሰኩርኖ ሮዝኒያቶቭስኪ ዝተባህለ ሰኩርኖ ኣናስታስያ ኣብ ልምዓትን ሳይበር ሴኩሪቲን ናይ 7 ዓመት ተመኩሮ ኣለዎ። ንሱ ውሑስ ኣሰራርሓታት ኮዲንግ ንምስጓም ውፉይ ዝኾነ AWS Open-source Contributor እዩ። ክእለቱ ኣብ መንጎ ምምዕባል ሶፍትዌርን ድሕነትን ዘሎ ክፍተት ዝድልድል ኮይኑ፡ ኣብ ምክልኻል ዘመናዊ ዌብ ኣፕሊኬሽናት ክቡር ርድኢት ይህብ። ኣሌክስ መምርሒ ሞባይል ጴንጠስቲንግ፡ መወከሲታት መሳርሕታትን ጸጋታትን ሞባይል-ድሕነት-ማዕቀፍ-MobSF ኣፕክቶል jadx በርፕ ሱት ፍሪዳ ድሮዘር ተቓውሞ ጀኒሞሽን ኮረሊየም ቨርቹዋል ሃርድዌር appledb.dev ሪፍሉተር መድረኽ-መሳርሒታት ማጂስክ ሱር መርማሪ checkra1n ዝብል ጽሑፍ ኣሎ። unc0ver ዝብል ጽሑፍ ኣሎ። ፊልዛ መምርሕታትን ጽሑፋትን OWASP ሞባይል ብሉጻት 10 OWASP ሞባይል ኣፕሊኬሽን ድሕነት ኦዋስፕ ማስትግ NIST SP 800-163 ዝብል ጽሑፍ ኣሎ። ኣንድሮይድ ስቱድዮ ኣውሪድና ንጽዓኖ ንሓደ ኣንድሮይድ መሳርሒ ምስ በርፕ ሱት ክሰርሕ ምውቃር ምስ Burp Suite Professional ንኽሰርሕ ናይ iOS መሳርሒ ምውቃር ምጥፍፋእ ዛማሪን ኣፕስ