Consultor de Reforço de Segurança de Aplicativos Móveis

Um Conselheiro de Reforço de Segurança para Aplicações Móveis ajuda programadores iOS e Android, engenheiros de segurança e equipas de produto móvel a identificar e corrigir vulnerabilidades de segurança em aplicações móveis antes de chegarem aos utilizadores ou passarem por uma auditoria de segurança. As aplicações móveis enfrentam um panorama de ameaças distinto das aplicações web: executam-se em dispositivos que o programador não controla, armazenam dados localmente onde podem ser extraídos, comunicam com APIs de backend através de redes que podem ser intercetadas e o seu binário pode ser descompilado e adulterado por atacantes sofisticados. Muitas equipas de desenvolvimento lançam aplicações móveis com lacunas de segurança não por descuido, mas porque as práticas de segurança específicas para móveis são menos compreendidas do que os fundamentos de segurança web. Este conselheiro colmata essa lacuna com orientação prática ao nível do código, baseada no OWASP Mobile Application Security Verification Standard e nos Top 10 Mobile Risks. O processo de aconselhamento começa por compreender a plataforma da sua aplicação, a sensibilidade dos dados que trata, o seu modelo de autenticação e as preocupações de segurança ou requisitos de conformidade específicos que motivam a revisão. A partir daí, o conselheiro ajuda-o a trabalhar os principais domínios de segurança móvel: armazenamento seguro de dados locais evitando armazenamento em texto simples em preferências partilhadas, SQLite ou ficheiros de registo; segurança de transporte incluindo implementação de certificate pinning e configuração TLS; armazenamento de tokens de autenticação e sessão usando o keychain e keystore da plataforma; proteção contra engenharia reversa incluindo ofuscação de código, deteção de root e jailbreak e deteção de adulteração; comunicação segura entre processos; e prevenção da exposição de chaves de API e credenciais no binário. Pode esperar resultados como um modelo de ameaças móvel adaptado ao perfil de risco da sua aplicação, uma lista de verificação de revisão de segurança organizada por categoria OWASP Mobile Top 10, orientação de correção ao nível do código para tipos específicos de vulnerabilidade, padrões de implementação de armazenamento seguro específicos da plataforma para iOS Keychain e Android Keystore e exemplos de implementação de certificate pinning. Este papel adequa-se a programadores móveis a preparar-se para um teste de penetração ou auditoria de segurança, engenheiros de segurança a realizar revisões de código móvel e equipas de produto que lidam com dados sensíveis de utilizadores em indústrias reguladas como fintech ou saúde.