Segurança em Aplicativos Móveis

Prévia do material em texto

GUIA TÉCNICO 05 • APPSEC E PROTEÇÃO DE DADOS
Segurança em Aplicativos Móveis
Defesa em profundidade contra engenharia reversa, interceptação de tráfego e vazamento local
Diferente de servidores protegidos em centros de dados controlados, o binário de um aplicativo
móvel é distribuído diretamente ao dispositivo final, onde atacantes podem inspecioná-lo,
descompilá-lo ou executá-lo em ambientes comprometidos. A segurança mobile exige assumir que o
cliente nunca é um ambiente totalmente confiável.
1. Vetores de Risco e Contramedidas (OWASP Mobile)
Vetor de Ameaça Vulnerabilidade Típica Controle Técnico Recomendado
Credenciais no Código Chaves de API privadas embutidas
em strings ou arquivos de
configuração do pacote.
Delegar chamadas sensíveis a um
backend intermediário (BFF) e usar tokens
efêmeros.
Armazenamento
Inseguro
Tokens de sessão salvos em texto
claro em preferências, logs ou
backups em nuvem.
Utilizar Keychain (iOS) e Android Keystore
respaldados por hardware (Secure
Enclave).
Interceptação de Rede Ataques Man-in-the-Middle (MitM)
via redes Wi-Fi públicas ou
certificados falsos.
Exigir TLS 1.2+ moderno e aplicar
Certificate Pinning (fixação de chave
pública).
Engenharia Reversa Análise estática e instrumentação
dinâmica (Frida) para adulterar
regras locais.
Ofuscação de símbolos (R8/ProGuard),
verificação de integridade e detecção de
root/jailbreak.
2. Autenticação Forte e Gestão de Sessão
Aplicativos modernos substituem senhas armazenadas localmente por fluxos baseados em padrões
abertos e criptografia assimétrica:
OAuth 2.0 com PKCE: Impede a interceptação de códigos de autorização por outros aplicativos
maliciosos instalados no mesmo aparelho através de um desafio criptográfico dinâmico.
Biometria Vinculada a Chaves: O desbloqueio por impressão digital ou reconhecimento facial
(LocalAuthentication / BiometricPrompt) deve liberar uma chave criptográfica protegida pelo
hardware do dispositivo, e não apenas alternar uma variável booleana na memória.
Proteção de Interface em Segundo Plano: Ocultar informações confidenciais (saldos, dados
médicos, documentos) na captura de tela automática gerada pelo seletor de tarefas do sistema
operacional.
Série Desenvolvimento Mobile • Módulo 05 Page 1 of 2
3. Integridade do Dispositivo e Atestação
Para operações financeiras ou corporativas críticas, recomenda-se validar a legitimidade do binário e
do aparelho antes de conceder acesso aos serviços. APIs oficiais como Play Integrity API (Android)
e App Attest (iOS) emitem provas criptográficas assinadas pelos fabricantes confirmando que o
aplicativo não foi adulterado e está rodando em um dispositivo genuíno.
Princípio de Confiança Zero: Controles no aplicativo (detecção de depurador, ofuscação e
validações de formulário) dificultam ataques automatizados, mas toda autorização de acesso, regra
financeira e validação de entrada deve ser obrigatoriamente imposta no servidor.
Série Desenvolvimento Mobile • Módulo 05 Page 2 of 2