编辑导语：说到app安全漏洞，大家并不陌生，网上关于app安全漏洞、用户信息泄露的新闻层出不穷。安全就像空气，虽然看不见摸不着，一旦出现安全问题没有及时修复，对于企业来说将是致命伤害。本文作者分析了移动应用程序安全性的主要风险，并指出了如何确保Android应用程序的安全性，以及如何使iOS应用程序安全数据存储。
过去10年，我们见证了移动应用程序开发的飞速发展，但是网络犯罪也一直如影随形。事实上，移动应用商店绝大多数app都有可能存在潜在的安全风险。
有数据显示，89%的热门应用存在仿冒，18个行业的Top10应用中98%的应用都存在漏洞。这些漏洞一旦被利用，将会给开发者和用户带来很大的影响。
在本文中，我们将进一步探讨开发完成后应该实施哪些基本的移动应用程序安全性实践。
一、移动应用程序安全性的主要风险
1. 弱服务器端控件
在移动设备之外，应用程序和用户之间的通信是通过服务器进行的，这些服务器是全世界黑客的主要攻击目标，服务器漏洞背后的主要原因是因为有时开发人员忽略了必要的服务器端安全性考虑。
由于缺乏对移动应用程序的安全考虑、用于安全防护预算不足、系统差异等都有可能造成安全漏洞。通过自动化漏洞扫描工具扫描应用程序，尽可能多的识别漏洞及时修补。
通过这个方法，，可以发现解决掉很多常见的问题和bug。
2. 缺乏二进制保护
这也是OWASP应用程序需要解决的主要安全问题之一，因为如果一个移动应用程序缺乏二进制保护，任何黑客或对手都可以轻松地利用反编译工具向应用中插入广告代码与相关配置，他们也可以在第三方应用市场、论坛重新发布盗版应用程序。
这种行为不仅会造成数据泄露，危害产品和用户利益，同时也会影响到企业的品牌口碑。为避免这种情况，部署二进制强化过程很重要。
在二进制强化下，二进制文件将被分析并相应地修改，以保护它们免受常见的移动应用程序安全威胁，这允许在不需要源代码的情况下修复遗留代码本身中的漏洞。
该应用程序还应遵循越狱检测控件，校验和控件，证书锁定控件和调试器检测控件的安全编码技术。
3. 数据存储安全
另一个常见的移动应用安全漏洞是缺乏安全的数据存储系统，开发人员通常依靠客户端存储来获取内部数据，然而在竞争对手获取移动设备的情况下，这些内部数据可以非常容易地访问、使用或操纵。
这可能导致身份盗用，声誉受损和外部政策违规(PCI)，跨平台保护数据存储的最佳方法是通过操作系统提供的基本级别加密构建额外的加密层。
这极大地提高了数据安全性。并减少了对默认加密的依赖。
4. 传输层保护不足
传输层是在客户端和服务器之间进行数据传输的途径，如果此时没有引入适当的移动应用安全标准，任何黑客都可以访问内部数据，窃取或修改它，这会导致身份盗窃和诈骗等威胁。
为了加强传输层安全性，可以在iOS和Android应用程序中加入SSL固定。除此之外，还可以使用行业标准的密码套件代替常规的密码套件。
由于混合SSL会话，为避免暴露用户的会话ID，当应用程序通过浏览器/webkit运行例程时，需要使用SSL版本的第三方分析公司，社交网络等。
5. 数据泄漏
当关键的移动应用程序存储在移动设备上易受攻击的位置时，就会发生意外数据泄漏。
例如：一个应用程序被存储在可以被其他应用程序或设备访问的地方，这最终会导致应用程序的数据泄露和未经授权的数据使用。
监控常见的数据泄露点，如日志、应用后台、缓存、本地存储等。在了解了困扰移动应用程序的主要风险和避免风险需要遵循的一些最佳移动应用程序安全事件之后，让我们继续讨论Android和iOS移动应用程序安全的细节。
二、如何确保Android应用程序的安全性
1. 对外部存储的数据进行加密
一般来说，设备的内部存储容量是有限的。
这一缺陷通常会迫使用户使用外部设备，如硬盘和闪存驱动器，以确保数据安全，这些数据有时也包含敏感和机密数据。
由于存储在外部存储设备上的数据很容易被设备上的所有应用程序访问，因此以加密格式保存数据非常重要，移动应用程序开发人员最广泛使用的加密算法之一是AES(高级加密标准)。
2. 对敏感数据使用内部存储
所有Android应用程序都有一个内部存储目录，存储在这个目录中的文件非常安全，因为它们使用MODE_PRIVATE模式创建文件。
简单地说，这种模式确保了一个特定应用程序的文件不会被保存在设备上的其他应用程序访问。
因此，它是移动应用程序身份验证最佳实践之一。
3. 使用HTTPS
应用程序和服务器之间的通信应该通过HTTPS连接进行，大量Android用户经常连接多个公共区域的开放WiFi网络，使用HTTP而不是HTTPS会使设备容易受到许多恶意热点的攻击，这些热点很容易改变HTTP流量的内容，使设备的应用程序出现异常。
其他主要的移动应用程序开发安全最佳实践包括：验证用户输入，在发布应用程序之前避免个人数据和ProGuard的使用。
三、如何使iOS应用程序安全数据存储
为了极大地简化应用程序的架构并提高其安全性，最好的方法是将应用程序数据存储在内存中，而不是将其写入磁盘或发送到远程服务器。
尽管在本地存储数据是唯一的方式，但也有多种方法可供选择：
- 钥匙串：无需频繁访问即可存储少量敏感数据的最佳位置是钥匙串。存储在密钥链中的数据由操作系统管理，任何其他应用程序都无法访问。
- 缓存：如果你的数据不需要在iCloud或iTunes上备份，那么你可以将数据存储在应用程序沙箱的缓存目录中。
- 默认系统：默认系统是一种方便的存储大量数据的方法。
1. 网络安全
苹果公司以其安全和隐私政策而闻名，多年来，它一直致力于达到这一水平。
几年前，苹果公司推出了App Transport Security，该软件强制第三方移动应用程序通过更安全的连接（例如HTTPS）发送网络请求。
2. 敏感信息的安全
大多数移动应用程序使用敏感的用户数据，如通讯录、位置等。但作为开发人员，需要确保要求访问用户的信息都是必须访问的，更重要的是如何储存这些信息。
如果需要的信息可以通过本机框架进行访问，那么复制和存储该信息是多余的。
3. 移动应用程序安全实践中面临的挑战
有记录表明，如果没有采取足够的措施来保护移动应用免受外部恶意软件攻击，移动应用程序将变得不堪一击。如果未按照要求完成移动应用程序安全性测试，则随时可能出现以下挑战。
4. 设备碎片化
在应用商店发布应用程序之前，必须遵循一些基本流程。
有必要在移动应用程序测试策略中引入涵盖不同分辨率、功能、特性和限制的各种设备，检测设备的特定漏洞可以让应用程序开发人员在应用程序安全措施方面领先一步。
不仅是设备，还有流行操作系统的不同版本都是重要的一步，要在应用程序发布之前覆盖所有可能的漏洞。
5. 弱加密
在弱加密的情况下，移动设备很容易接受来自任何可用设备的数据。
恶意软件攻击者一直在寻找公共移动设备中的开放端，如果您不严格遵循加密过程，则您的应用可以成为开放端。因此，将精力投入到强大的加密上也是制作防黑客移动应用程序的最佳方法之一。
6. 较弱的托管控件
这个主要发生在企业的第一个移动应用程序开发期间，通常会将数据暴露给服务器端系统。
因此，用于托管应用程序的服务器必须有足够的应用程序安全措施，以避免任何未经授权的用户访问重要数据。
通过对移动应用程序的安全审核，可以采用多种方法抵御来自未知来源的攻击。在开放的数字世界，没有用户能够免受恶意软件和安全漏洞的威胁，但是这些措施可以最大程度的保障个人数据在移动设备上的安全性。
APICloud是国内低代码开发平台的引领者与效率革命的探索者，基于对云原生、DevOps、混合开发等能力的集成，APICloud从移动开发演进为低代码开发平台，APICloud致力于为各行业提供app定制与企业数字化服务。
你是如何看待移动app开发代码和数据安全性的？app开发安全做到多少为必要？欢迎大家一起来评论区交流讨论~
本文由 @Wulicuicui na~ 原创发布于人人都是产品经理，未经许可，禁止转载。
题图来自 Unsplash，基于CC0协议