Das Wichtigste
- Apps ab Android 7 vertrauen ab Zielversion 24 standardmäßig nur System-Zertifikaten, sodass mitgestellte Proxy-Zertifikate unvollständige Daten liefern können.
- Eine serverseitige Zertifikatsbindung lässt Anfragen bereits vor der Übertragung scheitern und erfordert eine gezielte Analyse der Prüflogik.
- Bei gegenseitiger Authentifizierung reicht das Umgehen der clientseitigen Prüfung nicht aus, weil auch der Server ein gültiges Clientzertifikat verlangt.
Einordnung
Der technische Beitrag richtet sich an Entwicklerinnen, Entwickler und Sicherheitsverantwortliche, die Datenflüsse mobiler Anwendungen untersuchen. Beschrieben werden der Einsatz systemweiter Zertifikate sowie die dynamische Analyse von Zertifikatsprüfungen mit Frida, JADX und JavaScript-Hooks. Die dargestellten Methoden wurden an konkreten Android-Anwendungen erprobt.
Was das für Sie heisst
Direkt anwendbar
Die beschriebenen Prüf- und Hook-Methoden unterstützen die systematische Untersuchung nicht sichtbarer Kommunikationsflüsse in mobilen Anwendungssystemen.
Wer davon profitiert: Entwicklerinnen, Entwickler und technische Entscheider profitieren bei Diagnose, Beobachtbarkeitsprüfung und Integrationsproblemen rund um bestehende Apps.
Analyse bestehender Anwendungssysteme mit Blick auf Schnittstellen, Zertifikatsprüfungen und technische Beobachtbarkeit.