Çalışma mantığı
Platform hizmeti belirli platform iddialarını sunucuya doğrulatır. RASP ürünü kendi kapsamına göre ortam veya müdahale sinyalleri üretir. Her iki sonuç da yapılmak istenen işlemle bağlanmalı, güncelliği ve kullanılamama durumu değerlendirilmelidir.
Uygulamada nasıl değerlendirilir?
Sunucu hassas işlem için platform kanıtını doğrular, RASP olayını bağlam olarak inceler ve kendi yetkilendirmesini uygular. Kanıtın olumlu olması, kullanıcının bütün işlemlere yetkili olduğu veya dolandırılmadığı anlamına gelmez.
Sınırlar ve yaygın hatalar
Her platform hizmeti aynı alanları veya aynı kullanım modelini sunmaz. Android ve iOS sonuçlarını tek bir ortak temiz cihaz bayrağına indirgemek bilgi kaybettirir.
Kontrol listesi
- Kanıtın neyi iddia ettiğini yazın
- İşlemle bağını doğrulayın
- Desteklenmeyen durumu modelleyin
Karar verirken
Birini diğerinin otomatik ikamesi olarak seçmeyin. Tehdit modelindeki boşluğu hangi katmanın kapattığını açıklayın.
Üç yaklaşımın karşılaştırması
| Ölçüt | Mobile RASP | Play Integrity / App Attest |
|---|---|---|
| Temel rol | Ürünün kapsamına göre uygulama içi risk gözlemi ve tepki | Platformun tanımladığı uygulama veya ortam iddialarını doğrulama |
| Politika | Yerel, uzaktan veya karma olabilir. | Sunucu doğrulaması ve uygulamaya ait kabul kararı gerekir. |
| Kod karartma | Ürünün shielding kapsamına dahil olabilir. | Genel kod karartma hizmeti değildir. |
| Çevrimdışı koşul | Yerel kontrol olabilir; kapsam ürüne bağlıdır. | Kanıt üretim ve doğrulama akışının ağ koşulları ayrıca planlanır. |
| Kullanıcı yetkisi | Sunucu yetkilendirmesinin yerine geçmez. | Sunucu yetkilendirmesinin yerine geçmez. |
Play Integrity ve App Attest kendi aralarında da eşdeğer değildir. Kanıt alanları, anahtar ve istek yaşam döngüsü, destek koşulları farklıdır. Ortak uygulama arayüzü geliştirilebilir; ancak bu arayüz platform ayrıntılarını silip tek bir güvenilir cihaz bayrağına dönüştürmemelidir.
Seçimde önce hangi saldırı yolunun açık kaldığını belirleyin. Uygulamanın beklenen örneğinden gelen isteği ayırt etmek başka, çalışma anında hassas fonksiyona müdahaleyi tespit etmek başka sorudur. Her gereksinim için ilgili kontrol ve doğrulama yöntemi yazılır.
Kaynaklar ve kapsam
Teknik özelliklerin başvuru noktaları aşağıdadır. Uygulama örneği ve kontrol listesi bu yayın için hazırlanmış değerlendirme önerileridir; bağımsız ürün testi sonucu değildir.