Ujian Penembusan Aplikasi Mudah Alih di Malaysia

Asas minimum untuk semua aplikasi mudah alih — tiada data sensitif dalam storan tidak selamat, tiada kredensial yang ditanam terus dalam kod sumber (hardcoded), penggunaan API kriptografi platform yang betul, dan komunikasi rangkaian selamat (TLS).

Dibina berasaskan L1 dengan kawalan tambahan untuk aplikasi bernilai tinggi — komunikasi antara proses yang selamat, perlindungan masa jalan terhadap pencangkukan (hooking), penyematan sijil (certificate pinning) untuk trafik API, dan storan data tempatan yang selamat. Tahap yang sesuai untuk apl teknologi kewangan dan e-dompet.

Tahap tertinggi — ujian ketahanan terhadap penyerang mahir menggunakan kejuruteraan songsang, gangguan (tampering) dan pintasan emulator. Relevan untuk apl berlogik perniagaan sensitif seperti penentuan harga dan skor penipuan.

Apakah OWASP MASVS dan mengapa ia penting untuk apl teknologi kewangan (fintech) di Malaysia?

OWASP MASVS — Mobile Application Security Verification Standard — ialah rangka kerja rujukan global bagi keperluan keselamatan aplikasi mudah alih. Ia menetapkan tiga tahap kawalan, iaitu asas (L1), pertahanan berlapis (L2) dan daya tahan terhadap kejuruteraan songsang (MASVS-R). Bagi apl fintech dan e-dompet di Malaysia, MASVS-L2 ialah asas yang sesuai kerana ia merangkumi kawalan yang disemak oleh pemeriksa risiko teknologi BNM.

Bagaimana pentest aplikasi mudah alih berbeza daripada semakan kod?

Semakan kod (analisis statik) menganalisis kod sumber atau binari untuk kelemahan tanpa menjalankan aplikasi. Pentest pula bersifat dinamik — kami menjalankan apl pada peranti sebenar atau emulator, berinteraksi dengannya sebagai pengguna dan penyerang, memintas trafik rangkaiannya, dan menguji sama ada perlindungan seperti penyematan sijil dan pengesanan jailbreak benar-benar berfungsi dalam keadaan serangan.

Bolehkah anda menguji apl kami tanpa akses kepada kod sumber?

Ya — pentest kotak hitam (black-box) mudah alih hanya menggunakan binari terkompil (IPA untuk iOS, APK untuk Android) dan akaun ujian. Kami menyahkompil binari, menganalisis sistem fail, memintas trafik rangkaian, dan menguji API bahagian belakang (backend) tanpa kod sumber. Ujian kotak kelabu (grey-box) juga tersedia dan membantu mengenal pasti kelemahan logik perniagaan yang tidak kelihatan melalui analisis binari sahaja.

Adakah BNM mewajibkan pentest aplikasi mudah alih untuk pemegang lesen e-dompet?

BNM tidak menyatakan secara khusus kekerapan ujian bagi apl mudah alih, tetapi Dokumen Dasar Wang Elektronik dan keperluan RMiT bagi pembangunan dan pengujian aplikasi selamat mewajibkan pemegang lesen menunjukkan penilaian keselamatan antara muka mudah alih. Dalam amalannya, pemeriksa risiko teknologi BNM meminta bukti ujian keselamatan aplikasi mudah alih — biasanya laporan pentest yang dipetakan kepada OWASP MASVS.