Řeší, jak aplikace ukládá a zpracovává data, autentizuje uživatele, komunikuje se službami, používá funkce platformy, začleňuje komponenty třetích stran, odolává manipulaci a zachází s chováním citlivým na soukromí v rámci bezpečnostních omezení mobilních zařízení.
Práce kombinuje požadavky, bezpečný návrh a kódování, kontroly dodavatelského řetězce, statické a dynamické testování, pojistky distribuce, telemetrii a reakci na zranitelnosti. Assurance by měl odrážet data, oprávnění, uživatele, model nasazení a prostředí hrozeb aplikace, nikoli pouze univerzální checklist.
Klíčové body
Kontroly specifické pro aplikaciMinimalizujte oprávnění a citlivé lokální úložiště, chraňte kryptografické klíče, validujte meziprocesní komunikaci, zabezpečujte síťový provoz a zabraňte úniku přihlašovacích údajů či osobních dat přes logy, zálohy, notifikace či snímky obrazovky tam, kde je to relevantní.
Důkazy životního cykluPřezkoumávejte architekturu a kód, identifikujte závislosti, testujte instalovatelné buildy na podporovaných verzích platforem, ověřujte backendové interakce a propojujte nálezy s rozhodnutími o vydání a nápravě.
Vztah k platforměPoužívejte izolaci operačního systému, oprávnění, bezpečné úložiště, atestaci a aktualizační schopnosti přiměřeně a dokumentujte předpoklady o stavu zařízení a podporovaných verzích.
Důležité omezeníVyhovující výsledek testu nedokazuje, že aplikace, její backend či zařízení je bezpečné. Stav runtime, obchodní logika, kompromitované závislosti, chyby platformy a pozdější změny mohou dřívější důkazy zneplatnit.