Open Android Security Assessment Methodology (OASAM)

OASAM, es acrónimo de Open Android Security Assessment Methodology y tiene por objetivo ser una metodología de análisis de seguridad de aplicaciones Android. El objetivo es ser un framework de referencia de análisis de vulnerabilidades en aplicaciones Android.

Actualmente los dispositivos portables están copando el mercado, la consumerización los está llevando al apartado empresarial, dejando obsoleta la idea del uso exclusivamente ocioso. Por un lado Android se está revelando como el sistema operativo más extendido en este apartado debido a diversos motivos, entre ellos la facilidad de crear y distribuir masivamente aplicativos. Sin embargo desde el punto de vista de seguridad no se está difundiendo ningún tipo de información acerca de las nuevas vulnerabilidades que puede acarrear la programación insegura en esta plataforma, que tiene una considerable superficie de ataque (la tradicional añadiendo la que la propia arquitectura Android incorpora).

Por otro lado, aunque hay algunos trabajos concretos al respecto, no existe una taxonomía completa y consistente de vulnerabilidades en aplicaciones específicas de Android que permita calalogar estas vulnerabilidades.

El objetivo del proyecto OASAM es elaborar una taxonomía completa y consistente de vulnerabilidades en aplicaciones Android, que sirva de apoyo no solo a los desarrolladores de aplicaciones, sino también a los encargados de buscar vulnerabilidades en las mismas.

Los controles de seguridad se estructuran en diferentes secciones:

1. OASAM-INFO  Information Gathering  Obtención de información y definición de superficie de ataque
2. OASAM-CONF  Configuration and Deploy Management  Analisis de la configuración e implantación
3. OASAM-AUTH  Authentication  Analisis de la autenticación
4. OASAM-CRYPT  Cryptography  Analisis del uso de criptografía
5. OASAM-LEAK  Information Leak  Analisis de fugas de información sensible
6. OASAM-DV  Data Validation  Analisis de gestión de la entrada de usuario
7. OASAM-IS  Intent Spoofing  Analisis de la gestión en la recepción de Intents
8. OASAM-UIR  Unauthorized Intent Receipt  Analisis de la resolución de intents
9 OASAM-BL  Business Logic  Analisis de la lógica de negocio la aplicación

FUENTE: http://oasam.org/es

Read more »

ApkAnalyser, nos permite analizar archivos de android

ApkAnalyser es una herramienta de código abierto para realizar  análisis estático y virtual de una app.

La herramienta es multiplataforma, por lo que la podemos usar tanto en Linux, Windows o Mac OS.

Esta interesante herramienta ha sido desarrollada por Sony,  ademas de lo mencionado anteriormente también nos permite modificar la aplicación, empaquetar, instalar, ejecutar y verificar el resultado con el  LogCat de Cyanogenmod.

Otras funcionalidades que incluye son,  analizar los recursos de comunicación, se puede decodificar el XML, buscar referencias y detectar posibles problemas en la aplicación.

Como ven es una herramienta bastante practica, la cual es de gran ayuda para un desarrollador de aplicaciones en Android.

Para mas detalles visitar  https://github.com/sonyxperiadev/ApkAnalyser

Read more »

Codigo fuente de Google I/O 2013 app disponible

Cada año, unos pocos días antes de celebrarse la conferencia por excelencia de Google "GoogleI/O", el equipo de Android publica una app en Google Play sobre los temas que se van a tratar en la conferencia.

La buena noticia es que el equipo de Android ha liberado el código para que podamos clonarlo y poder estudiarlo, espero que lo disfruten como yo. https://code.google.com/p/iosched/

Read more »