![[#openIQUII - Workshop] Mobile Development e Mobile Security](https://image.slidesharecdn.com/iquii-workshopmobiledev-140630074641-phpapp02/85/openIQUII-Workshop-Mobile-Development-e-Mobile-Security-32-320.jpg)
Uploaded byIQUII
[#openIQUII - Workshop] Mobile Development e Mobile Security
Il documento presenta un workshop mobile tenuto da Fabio Lalli e Fabio Ciotoli di Iquii, incentrato sulla sicurezza nello sviluppo di app mobili. Vengono forniti 15 suggerimenti chiave per garantire la sicurezza, come la corretta gestione dei dati sensibili, l'uso di crittografie efficaci e la protezione contro attacchi di tipo man-in-the-middle. Inoltre, il documento elenca eventi futuri relativi al marketing e all'innovazione mobile.
![Mobile Engagement [#openIQUII - Workshop]](https://cdn.slidesharecdn.com/ss_thumbnails/openiquii-18-febbraio-mobile-engagement-160219084905-thumbnail.jpg?width=640&height=640&fit=bounds)
![Growth Hacking - [#shareIQUII - Workshop]](https://cdn.slidesharecdn.com/ss_thumbnails/growthhackingshareiquii-151127105636-lva1-app6892-thumbnail.jpg?width=640&height=640&fit=bounds)
[#openIQUII - Workshop] Mobile Development e Mobile Security
- 1. MOBILE Workshop Mobile Development FabioLalli CEO IQUII ! 26 Giugno 2014 Fabio CIOTOLI CTO IQUII
- 2.
- 3.
- 4.
- 5.
- 6.
- 7. che tipo diapp?
- 8.
- 9.
- 10.
- 11.
- 12.
- 13.
- 14. dati •Non memorizzare dati sensibili •Masterkey cifrata con pass-phrase dell’utente •Algorimo robusto, es. PBKDF2 con molte iterazione (CPU consuming) •Memorizzarli temporaneamente in RAM 1
- 15. caching • Log • Crash •Cookies 2
- 16. parametri ! • Query Stringin log e cronologie • Utilizzare POST con CSFR Protection • Se necessario negoziare una chiave con il server (es. Diffie- Hellman) 3
- 17. ssl/tls • Man-in-the-middle attack possibile •Trusted root CA 4
- 18. Unique Identifier • Offuscare gliID • Token con mapping server- side • RAM Attack sul backend 5
- 19. anti reverse • Utilizzare offuscatori •Objective C è riflessivo • Runtime attack 6
- 20. logica semplice • if (proUser== 1) • Con debug a basso livello (assembly) è facile intercettare i CBZ (compare-and- branch- on-zero) o CBNZ. • Considerare paradigmi più robusti 7
- 21. keyboard cache • Su iOSe Android vengono loggate le parole digitate • Disabilitare la correzione automatica sui TextField 8
- 22. snapshot • Per fornireanimazione più fluide iOS esegue snapshot • Gestire il background dell’app 9
- 23. broadcast intent • Evitare ovepossibile il broadcast intent • Anche specificando permessi, qualsiasi app potrebbe implementare gli stessi servizi dell’app ricevente 10
- 24. keychain • Il keychainè memorizzato in maniera cifrata nel backup itunes • È possibile decifrarlo • Impedisce il cambio di certificato 11
- 25. webview • Disabilitare javascripte plugin • Disabilitare accesso ai file locali • Prevenire il caricamento di contenuti da hosts di terze parti 12
- 26. ram • Non mantenereinformazioni in RAM • Variabili null appena possibile 13
- 27. Delete file • File.delete() nonsicuro • Sovrascrivere i file non funziona nel mobile • Assumere che ogni file può essere recuperato e memorizzarlo cifrato 14
- 28. in-app Purchases • Verificare ricevutetramite server • Non embeddare contenuti 15
- 29.
- 30. Prossimi eventi 23 Aprile– Mobile Marketing // Fabio Lalli – Fabio Ciotoli 22 Maggio – Social Media Marketing // Tommaso Sorchiotti – Simone Cinelli 26 Giugno – Mobile Development // Fabio Ciotoli – Fabio Lalli 10 Luglio – Wearable // Fabio Lalli – Alessandro Prunesti 18 Settembre – Social Media Monitoring // Lorenzo Sfienti – Simone Cinelli 16 Ottobre – Personal and Executive branding // Tommaso Sorchiotti – Alessandro Prunesti ! 20 Novembre – Gamification // Fabio Lalli – Alessandro Prunesti 11 Dicembre – Innovazione // Fabio Lalli
- 31.