Bối cảnh và vấn đề nghiên cứu

Điện toán di động đã bước sang giai đoạn phát triển bùng nổ kể từ khi chiếc iPhone đầu tiên ra mắt vào năm 2007 và Google chính thức giới thiệu phiên bản thử nghiệm Android 1.0 (tháng 11/2007) cùng bản thương mại đầu tiên vào tháng 9/2008. Đi cùng sự phát triển của công nghệ là sự gia tăng nhanh chóng của các ứng dụng di động nhằm đáp ứng đa dạng nhu cầu đời sống xã hội. Sự phổ biến rộng rãi này biến ứng dụng di động trên nền tảng Android trở thành mục tiêu tấn công hàng đầu của tin tặc. Với sự xuất hiện liên tục của các lỗ hổng bảo mật mới, nguy cơ rò rỉ dữ liệu và xâm nhập hệ thống ngày càng gia tăng, đặt ra yêu cầu cấp thiết về việc kiểm thử xâm nhập nhằm phát hiện và khắc phục các điểm yếu trước khi phát hành.

Trước thực tiễn đó, đồ án tốt nghiệp tập trung giải quyết các mục tiêu và nhiệm vụ nghiên cứu sau:

  1. Nghiên cứu tổng quan về hệ điều hành Android, cấu trúc gói ứng dụng di động, các phương pháp kiểm thử xâm nhập và khảo sát các công cụ hỗ trợ kiểm thử hiện nay.
  2. Hệ thống hóa các lỗ hổng bảo mật phổ biến dựa trên danh mục rủi ro của OWASP (phiên bản cập nhật Mobile Top 10 2023) và tổ chức Oversecured; nghiên cứu, đánh giá các quy trình kiểm thử chuẩn của OWASP và NIST.
  3. Đề xuất quy trình kiểm thử xâm nhập phù hợp cho ứng dụng Android và xây dựng công cụ thực nghiệm nhằm tự động hóa việc rà quét bề mặt tấn công.

Đối tượng nghiên cứu của đồ án là ứng dụng di động chạy trên hệ điều hành Android (định dạng tệp tin APK), các lỗ hổng an toàn thông tin nội tại của ứng dụng và các phương pháp, công cụ kiểm thử xâm nhập di động.

Phạm vi nghiên cứu được xác định cụ thể:

  • Phạm vi không gian và công nghệ: Giới hạn trên hệ điều hành Android, tập trung vào cấu trúc thành phần ứng dụng, phân tích mã tĩnh, phân tích động và kiểm tra lưu lượng truyền thông; ứng dụng thực tế được khảo sát và thực nghiệm tại Học viện Công nghệ Bưu chính Viễn thông và môi trường nghiên cứu tại CMC Cyber Security.
  • Phạm vi thời gian: Nghiên cứu được hoàn thành vào tháng 12 năm 2023, cập nhật theo chuẩn rủi ro OWASP Mobile 2023 và tài liệu kỹ thuật hiện hành.

Cơ sở lý thuyết và phương pháp

Về khung lý thuyết nền tảng, nghiên cứu dựa trên kiến trúc 5 tầng của hệ điều hành Android bao gồm: Linux Kernel (quản lý phần cứng, tiến trình, bộ nhớ và mạng), Libraries (các thư viện hệ thống C/C++ như WebKit, OpenGL, SSL), Android Runtime (môi trường thực thi ART thay thế cho Dalvik, dịch bytecode sang chỉ thị máy), Application Framework (khung ứng dụng cung cấp View System, Telephony Manager) và Applications (tầng ứng dụng người dùng). Về cấu trúc gói phần mềm, ứng dụng Android được đóng gói dưới dạng tệp tin APK chứa classes.dex, thư mục tài nguyên resources, và tệp khai báo cấu hình hệ thống AndroidManifest.xml. Ứng dụng được cấu thành từ 4 thành phần chính: Activities (giao diện tương tác), Services (tiến trình nền), Broadcast Receivers (tiếp nhận thông điệp sự kiện hệ thống/ứng dụng) và Content Providers (quản lý, chia sẻ dữ liệu qua cơ chế ContentResolver), liên kết với nhau thông qua Intent tường minh hoặc không tường minh.

Về lý thuyết an toàn thông tin, đề tài áp dụng các chuẩn mực quốc tế:

  • Tiêu chuẩn xác minh bảo mật ứng dụng di động MASVS (Mobile Application Security Verification Standard) do OWASP ban hành.
  • Khung đánh giá rủi ro OWASP Mobile Top 10 (ấn bản năm 2023).
  • Hướng dẫn kiểm tra và thẩm định ứng dụng di động của Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST).

Phương pháp nghiên cứu thực tế được tác giả triển khai bao gồm:

  • Phương pháp phân tích và tổng hợp lý thuyết: Nghiên cứu cấu trúc kỹ thuật hệ điều hành, cơ chế bảo mật nội tại và đối chiếu các tiêu chuẩn kiểm thử quốc tế.
  • Phương pháp phân loại kiểm thử xâm nhập: Phân tích ba kỹ thuật kiểm thử phần mềm căn bản gồm kiểm thử hộp trắng (White Box - tiếp cận toàn bộ mã nguồn và tài liệu thiết kế), kiểm thử hộp đen (Black Box - tiếp cận từ góc độ người dùng thông thường, không biết cấu trúc bên trong) và kiểm thử hộp xám (Grey Box - tiếp cận với thông tin hạn chế như tài khoản xác thực).
  • Phương pháp thực nghiệm kỹ thuật: Dịch ngược (reverse engineering), can thiệp luồng thực thi động (dynamic hooking) và lập trình xây dựng công cụ quét tự động.

Nguồn dữ liệu của nghiên cứu bao gồm tài liệu kỹ thuật của Google Android SDK, các khuyến nghị bảo mật từ OWASP, báo cáo lỗ hổng thực tế của Oversecured và các gói ứng dụng Android thử nghiệm.

Nội dung chính theo từng chương

Chương 1: Tổng quan về ứng dụng và kiểm thử ứng dụng trên hệ điều hành Android

Chương 1 hệ thống hóa kiến trúc phần cứng - phần mềm của Android và quy trình đóng gói mã nguồn (Java, Kotlin, C++) thành gói cài đặt APK. Tác giả phân tích chi tiết bản chất của Mobile Application Penetration Testing và phân định rõ ưu điểm, nhược điểm của 3 phương pháp kiểm thử:

  • Hộp trắng: Kiểm thử toàn diện, phát hiện lỗi sớm nhưng dễ quá tải dữ liệu và chi phí cao.
  • Hộp đen: Tính thực tế cao, mô phỏng đúng hành vi của kẻ tấn công bên ngoài nhưng hiệu quả thấp hơn do thiếu thông tin truy cập sâu vào logic hệ thống.
  • Hộp xám: Đạt được sự cân bằng giữa hiệu suất và chiều sâu, mô phỏng nguy cơ từ nội bộ hoặc người dùng được cấp quyền với thời gian triển khai hợp lý.

Bên cạnh đó, chương 1 khảo sát 5 công cụ kỹ thuật tiêu biểu trong kiểm thử ứng dụng Android: Frida, Android Debug Bridge (ADB), Apktool, Mobile Security Framework (MobSF) và Bytecode Viewer.

Tên công cụ Ưu điểm chính Nhược điểm / Hạn chế
Frida Cài đặt và cấu hình dễ dàng; tương thích đa nền tảng; có thể can thiệp vào quá trình thực thi để thay đổi chức năng mà không cần sửa mã nguồn gốc. Đòi hỏi kiểm thử viên phải có kỹ năng lập trình nhất định; một số ứng dụng có cơ chế phát hiện và ngăn chặn Frida.
ADB Đi kèm bộ công cụ phát triển Android của Google; hỗ trợ nhiều tác vụ như cài đặt, gỡ bỏ ứng dụng, sao chép tệp tin và chạy lệnh hệ điều hành thông qua cổng TCP 5037. Đòi hỏi người dùng phải hiểu biết và ghi nhớ hệ thống câu lệnh dòng lệnh của ADB.
Apktool Dễ cấu hình; hỗ trợ dịch ngược tệp tin APK thành mã smali, giải mã AndroidManifest.xml, tài nguyên và đóng gói lại ứng dụng thuận tiện. Đòi hỏi người thực hiện phải có kiến thức về mã hợp ngữ smali để đọc hiểu và chỉnh sửa logic.
MobSF Khung bảo mật tích hợp hỗ trợ phân tích tự động cả tĩnh và động; giao diện web trực quan; xuất báo cáo chi tiết dạng PDF; đa nền tảng. Kết quả phân tích phụ thuộc chặt chẽ vào cấu hình môi trường của công cụ.
Bytecode Viewer Cung cấp giao diện trực quan; kết hợp nhiều công cụ dịch ngược (decompiler); cho phép xem song song mã Java và smali; hỗ trợ tìm kiếm chuỗi và regex. Đòi hỏi kiểm thử viên phải có kiến thức nền tảng về Java và cấu trúc ứng dụng Android; gặp khó khăn khi mã đã bị làm rối (obfuscate).

Chương 2: Xây dựng qui trình kiểm thử xâm nhập trên ứng dụng di động Android

Chương 2 tập trung phân tích các rủi ro bảo mật đương đại và các quy trình kiểm thử tiêu chuẩn để làm căn cứ đề xuất quy trình mới.

Về rủi ro, đồ án phân tích bản cập nhật OWASP Mobile Top 10 năm 2023 so với phiên bản 2016:

Mã rủi ro (2023) Tên rủi ro bảo mật (OWASP Mobile 2023) Thay đổi so với phiên bản 2016
M1 Improper Credential Usage (Sử dụng thông tin đăng nhập không đúng cách) Bổ sung mới (New)
M2 Inadequate Supply Chain Security (An ninh chuỗi cung ứng không đầy đủ) Bổ sung mới (New)
M3 Insecure Authentication/Authorization (Xác thực/Ủy quyền không an toàn) Hợp nhất từ M4 và M6 của phiên bản 2016
M4 Insufficient Input/Output Validation (Xác thực đầu vào/đầu ra không đầy đủ) Bổ sung mới (New)
M5 Insecure Communication (Giao tiếp mạng không an toàn) Chuyển dịch từ vị trí M3 sang M5
M6 Inadequate Privacy Controls (Kiểm soát quyền riêng tư không đầy đủ) Bổ sung mới (New)
M7 Insufficient Binary Protections (Bảo vệ tệp nhị phân không đầy đủ) Hợp nhất từ M8 và M9 của phiên bản 2016
M8 Security Misconfiguration (Cấu hình bảo mật sai) Cập nhật phân loại mới
M9 Insecure Data Storage (Lưu trữ dữ liệu không an toàn) Chuyển dịch từ vị trí M2 sang M9
M10 Insufficient Cryptography (Mã hóa không đầy đủ) Chuyển dịch từ vị trí M5 sang M10

Song song với OWASP, tác giả khảo sát 10 lỗ hổng kỹ thuật điển hình theo công bố của tổ chức Oversecured:

  1. Arbitrary code execution: Thực thi mã tùy ý, cấp toàn quyền kiểm soát ứng dụng cho kẻ tấn công.
  2. OS Commanding: Thực thi các lệnh hệ điều hành trái phép do không làm sạch dữ liệu đầu vào.
  3. Misconfigured Google Firebase: Cơ sở dữ liệu đám mây cấu hình sai quyền truy cập, làm lộ dữ liệu.
  4. Theft of arbitrary files: Đánh cắp các tệp tin tùy ý trong thư mục dữ liệu cục bộ /data/data/<package_name>/*.
  5. File theft via WebView: Đánh cắp tệp tin thông qua WebView khi cấu hình mở cờ thực thi script và truy cập tệp tùy tiện.
  6. Cross-site scripting (XSS): Chèn mã độc kịch bản vào các trang hiển thị trong WebView.
  7. Overwriting arbitrary files: Ghi đè tệp tin hệ thống dẫn đến sai lệch logic hoặc thực thi mã.
  8. Ability to start arbitrary components: Khởi động các thành phần (Activity, Service) tùy ý thông qua Intent không an toàn hoặc Intent lồng nhau.
  9. SQL injection: Tiêm truy vấn dữ liệu vào cơ sở dữ liệu SQLite cục bộ thông qua các hàm như rawQuery() hay execSQL().
  10. Hardcoded password or token: Lưu trữ khóa bí mật, mật khẩu hoặc token cố định trong mã nguồn.

Về quy trình kiểm thử, tác giả phân tích tiêu chuẩn MASVS của OWASP (gồm 7 nhóm kiểm soát: Lưu trữ dữ liệu và quyền riêng tư MASVS-STORAGE, Thuật toán mã hóa MASVS-CRYPTO, Xác thực và trao quyền MASVS-AUTH, Giao thức kết nối MASVS-NETWORK, Tương tác nền tảng MASVS-PLATFORM, Chất lượng mã nguồn MASVS-CODE, Khả năng chống phân tích ngược MASVS-RESILIENCE). Đồng thời, nghiên cứu quy trình thẩm định của NIST gồm 3 giai đoạn: Tiếp nhận ứng dụng (đăng ký, tiền xử lý giải mã/dịch ngược), Kiểm tra ứng dụng (rà quét tĩnh/động theo các yêu cầu an toàn chung) và Phê duyệt/Từ chối triển khai.

Từ các cơ sở trên, tác giả đề xuất quy trình kiểm thử xâm nhập chuyên biệt cho ứng dụng Android gồm các giai đoạn:

  1. Thu thập thông tin: Trích xuất tệp tin cấu hình, phân tích chữ ký số, xác định các quyền hạn yêu cầu và bóc tách các thành phần công khai (exported).
  2. Khai thác tìm kiếm lỗ hổng: Tập trung kiểm tra cấu hình sai lệch, rà soát lỗ hổng logic trên các thành phần exported, kiểm tra an toàn giao tiếp mạng và cơ chế lưu trữ dữ liệu.
  3. Kiểm tra lại và báo cáo: Xác minh tính xác thực của các lỗ hổng đã phát hiện, đánh giá mức độ rủi ro và tổng hợp báo cáo kỹ thuật.

Chương 3: Thực nghiệm kiểm thử ứng dụng Android theo qui trình và công cụ đề xuất

Chương 3 triển khai quy trình đã đề xuất vào thực nghiệm thông qua việc xây dựng một công cụ tự động hóa mang tên APKScanner. Tác giả trình bày các yêu cầu thiết kế, lưu đồ hoạt động và phương pháp cài đặt công cụ.

Trong giai đoạn thử nghiệm:

  • Công cụ APKScanner được vận hành qua cả hai phương thức: giao diện đồ họa (GUI) và giao diện dòng lệnh (CLI).
  • Công cụ nhận đầu vào là tệp tin APK, tự động phân tích tệp AndroidManifest.xml và trả về kết quả định vị bề mặt tấn công của ứng dụng.
  • Dữ liệu rà quét từ công cụ đã chỉ ra các thành phần Activity và Service không được cấu hình bảo vệ (thiết lập cờ exported=true mà không có quyền bảo vệ tương ứng), biến chúng thành các điểm yếu có thể bị khai thác.
  • Tác giả thực hiện khai thác trực tiếp các thành phần Activity và Service bị lộ này. Kết quả thử nghiệm ghi nhận việc bỏ qua thành công cơ chế đăng nhập (authentication bypass) trên ứng dụng thực tế Zomato for Business thông qua việc kích hoạt trực tiếp Activity nội bộ mà không cần thông qua bước xác thực tài khoản.

Thiết kế và triển khai công cụ kiểm thử

Trong khuôn khổ đề tài, tác giả đã thiết kế và triển khai công cụ kiểm thử mang tên APKScanner nhằm hỗ trợ quy trình kiểm thử xâm nhập tự động:

  • Mục tiêu và yêu cầu hệ thống: Công cụ được xây dựng nhằm giảm thiểu thời gian phân tích thủ công tệp tin manifest của ứng dụng Android, trích xuất nhanh chóng các thành phần có khả năng bị tấn công, đồng thời hỗ trợ kiểm thử viên gửi intent để kích hoạt thử nghiệm các thành phần đó.
  • Quy trình xử lý của công cụ:
    1. Tiếp nhận dữ liệu: Nhận gói ứng dụng Android định dạng .apk làm đầu vào.
    2. Tiền xử lý và phân tích tĩnh: Trích xuất siêu dữ liệu, phân giải tệp tin AndroidManifest.xml sang định dạng XML có thể đọc được.
    3. Nhận diện bề mặt tấn công: Quét toàn bộ danh mục thành phần bao gồm Activities, Services, Broadcast Receivers và Content Providers; tự động lọc các thành phần được cấu hình mở (android:exported="true") hoặc chứa các bộ lọc intent (intent-filters) lỏng lẻo.
    4. Xuất kết quả và tương tác: Hiển thị danh sách các thành phần không an toàn lên màn hình và hỗ trợ gọi lệnh kích hoạt trực tiếp các thành phần này thông qua giao diện dòng lệnh hoặc đồ họa.
  • Triển khai và cài đặt: Công cụ hỗ trợ 2 chế độ triển khai:
    • Cài đặt và sử dụng qua giao diện đồ họa (GUI) thân thiện với người dùng.
    • Cài đặt và thực thi qua dòng lệnh (CLI) phục vụ việc tích hợp vào các kịch bản kiểm tra tự động.
  • Kiểm thử thực nghiệm: Áp dụng công cụ để rà soát bề mặt tấn công, phát hiện các Activity và Service cấu hình kém, từ đó tiến hành khai thác thành công kịch bản vượt qua xác thực đăng nhập trên ứng dụng thực tế Zomato for Business.

Kết quả và đóng góp

Nghiên cứu đạt được các kết quả cụ thể sau:

  • Hệ thống hóa toàn diện các rủi ro bảo mật ứng dụng di động mới nhất, chỉ rõ các điểm cập nhật của bảng xếp hạng OWASP Mobile Top 10 năm 2023 so với năm 2016, đồng thời tổng hợp 10 lỗ hổng kỹ thuật đặc thù trên Android từ Oversecured kèm theo cơ chế phòng ngừa.
  • So sánh, đánh giá ưu điểm và hạn chế của 5 công cụ hỗ trợ kiểm thử xâm nhập phổ biến hiện nay (Frida, ADB, Apktool, MobSF, Bytecode Viewer), làm rõ vai trò của từng công cụ trong các giai đoạn phân tích tĩnh và phân tích động.
  • Đề xuất một quy trình kiểm thử xâm nhập 3 bước tinh gọn, được xây dựng dựa trên sự kết hợp các ưu điểm của tiêu chuẩn OWASP MASVS và quy trình thẩm định của NIST, tập trung vào đối tượng ứng dụng Android.
  • Xây dựng thành công công cụ hỗ trợ kiểm thử APKScanner (hoạt động ở cả chế độ CLI và GUI); ứng dụng công cụ vào việc xác định bề mặt tấn công và thực nghiệm khai thác thành công lỗ hổng vượt qua màn hình đăng nhập trên ứng dụng Zomato for Business.

Về giải pháp và kiến nghị, tác giả đưa ra các khuyến nghị lập trình và cấu hình an toàn cho nhà phát triển: tắt chế độ gỡ lỗi (debug) và sao lưu (backup) khi phát hành ứng dụng; không công khai (export) các thành phần Activity, Service, Receiver trừ khi thực sự cần thiết; áp dụng kiểm tra quyền truy cập chặt chẽ cho các thành phần mở; vệ sinh dữ liệu đầu vào WebView và các truy vấn SQLite; không lưu trữ khóa hay thông tin xác thực cố định trong mã nguồn.

So với các tài liệu nghiên cứu trước đó, đóng góp của đồ án là việc cập nhật kịp thời các tri thức bảo mật theo chuẩn OWASP Mobile 2023 và chuyển hóa các hướng dẫn tiêu chuẩn quốc tế mang tính lý thuyết thành một quy trình kiểm thử thực tiễn đi kèm công cụ thực thi trực tiếp.

Hạn chế và hướng nghiên cứu tiếp

Về mặt hạn chế, tác giả tự nhận định do giới hạn về mặt thời gian, kiến thức chuyên sâu và kinh nghiệm thực tế, đồ án chưa thể bao quát toàn bộ các kịch bản tấn công phức tạp trên thiết bị di động. Công cụ APKScanner mới chỉ tập trung rà quét bề mặt tấn công tĩnh và hỗ trợ khai thác một số thành phần cơ bản (Activity, Service), chưa mở rộng kiểm tra chuyên sâu các thành phần Content Provider, Broadcast Receiver hoặc các kiểm tra logic nghiệp vụ phức tạp.

Về hướng nghiên cứu tiếp theo, tác giả định hướng:

  • Tiếp tục hoàn thiện và phát triển quy trình kiểm thử xâm nhập để áp dụng hiệu quả cho nhiều loại hình ứng dụng Android khác nhau.
  • Nâng cấp tính năng cho công cụ APKScanner, bổ sung các mô-đun phân tích mã nguồn chuyên sâu, tự động hóa việc kiểm tra mã hóa, kiểm tra phân tích động thời gian chạy và hỗ trợ rà soát các thành phần tương tác liên tiến trình (IPC) phức tạp hơn.

Giá trị tham khảo

Đồ án có giá trị tham khảo rõ ràng trong lĩnh vực an toàn thông tin:

  • Đối tượng phù hợp: Sinh viên, học viên chuyên ngành An toàn thông tin, Công nghệ thông tin; các chuyên viên kiểm thử xâm nhập (Penetration Tester); các kỹ sư phát triển ứng dụng di động Android muốn nâng cao nhận thức về an toàn mã nguồn.
  • Phần nội dung đáng tham khảo nhất:
    • Bảng tổng hợp và phân tích chi tiết 10 rủi ro bảo mật OWASP Mobile Top 10 phiên bản 2023.
    • Nội dung mô tả kỹ thuật và biện pháp khắc phục 10 lỗ hổng phổ biến từ Oversecured.
    • Bảng so sánh 5 công cụ kiểm thử di động và quy trình phân tích bề mặt tấn công thông qua tệp tin AndroidManifest.xml.
    • Hướng dẫn thiết lập môi trường và cấu hình Frida, Frida Server và các lệnh ADB phục vụ kiểm thử.

Câu hỏi thường gặp

1. Bảng xếp hạng OWASP Mobile Top 10 năm 2023 có những thay đổi cốt lõi nào so với phiên bản 2016?
Phiên bản 2023 ghi nhận sự xuất hiện của các danh mục rủi ro mới gồm M1 (Sử dụng thông tin đăng nhập không đúng cách), M2 (An ninh chuỗi cung ứng không đầy đủ), M4 (Xác thực đầu vào/đầu ra không đầy đủ) và M6 (Kiểm soát quyền riêng tư không đầy đủ). Đồng thời, danh mục M4 và M6 của năm 2016 được gộp thành M3 (Xác thực/Ủy quyền không an toàn); M8 và M9 năm 2016 được gộp thành M7 (Bảo vệ tệp nhị phân không đầy đủ); các mục lưu trữ dữ liệu (M2 cũ sang M9) và mật mã (M5 cũ sang M10) cũng được điều chỉnh vị trí.

2. Công cụ APKScanner trong đồ án được xây dựng nhằm giải quyết bài toán gì và có các chế độ hoạt động nào?
APKScanner được xây dựng nhằm tự động hóa quá trình phân tích tĩnh tệp tin AndroidManifest.xml của gói APK, giúp kiểm thử viên nhanh chóng nhận diện bề mặt tấn công thông qua việc phát hiện các thành phần (Activity, Service) bị cấu hình mở trái phép (exported=true). Công cụ hỗ trợ hai chế độ hoạt động: cài đặt và sử dụng qua giao diện đồ họa (GUI) hoặc qua giao diện dòng lệnh (CLI).

3. Tại sao kiểm thử hộp xám (Grey Box) lại được ưa chuộng hơn trong các dự án kiểm thử ứng dụng di động thực tế?
Theo phân tích của tác giả, kiểm thử hộp xám đạt được sự cân bằng tối ưu giữa hiệu quả và tính chân thực. Phương pháp này cung cấp một phần thông tin (chẳng hạn như tài khoản đăng nhập), giúp kiểm thử viên mô phỏng chính xác nguy cơ từ người dùng nội bộ hoặc kẻ tấn công đã xâm nhập được vào hệ thống, đồng thời rút ngắn giai đoạn thu thập thông tin trinh sát ban đầu vốn rất tốn thời gian ở phương pháp hộp đen.

4. Quy trình kiểm tra ứng dụng di động của tổ chức NIST gồm những giai đoạn chính nào?
Quy trình của NIST gồm ba giai đoạn chính:

  • App Intake (Tiếp nhận ứng dụng): Đăng ký ứng dụng và tiền xử lý (giải mã hoặc dịch ngược để trích xuất siêu dữ liệu).
  • App Testing (Kiểm tra ứng dụng): Sử dụng các công cụ tĩnh và động để kiểm tra theo các yêu cầu an toàn chung (tính năng ủy quyền, ngăn chặn chức năng trái phép, giới hạn quyền tối thiểu, bảo vệ dữ liệu nhạy cảm, an toàn mã nguồn và kiểm tra cập nhật).
  • Approval/Rejection (Phê duyệt/Từ chối): Tổng hợp báo cáo rủi ro và đưa ra quyết định cho phép hoặc từ chối triển khai ứng dụng trên hạ tầng của tổ chức.

5. Trong phần thực nghiệm của đồ án, tác giả đã tiến hành kịch bản tấn công nào trên ứng dụng Zomato for Business?
Tác giả đã sử dụng công cụ APKScanner để rà quét bề mặt tấn công của ứng dụng Zomato for Business, phát hiện Activity nội bộ không được bảo vệ an toàn (cấu hình exported), sau đó tiến hành gọi trực tiếp Activity này để vượt qua màn hình đăng nhập (authentication bypass) thành công mà không cần tài khoản hợp lệ.

Kết luận

Đồ án tốt nghiệp của tác giả Đặng Kiều Phong đã nghiên cứu một cách có hệ thống về kiến trúc hệ điều hành Android, cập nhật các rủi ro bảo mật mới nhất theo chuẩn OWASP Mobile Top 10 (2023) và phân tích các quy trình kiểm thử quốc tế của OWASP và NIST. Dựa trên các cơ sở đó, tác giả đã đề xuất một quy trình kiểm thử xâm nhập tinh gọn và xây dựng thành công công cụ thực nghiệm APKScanner nhằm tự động hóa việc phát hiện các thành phần cấu hình sai trên ứng dụng Android. Kết quả thực nghiệm vượt qua cơ chế xác thực trên ứng dụng thực tế đã chứng minh tính ứng dụng của quy trình đề xuất, cung cấp nguồn tài liệu học thuật và kỹ thuật hữu ích cho công tác kiểm thử an toàn ứng dụng di động.