Aplikasi mobile menjadi bagian penting dari layanan digital perusahaan. Mulai dari mobile banking, e-commerce, healthcare, hingga aplikasi internal, semuanya dapat memproses data dan transaksi yang sensitif. Karena itu, pengujian keamanan perlu mempertimbangkan karakteristik sistem operasi yang digunakan.
Perbedaan pentest Android iOS tidak hanya terletak pada perangkat yang digunakan. Arsitektur sistem operasi, mekanisme keamanan, format aplikasi, proses instalasi, hingga mekanisme penyimpanan data dapat memengaruhi teknik dan pendekatan penetration testing.
Meskipun demikian, tujuan utamanya tetap sama: mengidentifikasi kelemahan yang dapat berdampak terhadap kerahasiaan, integritas, dan keamanan aplikasi serta datanya.
Apakah Pentest Android dan iOS Sama?
Secara konsep, keduanya memiliki tahapan yang serupa. Pentester biasanya melakukan reconnaissance, analisis aplikasi, pengujian komunikasi, pemeriksaan penyimpanan data, authentication dan authorization testing, serta evaluasi terhadap backend API.
Yang membedakan adalah bagaimana pengujian tersebut dilakukan. Android dan iOS memiliki ekosistem dan kontrol keamanan yang berbeda sehingga pentester perlu menyesuaikan teknik pengujian dengan karakteristik masing-masing platform.
Perbedaan Utama Android dan iOS
| Aspek | Android | iOS |
|---|---|---|
| Format aplikasi | APK/AAB | IPA |
| Ekosistem | Lebih beragam dari sisi perangkat dan vendor | Lebih terkontrol oleh Apple |
| Analisis aplikasi | Fokus pada struktur APK, manifest, kode dan konfigurasi | Fokus pada binary, entitlement, konfigurasi dan mekanisme proteksi |
| Testing perangkat | Dapat menggunakan emulator maupun perangkat fisik | Umumnya membutuhkan pendekatan dan perangkat yang sesuai dengan kebutuhan pengujian |
Metodologi Pentest Mobile pada Android
Pada Android, pentester dapat melakukan pemeriksaan terhadap struktur aplikasi dan konfigurasi yang tersedia. Analisis dapat mencakup manifest, permission, komponen aplikasi, mekanisme penyimpanan, komunikasi jaringan, serta proteksi terhadap reverse engineering.
Pengujian juga dapat dilakukan terhadap bagaimana aplikasi berkomunikasi dengan backend. Misalnya, pentester mengevaluasi authentication, session management, authorization, dan perlindungan data ketika aplikasi berkomunikasi dengan API.
Karakteristik Android yang sangat beragam membuat konfigurasi perangkat dan versi sistem operasi juga menjadi pertimbangan dalam pengujian.
Metodologi Pentest Mobile pada iOS
iOS memiliki pendekatan keamanan yang berbeda. Pengujian dapat mencakup analisis binary aplikasi, konfigurasi, entitlement, penyimpanan lokal, komunikasi jaringan, serta mekanisme proteksi aplikasi.
Pentester juga perlu memperhatikan bagaimana aplikasi menerapkan kontrol keamanan seperti certificate pinning, secure storage, authentication, dan proteksi terhadap reverse engineering.
Dengan ekosistem yang lebih terkontrol, pengujian iOS sering membutuhkan pemahaman yang lebih spesifik terhadap mekanisme keamanan platform.
Tools yang Digunakan dalam Mobile Pentest
Tools bukan satu-satunya faktor yang menentukan keberhasilan pentest. Pemilihan tools harus disesuaikan dengan scope dan teknik pengujian.
Beberapa kategori tools yang umum digunakan antara lain:
- Static analysis: membantu menganalisis struktur dan komponen aplikasi tanpa menjalankan aplikasi.
- Dynamic analysis: digunakan untuk mengamati perilaku aplikasi ketika sedang berjalan.
- Network analysis: membantu mengevaluasi komunikasi antara aplikasi dan backend.
- Proxy testing: digunakan untuk mengamati serta menguji request dan response dalam lingkungan pengujian.
- Reverse engineering tools: membantu memahami bagaimana aplikasi dibangun dan bagaimana mekanisme proteksinya diterapkan.
Tools yang digunakan dapat berbeda antara Android dan iOS karena format aplikasi dan mekanisme sistem operasinya juga berbeda.
Bagian yang Tetap Sama: Backend dan API
Salah satu kesalahan umum adalah menganggap mobile pentest hanya berfokus pada aplikasi yang terpasang di smartphone.
Padahal, aplikasi mobile biasanya berkomunikasi dengan backend melalui API. Karena itu, pentester juga perlu mengevaluasi keamanan endpoint yang digunakan aplikasi.
Pengujian dapat mencakup authorization, authentication, session management, input validation, dan perlindungan data yang dikirimkan melalui komunikasi aplikasi.
Kenapa Pentest Mobile Sebaiknya Dilakukan pada Android dan iOS?
Jika sebuah perusahaan menyediakan aplikasi untuk kedua platform, pengujian hanya pada satu sistem operasi dapat meninggalkan blind spot.
Implementasi keamanan yang terlihat aman di Android belum tentu memiliki konfigurasi dan perilaku identik di iOS. Sebaliknya, kontrol keamanan pada iOS juga perlu diuji berdasarkan implementasi aktual aplikasi.
Karena itu, pendekatan yang ideal adalah menentukan scope pengujian berdasarkan platform, versi aplikasi, backend, dan risiko bisnis yang relevan.
Kapan Perusahaan Membutuhkan Mobile Pentest?
Mobile pentest sangat relevan sebelum aplikasi dirilis ke publik, setelah perubahan besar pada aplikasi, ketika terdapat perubahan backend atau API, maupun sebagai bagian dari evaluasi keamanan berkala.
Perusahaan yang mengelola data sensitif atau transaksi digital juga sebaiknya mempertimbangkan pengujian keamanan sebagai bagian dari siklus pengembangan aplikasi.
Untuk kebutuhan pengujian aplikasi Android dan iOS, perusahaan dapat mengevaluasi Mobile Pentest Service Temika sesuai scope dan kebutuhan keamanan aplikasi.
Kesimpulan
Perbedaan pentest Android iOS terutama muncul karena karakteristik sistem operasi, arsitektur aplikasi, mekanisme keamanan, dan lingkungan pengujiannya berbeda.
Android menawarkan ekosistem perangkat yang lebih beragam, sementara iOS memiliki ekosistem yang lebih terkontrol. Kondisi tersebut membuat metodologi pentest mobile perlu disesuaikan dengan platform yang diuji.
Namun, keduanya tetap membutuhkan pendekatan menyeluruh yang mencakup aplikasi, komunikasi jaringan, penyimpanan data, autentikasi, serta backend API. Dengan pengujian yang tepat, perusahaan dapat menemukan kelemahan sebelum dimanfaatkan oleh pihak yang tidak berwenang.
