Come rendere sicura la tua app Flutter

Un errore comune quando si sviluppa un'app è quello di pensare solo al suo corretto funzionamento e non a questioni come l'ottimizzazione o la sicurezza. In questo talk scopriremo quali sono gli strumenti che ci mette a disposizione Flutter per rendere sicura la nostra app, le possibili vulnerabilità e le relative soluzioni.

Transcript

1. Come rendere sicura la tua app Flutter Federico Carrozzino Flutter Developer
2. Perché usare Flutter?
4. Flutter Framework open-source creato da Google per lo sviluppo di applicazioni Android, iOS, Web, Windows, MacOS, Linux e Fuchsia, a partire da una singola codebase
5. IDEA SVILUPPO RILASCIO
6. IDEA SVILUPPO RILASCIO APP HACKERATA
7. IDEA SVILUPPO RILASCIO
8. VULNERABILITÀ E MINACCE • Sistema operativo compromesso • Code injections • Reverse engineering • Accesso non autorizzato/autenticato • Leak di dati sensibili • Canali di comunicazione non sicuri • Identità sviluppatore compromessa
9. flutter_jailbreak_detection Package che consente di verificare se il sistema operativo del dispositivo ha subito alterazioni, quali: • Root (Android) • Jailbreak (iOS) Consente inoltre di verificare se è attiva la modalità sviluppatore su Android
10. VULNERABILITÀ E MINACCE • Sistema operativo compromesso ✅ • Code injections • Reverse engineering • Accesso non autorizzato/autenticato • Leak di dati sensibili • Canali di comunicazione non sicuri • Identità sviluppatore compromessa
11. TRUSTED PACKAGES
12. VULNERABILITÀ E MINACCE • Sistema operativo compromesso ✅ • Code injections ✅ • Reverse engineering • Accesso non autorizzato/autenticato • Leak di dati sensibili • Canali di comunicazione non sicuri • Identità sviluppatore compromessa
13. OFFUSCAMENTO DEL CODICE • --obfuscate: offusca il codice sostituendo gli identificatori con stringhe randomiche • --split-debug-info: memorizza i dati (symbols) necessari per deoffuscare il codice nella cartella indicata dal path Attraverso l’ultimo comando possibile leggere un file stack trace offuscato
14. VULNERABILITÀ E MINACCE • Sistema operativo compromesso ✅ • Code injections ✅ • Reverse engineering ✅ • Accesso non autorizzato/autenticato • Leak di dati sensibili • Canali di comunicazione non sicuri • Identità sviluppatore compromessa
15. Confidenzialità dei dati Autenticazione Autorizzazione
16. local_auth Package per la gestione dell’autenticazione in locale Supporto autenticazione mediante biometria
17. AUTORIZZAZIONI APP LATO UTENTE Attenzione alle autorizzazioni concesse alle app LATO SVILUPPATORE Attenzione alle autorizzazioni richieste
18. VULNERABILITÀ E MINACCE • Sistema operativo compromesso ✅ • Code injections ✅ • Reverse engineering ✅ • Accesso non autorizzato/autenticato ✅ • Leak di dati sensibili • Canali di comunicazione non sicuri • Identità sviluppatore compromessa
19. flutter_secure_storage Android EncryptedSharedPreferences iOS Keychain
20. crypto HASH FUNCTIONS MD5, SHA-1, SHA-256, SHA-384, SHA-512 HMAC HMAC-MD5, HMAC-SHA1, HMAC-SHA256
21. VULNERABILITÀ E MINACCE • Sistema operativo compromesso ✅ • Code injections ✅ • Reverse engineering ✅ • Accesso non autorizzato/autenticato ✅ • Leak di dati sensibili ✅ • Canali di comunicazione non sicuri • Identità sviluppatore compromessa
22. TLS - Transport Security Layer • Protocollo standard IETF • Certificati X509 • Crittografia e2e • Hash functions • HMAC APPLICATION (HTTP) SESSION (TLS) TRANSPORT (TCP) NETWORK (IP) DATA LINK PHYSICAL
23. SecurityContext Il SecurityContext contiene i certificati di cui fidarsi quando si effettua una connessione client sicura, la catena di certificati e la chiave privata utili a stabilire una connessione sicura al server
24. VULNERABILITÀ E MINACCE • Sistema operativo compromesso ✅ • Code injections ✅ • Reverse engineering ✅ • Accesso non autorizzato/autenticato ✅ • Leak di dati sensibili ✅ • Canali di comunicazione non sicuri ✅ • Identità sviluppatore compromessa
25. Qualsiasi file che può esporre l’identità dello sviluppatore, come il key.jks o il keystore.properties deve essere cifrato prima di essere caricato su un repository (es. GitHub) PROTEZIONE IDENTITÀ SVILUPPATORE
26. VULNERABILITÀ E MINACCE • Sistema operativo compromesso ✅ • Code injections ✅ • Reverse engineering ✅ • Accesso non autorizzato/autenticato ✅ • Leak di dati sensibili ✅ • Canali di comunicazione non sicuri ✅ • Identità sviluppatore compromessa ✅
27. BEST PRACTICES • Il team di Flutter rilascia regolarmente aggiornamenti per risolvere le falle di sicurezza rilevate nelle versioni precedenti, quindi è consigliato mantenere la versione dell’SDK di Flutter sempre aggiornata • Aggiornare le dipendenze delle app, ed evitare di fissare una specifica versione
28. QUESTION TIME ? ??
29. GRAZIE PER L’ATTENZIONE