El tráfico de la app, leído en una captura

El cifrado del canal (TLS) evita que alguien que comparte la red lea o modifique lo que viaja entre el teléfono y el servidor. Eso es el grupo MASVS-NETWORK. Pero no decide qué datos se mandan: una app puede enviar por un canal perfectamente cifrado un token dentro de la dirección, una respuesta con campos que la pantalla no usa o el identificador del teléfono a un tercero. Esos fallos son de la aplicación y del servidor, no del canal.

Por eso en una captura se leen dos cosas por separado: si cada conexión va cifrada y qué contiene cada una.

Una conexión por HTTP, sin TLS, deja visible todo su contenido a quien esté en el camino. Si además lleva el token de sesión en la dirección, el token queda también en registros de servidores y de proxies. En una captura se identifica por el esquema de la dirección y por la nota del analista.

Lee la lista de flujos de Gaviota Móvil. Una sola conexión no usa cifrado.

Un servidor que devuelve más campos de los que la pantalla necesita expone datos que no hacían falta, y aunque la app no los muestre, quien capture o inspeccione la respuesta los lee. La regla del hallazgo es comparar lo que llega con lo que la app usa. El campo de más es el que nadie necesita en el cliente.

Abre la respuesta del inicio de sesión y el archivo que dice qué usa la pantalla. Un campo no se usa en ningún sitio y es especialmente delicado.

Un identificador de publicidad permite seguir a una persona entre apps. Enviarlo a un tercero sin avisar al usuario es un hallazgo de privacidad (MASVS-PRIVACY) y, según el país, de cumplimiento de la ley de datos personales. La evidencia es la conexión concreta: hacia qué dominio va y qué cuerpo lleva.

Lee la lista de flujos y localiza el dominio que recibe el identificador de publicidad.

La lista incluye una conexión a la pasarela de pagos de un tercero. El proxy solo la dejó pasar como túnel: no se descifró, porque la carta la deja fuera. Eso es lo correcto. Lo que corresponde es anotar que la app habla con ese destino, sin tocarlo, y recomendar al cliente que gestione la autorización con su dueño si quiere que se pruebe.