El manifiesto: permisos, componentes expuestos y política de red

En Android, una pantalla (activity), un servicio, un receptor o un proveedor de contenido puede ser invocado por otras apps del teléfono si está exportado. Es lo que permite, por ejemplo, que la app de cámara abra tu app para compartir una foto. El peligro aparece cuando se exporta algo interno que no debía ser invocable desde fuera, y sin pedir ningún permiso a quien lo invoca.

Desde Android 12, quien compila para esa versión o una posterior debe escribir el valor de android:exported en todo componente que tenga filtros de intención; si falta, la app no se instala. Eso hace explícita la decisión, pero no la corrige: un valor true mal puesto sigue siendo un fallo. Para el pentester, la pregunta de cada componente exportado es: ¿lo necesita otra app y quién puede llamarlo?

El punto de entrada de la app, el que lleva la categoría de lanzador, debe estar exportado: es lo que permite abrirla desde el icono. Lo demás se juzga por su función. Una pantalla que muestra datos de una cuenta no debería poder abrirse desde otra app sin que el sistema compruebe quién llama.

Lee el manifiesto de Gaviota Móvil. Hay un componente exportado, distinto del arranque, que no pide ningún permiso a quien lo invoca y muestra datos de una transferencia.

Un componente exportado que exige un permiso de nivel «firma» solo puede ser invocado por apps firmadas con la misma clave que la app que lo declaró; es decir, por el propio cliente. Es el patrón correcto para comunicarse entre dos apps de la misma empresa. Marcarlo como hallazgo de exposición sería ruido: un informe lleno de falsos positivos le quita crédito al hallazgo real.

El manifiesto trae un servicio de sincronización exportado. Mira cómo lo declara.

Cada permiso que pide la app amplía lo que puede hacer si alguien la compromete, o lo que puede filtrar ella misma. El criterio es el de mínimo privilegio: cada permiso debe corresponder a una función real. Un permiso que ninguna función justifica es un hallazgo de privacidad y de superficie, aunque nadie lo esté usando mal hoy.

Lee la lista de funciones de la app y contrasta con los permisos que declara el manifiesto.

En las apps que apuntan a Android 9 o posterior, el tráfico sin cifrar está prohibido por defecto; una app solo lo acepta si su configuración de seguridad de red lo permite de forma explícita. En iOS, la protección de transporte de la app (ATS) exige HTTPS, y se puede relajar con excepciones por dominio. Un cliente con las dos apps suele repetir la misma excepción en ambas, por un servidor antiguo que nunca se migró.

Compara el archivo de configuración de red de Android con la sección de transporte del Info.plist: coinciden en un dominio que acepta HTTP.