MASVS, MASTG y el alcance de un encargo móvil

OWASP mantiene dos documentos que se usan juntos. El MASVS (Mobile Application Security Verification Standard) es la lista de lo que una app debe cumplir, agrupada en ocho grupos de controles: almacenamiento, criptografía, autenticación, red, interacción con la plataforma, calidad del código, resistencia a la ingeniería inversa y privacidad. El MASTG (Mobile Application Security Testing Guide) es la guía de pruebas: para cada requisito explica cómo se comprueba en Android y en iOS, con pruebas numeradas, técnicas y herramientas.

Para un pentester la separación es útil: el MASVS responde «¿contra qué mido?» y el MASTG responde «¿cómo lo compruebo?». Ninguno sustituye lo que tú observas en la app del cliente.

La carta de alcance es lo que el cliente autorizó por escrito, y manda sobre cualquier correo posterior. Las apps móviles tienen un riesgo particular: usan servicios de otras empresas, como una pasarela de pagos o un servicio de mapas. Aunque el cliente los use, no son suyos y no puede autorizar su prueba; hace falta el permiso del dueño, por escrito, y entre tanto solo se anota que existen.

Abre la carta de alcance y el pedido del cliente y contrástalos: uno de los sistemas que pide probar le pertenece a un tercero.

Cada hallazgo de un informe móvil lleva su referencia al estándar, y el primer paso es decidir en qué grupo cae. No se asigna por la palabra que suena parecida, sino por la pregunta que el grupo contesta: ¿qué falló, el almacenamiento, el canal, la sesión, lo que la app expone a otras apps?

En las notas de la primera revisión hay seis observaciones sin grupo. Lee la descripción del grupo en el archivo de grupos y asigna el hallazgo H2.

La cita del MASVS ordena el informe y le dice al cliente contra qué criterio se midió, pero no es evidencia. La evidencia es lo que tú observaste en la app del cliente: la línea del manifiesto, la fila de la base de datos, el renglón de la captura. Un hallazgo bien escrito lleva las dos cosas: el control del estándar que se incumple y la prueba concreta, reproducible, de que se incumple aquí.