Recibir la app y el alcance

Una evaluación autorizada se hace dentro de lo que la carta enumera, y lo que la carta excluye no se toca aunque esté al alcance de la mano. Lee la carta de alcance y el inventario de la entrega y decide qué haces con cada elemento antes de empezar el análisis.

El manifiesto declara qué componentes pueden ser invocados por otras aplicaciones del mismo teléfono. Es normal que el lanzador lo sea, y un receptor protegido con un permiso de nivel firma ya trae su control. Busca el componente que muestra datos de la cuenta y quedó invocable desde fuera sin ninguna protección.

La configuración de red de la app dice a qué dominios se les permite hablar sin cifrar. La regla general prohíbe el tráfico en claro, y una excepción por dominio la deshace solo para ese destino. Una excepción heredada, con un comentario que dice «migrar cuando se pueda», es de las que se anotan.

Mapear a MASVS es decir a qué grupo de controles pertenece cada hallazgo, para que quien lo lea sepa qué área del estándar queda afectada. Los grupos del estándar son almacenamiento, criptografía, autenticación, comunicación de red, interacción con la plataforma, calidad del código, resistencia a la ingeniería inversa y privacidad. Con lo que ya viste del manifiesto y de la configuración de red, hay tres hallazgos: un componente exportado, el tráfico en claro hacia un dominio y la copia de seguridad permitida.