دورة حماية تطبيقات أندرويد

الدرس 1 • نظرة عامة على OWASP Mobile Top 10 وارتباطها بـ QuickBudget

راجع OWASP Mobile Top 10 وربط كل فئة بسيناريوهات QuickBudget. ستتعلم كيف تظهر الضعف الشائع في تطبيقات التمويل التقني على أندرويد وكيف توجه تصميم آمن واختبار وأولويات التقوية.

الدرس 2 • رسم سطح الهجوم: الواجهة، التخزين، الشبكة، IPC، مكتبات الطرف الثالث

استكشف كيف يصل المهاجمون إلى QuickBudget من خلال الواجهة، والتخزين، والشبكة، وIPC، والمكتبات الخارجية. ستحدد نقاط الدخول الملموسة وتدفقات البيانات ونقاط التكامل للكشف عن الأماكن التي يجب تطبيق الضوابط أو تعزيزها.

الدرس 3 • تحديد الأصول: البيانات الحساسة وحدود الثقة في QuickBudget

تعلم تحديد الأصول الحساسة في QuickBudget، بما في ذلك بيانات المستخدمين والبيانات الاعتمادية والسجلات المالية. كما ستحدد حدود الثقة بين طبقات التطبيق وخدمات الخلفية والأطراف الثالثة لدعم نمذجة التهديدات بدقة.

الدرس 4 • تحديد أولويات التهديدات وتسجيل المخاطر لتخطيط الإجراءات الوقائية

تعلم تحديد أولويات التهديدات المحددة باستخدام تسجيل مخاطر منظم مصمم خصيصاً لـ QuickBudget. ستقدر الاحتمالية والتأثير، وتجمع القضايا المتعلقة، وتنتج خارطة طريق للإجراءات الوقائية تتوافق مع احتياجات الأعمال والامتثال.

الدرس 1 • خيارات تخزين أندرويد: SharedPreferences، الملفات الداخلية/الخارجية، SQLite/Room

يراجع هذا القسم خيارات تخزين أندرويد وخصائصها الأمنية. ستُقارن SharedPreferences والتخزين الداخلي والخارجي وSQLite أو Room وتتعلم متى يكون كل منها مناسباً للبيانات الحساسة أو غير الحساسة.

الدرس 2 • تسجيل الخروج، إلغاء الرموز، مسح البيانات، واستراتيجيات الحذف الآمن على الجهاز

يشرح هذا القسم تسجيل الخروج الآمن وضوابط دورة حياة البيانات المحلية. ستطبق إلغاء الرموز والمسح الانتقائي أو الكامل وأنماط الحذف الآمن والدفاعات ضد إعادة إحياء الجلسة بعد تسجيل الخروج أو سرقة الجهاز.

الدرس 3 • Android Keystore: استخدام المفاتيح التماثلية والغير تماثلية والحدود

يغطي هذا القسم مفاهيم وحدود Android Keystore. ستتعلم كيفية إنشاء المفاتيح وتخزينها واستخدامها والفروق بين المفاتيح التماثلية والغير تماثلية والأمان المدعوم بالأجهزة والحدود المنصية التي تؤثر على تصميم التطبيق.

الدرس 4 • تشفير قاعدة بيانات Room: SQLCipher أو تكامل SQLCipher + Room

يركز هذا القسم على تشفير قواعد بيانات Room باستخدام SQLCipher. ستتعلم تأثيرات المخطط والهجرة وإدارة المفاتيح وتكاليف الأداء وأنماط التكامل التي تحافظ على الاستعلامات آمنة مع الحفاظ على موثوقية التطبيق.

الدرس 1 • التعامل مع نقل الرموز، التحديث، حماية إعادة التشغيل، وسمات الكوكيز الآمنة

أتقن التعامل الآمن مع رموز الوصول والكوكيز في تطبيقات أندرويد. ستُصمم النقل والتخزين وتدفقات التحديث التي تقاوم إعادة التشغيل والتثبيت والسرقة باستخدام قنوات HTTPS فقط وسمات كوكيز مقواة.

الدرس 2 • طرق تثبيت الشهادات: التثبيت مع تكوين أمان الشبكة وتثبيت OkHttp

استكشف استراتيجيات تثبيت الشهادات لمنع اعتراض TLS. ستُقارن التثبيت القائم على XML مع تكوين أمان الشبكة والتثبيت القائم على الكود مع OkHttp، بالإضافة إلى تعلم التدوير والاحتياطي وأنماط معالجة الأخطاء.

الدرس 3 • تكوين أمان الشبكة على أندرويد: تكوين CAs الموثوقة، ملفات التجريب مقابل الإصدار

تعلم كيف يتحكم تكوين أمان الشبكة في مراسي الثقة وحركة النص العادي والتجاوزات التجريبية. ستضبط قواعد لكل نطاق وتفصل ملفات التجريب والإصدار وتختبر بأمان مع CAs مخصصة ووكلاء.

الدرس 4 • حماية مفاتيح واجهات برمجة التطبيقات والأسرار: تجنب التجميع، استخدام تبادل الرموز من الخلفية أو الاسترجاع الديناميكي

افهم لماذا لا يجب شحن مفاتيح واجهات برمجة التطبيقات والأسرار في APK. ستُراجع التسريبات الشائعة وأنماط التخزين الأكثر أماناً وتبادل الرموز من الخلفية والاسترجاع الديناميكي والمراقبة لإلغاء الاعتمادات المكشوفة بسرعة.

الدرس 1 • تصميم تدفق تسجيل الدخول الآمن: تشفير كلمة المرور من الخلفية، TLS، والإجراءات من جانب العميل

يوضح هذا القسم كيفية تصميم تدفق تسجيل دخول آمن لتطبيقات أندرويد. ستتعلم تشفير كلمات المرور من الخلفية وتكوين TLS وحمايات جانب العميل وكيف تتجنب الأخطاء الشائعة مثل التوجيهات غير الآمنة ومعالجة الأخطاء الضعيفة.

الدرس 2 • إبطال الجلسة، كشف الجلسات المخترقة، والرموز المرتبطة بالجهاز

يركز هذا القسم على كشف وإبطال الجلسات المخترقة. ستتعلم استراتيجيات ربط الجهاز وتتبع الجلسات من جانب الخادم وكشف الشذوذ وتدفقات تسجيل الخروج الآمنة التي تحد من الضرر من الرموز أو الأجهزة المسروقة.

الدرس 3 • التكامل متعدد العوامل والبايومتري: Android Biometric API وتدفقات الاحتياطي

يغطي هذا القسم تكامل المصادقة متعددة العوامل والبايومترية في أندرويد. ستتعلم استخدام Android Biometric API وتدفقات الاحتياطي الآمنة والتلقائيات القائمة على المخاطر وكيف تتجنب إضعاف الأمان بقرارات UX سيئة.

الدرس 4 • أنواع الرموز ودورة الحياة: رموز الوصول، رموز التحديث، سياسات الانتهاء

يشرح هذا القسم أنواع الرموز الشائعة وهيكلها واستخدامها المقصود ودورة حياتها. ستتعلم كيف تصمم سياسات الانتهاء واستراتيجيات التدوير وآليات الإلغاء التي توازن بين الأمان وسهولة الاستخدام والأداء.

الدرس 1 • مكافحة التلاعب والتحقق من النزاهة: Play App Signing، فحوصات المجموع/ABI، وواجهات برمجة النزاهة في وقت التشغيل

دراسة استراتيجيات مكافحة التلاعب التي تكشف APKs المعدلة والبيئات العدائية. تعلم استخدام Play App Signing والمجاميع والتحقق من ABI وواجهات برمجة النزاهة في وقت التشغيل وكيفية الرد عند اكتشاف التلاعب أو انتهاكات النزاهة.

الدرس 2 • تعتيق الموارد والسلاسل: حلول مخصصة وأدوات لإخفاء الثوابت

افهم كيف يستغل المهاجمون الموارد والسلاسل لتحليل التطبيقات ثم طبق التعتيق لإخفاء الثوابت ومفاتيح واجهات برمجة التطبيقات وعلامات الميزات. قارن الأدوات والمحملات المخصصة وتأثيرات الأداء مع الحفاظ على التوطين.

الدرس 3 • توقيع البناء الآمن في CI/CD، تخزين مفاتيح التوقيع بأمان، واعتبارات البنية القابلة للتكرار

تعلم كيفية تأمين مفاتيح التوقيع على أندرويد في CI/CD وتكوين عمليات التوقيع القوية والتفكير في بنى قابلة للتكرار. افهم التهديدات لمواد التوقيع وكيف يؤثر اختراق المفاتيح على نزاهة التطبيق وثقة المستخدم.

الدرس 4 • التقوية في وقت البناء: تمكين R8/ProGuard، ملفات الخرائط، وتقليل تعريض الانعكاس

استكشف التقوية في وقت البناء مع R8 وProGuard بما في ذلك التصغير والتعتيق والتحسين. تعلم إدارة ملفات الخرائط وتقليل التسريبات القائمة على الانعكاس وتحقق أن بنى الإصدار تكشف سطح هجوم أدنى.

الدرس 1 • أدوات القياس في وقت التشغيل والتحليل الديناميكي: Frida، Objection، وكشف الربط

تعلم كيف تعمل إطارات أدوات القياس في وقت التشغيل مثل Frida وObjection وكيف يستخدمها المهاجمون لربط وتعديل تطبيقات أندرويد وكيفية كشف وتقييد ومراقبة محاولات الربط في البيئات الإنتاجية والاختبارية.

الدرس 2 • الاختبار الديناميكي: اعتراض الوكيل (Burp/mitmproxy)، اعتبارات المحاكي مقابل الجهاز الحقيقي

غوص في اختبار ديناميكي لتطبيقات أندرويد باستخدام وكلاء الاعتراض مثل Burp Suite وmitmproxy وقارن إعدادات المحاكي والجهاز الحقيقي ومعالجة الشهادات وتجاوز تثبيت SSL للتقييمات الأمنية المتحكمة.

الدرس 3 • التحليل الثابت: فك تغليف APKs، فحص الأسرار الثابتة، وأدوات مثل MobSF وJADX

تعلم كيفية إجراء تحليل ثابت لتطبيقات أندرويد بفك تغليف APKs ومراجعة الكود والموارد واستخدام أدوات مثل MobSF وJADX للعثور على الأسرار الثابتة والتكوينات غير الآمنة والضعف الأخرى في بنى الإصدار.

الدرس 4 • قائمة تحقق اختبار الاختراق لتطبيقات التمويل التقني على الهواتف المحمولة وخطوات الإصلاح

استكشف قائمة تحقق اختبار الاختراق المنظمة المخصصة لتطبيقات التمويل التقني على الهواتف المحمولة تغطي تدفقات المصادقة وحماية البيانات وواجهات برمجة التطبيقات ومخاطر الاحتيال وتعلم كيفية توثيق النتائج وتحديد أولويات المخاطر واقتراح خطوات الإصلاح القابلة للتنفيذ.