APP安全测试-数据安全性/通讯安全性/人机接口安全性

APP的安全测试点

-----------转摘某位大神，看过之后，觉得比一些介绍APP测试的书籍都要写的好，若是测试APP完全可以参考，并结合自己的工作，看是否有漏测或者自己工作需要改进的地方

数据安全性

1）当将密码或其他的敏感数据输人到应用程序时,其不会被储存在设备中, 同时密码也不会被解码

2）输人的密码将不以明文形式进行显示

3）密码, 信用卡明细, 或其他的敏感数据将不被储存在它们预输人的位置上

4）不同的应用程序的个人身份证或密码长度必需至少在4一8个数字长度之间

5）当应用程序处理信用卡明细, 或其他的敏感数据时, 不以明文形式将数据写到其它单独的文件或者临时文件中。

6）防止应用程序异常终止而又没有侧除它的临时文件, 文件可能遭受人侵者的袭击, 然后读取这些数据信息。

7）当将敏感数据输人到应用程序时, 其不会被储存在设备中

8）备份应该加密, 恢复数据应考虑恢复过程的异常通讯中断等, 数据恢复后再使用前应该经过校验

9）应用程序应考虑系统或者虚拟机器产生的用户提示信息或安全替告

10）应用程序不能忽略系统或者虚拟机器产生的用户提示信息或安全警告, 更不能在安全警告显示前,，利用显示误导信息欺骗用户，应用程序不应该模拟进行安全警告误导用户

11）在数据删除之前，应用程序应当通知用户或者应用程序提供一个“取消”命令的操作

12）“取消”命令操作能够按照设计要求实现其功能

13）应用程序应当能够处理当不允许应用软件连接到个人信息管理的情况

14）当进行读或写用户信息操作时, 应用程序将会向用户发送一个操作错误的提示信息

15）在没有用户明确许可的前提下不损坏侧除个人信息管理应用程序中的任何内容Μ

16）应用程序读和写数据正确。

17）应用程序应当有异常保护。

18）如果数据库中重要的数据正要被重写, 应及时告知用户

19）能合理地处理出现的错误

20）意外情况下应提示用户

通讯安全性

1）在运行其软件过程中, 如果有来电、SMS、EMS、MMS、蓝牙、红外等通讯或充电时, 是否能暂停程序，优先处理通信, 并在处理完毕后能正常恢复软件, 继续其原来的功能

2）当创立连接时, 应用程序能够处理因为网络连接中断, 进而告诉用户连接中断的情况

3）应能处理通讯延时或中断

4）应用程序将保持工作到通讯超时, 进而发送给用户一个错误信息指示有连接错误

5）应能处理网络异常和及时将异常情况通报用户

6）应用程序关闭或网络连接不再使用时应及时关闭) 断开

7)HTTP、HTTPS覆盖测试

--App和后台服务一般都是通过HTTP来交互的，验证HTTP环境下是否正常；

--公共免费网络环境中（如：麦当劳、星巴克等）都要输入用户名和密码，通过SSL认证来访问网络，需要对使用HTTPClient的library异常作捕获处理

人机接口安全性

1）返回菜单总保持可用

2）命令有优先权顺序

3）声音的设置不影响应用程序的功能

4）应用程序必需利用目标设备适用的全屏尺寸来显示上述内容

5）应用程序必需能够处理不可预知的用户操作, 例如错误的操作和同时按下多个键