¿Qué es RASP?
La protección de aplicaciones en tiempo de ejecución (RASP) detecta actividad sospechosa, o reacciona ante ella, mientras la aplicación se ejecuta. Es una de las protecciones que probamos: comprobamos si funciona frente a los escenarios de ataque acordados y si, al saltarla, quedan al descubierto el comportamiento o los datos que debería proteger.
¿En qué se diferencia de un pentest de aplicaciones móviles?
Un pentest de aplicaciones móviles busca vulnerabilidades en todo el alcance acordado de la aplicación. Este servicio se centra en la eficacia de las protecciones frente a la ingeniería inversa, la manipulación y la modificación en tiempo de ejecución. Los dos servicios se complementan.
¿Y si la protección es de un proveedor?
La probamos igual. Tu proveedor puede ayudarte a confirmar si cada debilidad se corrige con la configuración o es una limitación de su producto. Si desarrollas soluciones de protección, consulta nuestra auditoría de soluciones RASP.
¿Cuánto se tarda y cuánto cuesta?
Depende de cuántas aplicaciones y plataformas haya que probar (Android, iOS o ambas), de las protecciones y los objetivos del atacante incluidos en el alcance y de si se incluyen comprobaciones del backend. Te enviamos una propuesta con un precio cerrado y el calendario. Las pruebas suelen llevar entre una y dos semanas por plataforma, con el informe incluido, según la complejidad de tu aplicación. Normalmente podemos empezar la misma semana en que aceptas la propuesta; la fecha de inicio depende de la carga del equipo y la indicamos en la propuesta.
¿Qué necesitáis de nosotros?
Las builds de la aplicación con las protecciones activadas (APK o AAB para Android, IPA para iOS), usuarios de prueba y acceso al entorno que prefieras, ya sea producción o un entorno de pruebas. Si probamos en producción, acordamos contigo cuándo, con qué volumen y desde qué IP. Lo concretamos en la propuesta.
¿Es necesario dar el código fuente?
No. Por defecto, las pruebas son de caja negra (black-box): partimos del mismo conocimiento que tendría un atacante. Si lo prefieres, también podemos revisar el código fuente.
¿Probáis en dispositivos físicos?
Cuando hace falta. En Android trabajamos sobre todo con Chameleon, nuestro entorno de análisis, que reproduce un dispositivo físico con sus capacidades de hardware. Si encontramos alguna limitación relevante para tu aplicación, usamos dispositivos físicos. En iOS usamos dispositivos físicos.
¿Usáis IA con mi aplicación?
Sí, para cubrir más partes de tu aplicación y profundizar más en el mismo tiempo. Usamos proveedores de IA que no entrenan sus modelos con tus datos. Trabajamos solo con las cuentas que nos das o que creamos nosotros, nunca con cuentas de otros usuarios reales. Nuestros especialistas dirigen el trabajo y validan cada resultado. Si tu política no permite usar IA externa, dínoslo al acordar el alcance y trabajamos sin ella.
¿Puedo enseñar los resultados a mis clientes o socios?
Sí. El informe incluye un resumen ejecutivo para lectores no técnicos. Si lo necesitas, también te damos una carta firmada, sin coste adicional, con lo que probamos, la versión, la fecha y el resultado.
¿El retest está incluido?
El retest se presupuesta aparte, a tarifa reducida. En la propuesta te damos dos opciones: solo las pruebas o las pruebas con una ronda de retest, para que sepas el coste total desde el principio.
¿En qué idioma está el informe?
En inglés por defecto. Si lo necesitas en español, dínoslo.
¿Cómo se gestiona la confidencialidad?
Acordamos las condiciones de confidencialidad antes de que compartas builds o documentación. Tenemos un NDA tipo, pero si prefieres usar el tuyo, lo revisamos sin problema.
