Báo cáo tự đánh giá bảo mật ứng dụng di động · HE-MASVS-2026-01
Kết luận
App đáp ứng phần lớn yêu cầu của hồ sơ cơ bản MAS-L1. Với hồ sơ nâng cao MAS-L2 và hồ sơ quyền riêng tư MAS-P, các control chủ yếu đạt một phần. Phần còn thiếu là các lớp bảo vệ bổ sung, không phải lỗi làm lộ dữ liệu.
Hồ sơ chống can thiệp MAS-R không thuộc phạm vi. App không có máy chủ riêng; dữ liệu nằm trên máy của người dùng.
13 control áp dụng: 10 đạt, 3 đạt một phần
16 control áp dụng: 4 đạt, 11 đạt một phần, 1 không đạt
4 control áp dụng: 4 đạt một phần
Ngoài phạm vi đánh giá
✓Đạt ~Đạt một phần ✕Không đạt –Không áp dụng
Chi tiết
| Mã | Yêu cầu | L1 | L2 / P |
|---|---|---|---|
| MASVS-STORAGEL ưu trữ | |||
| MASVS-STORAGE-1 | Lưu dữ liệu nhạy cảm an toànThe app securely stores sensitive data. | ✓Đạt | ~Đạt một phần |
| Token Gmail, khoá API và PIN nằm trong Keychain. Dữ liệu của ứng dụng quản lý tài chính tích hợp trí tuệ nhân tạo chỉ nằm trên máy. Bí mật chưa được gắn riêng với thiết bị và cơ sở dữ liệu chưa mã hoá riêng. | |||
| MASVS-STORAGE-2 | Chống rò rỉ dữ liệu nhạy cảmThe app prevents leakage of sensitive data. | ✓Đạt | ✓Đạt |
| Không có SDK phân tích hay quảng cáo. Bản phát hành không ghi log dữ liệu. Ô PIN và khoá API tắt gợi ý bàn phím. Thông báo ẩn số tiền khi bật khoá. | |||
| MASVS-CRYPTOM ật mã | |||
| MASVS-CRYPTO-1 | Dùng mật mã mạnh, đúng chuẩnThe app employs current strong cryptography and uses it according to industry best practices. | ✓Đạt | ~Đạt một phần |
| Ngẫu nhiên lấy từ hệ thống, PKCE S256, so sánh hằng thời gian. Hàm băm PIN sẽ chuyển sang hàm dẫn xuất khoá chuẩn. | |||
| MASVS-CRYPTO-2 | Quản lý khoá đúng chuẩnThe app performs key management according to industry best practices. | ✓Đạt | ~Đạt một phần |
| Không có khoá hay mật khẩu viết cứng trong mã. Chưa có khoá mã hoá dữ liệu gắn với thiết bị. | |||
| MASVS-AUTHX ác thực và uỷ quyền | |||
| MASVS-AUTH-1 | Giao thức xác thực, uỷ quyền an toànThe app uses secure authentication and authorization protocols and follows the relevant best practices. | ✓Đạt | ~Đạt một phần |
| Google OAuth 2.0 với PKCE, phiên đăng nhập của hệ thống, chỉ xin quyền đọc Gmail, thu hồi token khi ngắt kết nối. Đang siết việc gắn khoá API AI với nhà cung cấp đã chọn. Đã khắc phục ở 1.63.0 | |||
| MASVS-AUTH-2 | Xác thực cục bộ theo chuẩn nền tảngThe app performs local authentication securely according to the platform best practices. | ✓Đạt | ~Đạt một phần |
| Face ID / Touch ID qua LocalAuthentication, có mật mã máy dự phòng. Chặn đoán PIN theo đồng hồ riêng của app. Lỗi kho bí mật thì app vẫn khoá. Mở khoá chưa gắn với mục Keychain. | |||
| MASVS-AUTH-3 | Thao tác nhạy cảm có xác thực thêmThe app secures sensitive operations with additional authentication. | —Không thuộc hồ sơ | ~Đạt một phần |
| Xoá dữ liệu, tắt hoặc đổi khoá đều hỏi lại PIN hay Face ID. Đang thêm bước hỏi lại khi xuất dữ liệu. Đã khắc phục ở 1.63.0 | |||
| MASVS-NETWORKM ạng | |||
| MASVS-NETWORK-1 | Bảo vệ mọi lưu lượng mạngThe app secures all network traffic according to the current best practices. | ✓Đạt | ✓Đạt |
| Chỉ HTTPS theo App Transport Security mặc định. Không bỏ qua kiểm tra chứng chỉ. Mọi kết nối có giới hạn thời gian chờ. | |||
| MASVS-NETWORK-2 | Ghim danh tính máy chủ của nhà phát triểnThe app performs identity pinning for all remote endpoints under the developer's control. | —Không thuộc hồ sơ | ~Đạt một phần |
| App không có máy chủ riêng. Kênh cập nhật qua mạng (OTA) sẽ được ký mã. | |||
| MASVS-PLATFORMT ương tác nền tảng | |||
| MASVS-PLATFORM-1 | Dùng cơ chế liên lạc giữa app an toànThe app uses IPC mechanisms securely. | ✓Đạt | ✓Đạt |
| Mọi liên kết vào app đi qua một cổng kiểm tra. Khi app khoá, liên kết được giữ lại tới lúc mở khoá. Không có extension hay universal link. | |||
| MASVS-PLATFORM-2 | Dùng WebView an toànThe app uses WebViews securely. | ✓Đạt | ✓Đạt |
| Không dùng WebView. Trang ngoài mở bằng Safari View Controller; nguồn giá do AI trả về chỉ mở khi thuộc danh sách cho phép. | |||
| MASVS-PLATFORM-3 | Giao diện an toànThe app uses the user interface securely. | ~Đạt một phần | ~Đạt một phần |
| Màn khoá che mọi màn đang mở; ô nhạy cảm che chữ. Đang bổ sung che màn đa nhiệm cả khi chưa bật khoá. Đã khắc phục ở 1.63.0 | |||
| MASVS-CODEC hất lượng mã | |||
| MASVS-CODE-1 | Yêu cầu phiên bản nền tảng mớiThe app requires an up-to-date platform version. | ✓Đạt | ~Đạt một phần |
| Yêu cầu iOS 16.4 trở lên. Sẽ khai báo rõ và nâng mức tối thiểu. | |||
| MASVS-CODE-2 | Có cơ chế buộc cập nhậtThe app has a mechanism for enforcing app updates. | —Không thuộc hồ sơ | ✕Không đạt |
| Bản cập nhật qua mạng tự áp dụng ở lần mở sau. Chưa có cơ chế buộc lên phiên bản tối thiểu. | |||
| MASVS-CODE-3 | Không dùng thành phần có lỗ hổng đã biếtThe app only uses software components without known vulnerabilities. | ~Đạt một phần | ~Đạt một phần |
| Không có cảnh báo mức nghiêm trọng. Các cảnh báo còn lại chủ yếu ở công cụ build. Chưa quét thư viện tự động. | |||
| MASVS-CODE-4 | Kiểm và làm sạch mọi đầu vào không tin cậyThe app validates and sanitizes all untrusted inputs. | ~Đạt một phần | ~Đạt một phần |
| Kiểm liên kết, mã QR (CRC), email ngân hàng (xác minh DKIM/DMARC, quét tuyến tính, giới hạn kích thước), tệp nhập (giới hạn kích thước, danh sách bảng cho phép), SQL tham số hoá. Đang siết kiểm một số trường trong tệp sao lưu. Đã khắc phục ở 1.63.0 | |||
| MASVS-RESILIENCEC hống can thiệp | |||
| MASVS-RESILIENCE-1…4 | Kiểm toàn vẹn nền tảng, chống sửa đổi, chống phân tích tĩnh và độngPlatform integrity, anti-tampering, anti-static and anti-dynamic analysis. | –Không áp dụng | –Không áp dụng |
| Thuộc hồ sơ MAS-R, ngoài phạm vi. Bản cài có chữ ký của Apple; bundle không chứa bí mật. | |||
| MASVS-PRIVACYQ uyền riêng tư (hồ sơ MAS-P) | |||
| MASVS-PRIVACY-1 | Hạn chế truy cập dữ liệu, tài nguyên nhạy cảmThe app minimizes access to sensitive data and resources. | —Không thuộc hồ sơ | ~Đạt một phần |
| Chỉ xin camera, Face ID, thông báo khi cần; Gmail chỉ đọc. Đang bỏ bước xin quyền thư viện ảnh không cần thiết. Đã khắc phục ở 1.63.0 | |||
| MASVS-PRIVACY-2 | Không định danh người dùngThe app prevents identification of the user. | —Không thuộc hồ sơ | ~Đạt một phần |
| Không tài khoản, không IDFA, không theo dõi. Kiểm tra cập nhật gửi kèm một mã cài đặt ngẫu nhiên, đã nêu trong chính sách. | |||
| MASVS-PRIVACY-3 | Minh bạch về thu thập và sử dụng dữ liệuThe app is transparent about data collection and usage. | —Không thuộc hồ sơ | ~Đạt một phần |
| Chính sách quyền riêng tư liệt kê mọi luồng dữ liệu rời máy. Đang chỉnh vài chỗ cho khớp và bổ sung khai báo trong privacy manifest. | |||
| MASVS-PRIVACY-4 | Người dùng kiểm soát dữ liệu của mìnhThe app offers user control over their data. | —Không thuộc hồ sơ | ~Đạt một phần |
| AI và Gmail chỉ chạy khi bạn bật và đồng ý, thu hồi được bất cứ lúc nào. Xuất và xoá dữ liệu ngay trong app. | |||
Điểm mạnh
Đang cải thiện
Phạm vi và giới hạn
Đánh giá gồm mã nguồn của app, cấu hình iOS và các thư viện Expo, React Native dùng trong bản phát hành. Mỗi control được đối chiếu với các bài kiểm thử tương ứng của OWASP MASTG cho iOS.
Đây là đánh giá tĩnh. Một số mục như lớp bảo vệ tệp, ảnh màn đa nhiệm, lưu lượng mạng thực tế cần kiểm thêm trên iPhone thật. Kết quả đúng với phiên bản ghi ở đầu báo cáo.
Báo cáo do nhà phát triển Henry Expense tự đánh giá. OWASP® và MASVS là nhãn hiệu của OWASP Foundation; nội dung yêu cầu trích từ OWASP MASVS v2.1.0 (CC BY-SA 4.0).
Báo lỗ hổng bảo mật: [email protected] · henryexpense.com/bao-cao-lo-hong
Có câu hỏi, gặp lỗi hay muốn góp ý? Nhắn qua kênh nào tiện cho bạn, mình sẽ trả lời sớm nhất có thể.
MessengerNhắn tin qua Facebook Email[email protected]