Seminar Genymotion Mobile Security Testing: Root, Netzwerk und Zertifikate

Sicherheitstests benötigen privilegierte Funktionen, dürfen dabei aber keine unkontrollierten Zugänge oder ungeklärten Testdaten erzeugen. Der Kurs verbindet technische Prüfmöglichkeiten mit einem sicheren Laborbetrieb.

Inhaltsübersicht

1. Testauftrag und Laborgrenzen definieren
2. Root- und Berechtigungszustände prüfen
3. ADB- und Shell-Zugänge absichern
4. Netzwerk- und Kommunikationsfälle modellieren
5. Zertifikate und Vertrauensstellungen testen
6. Identitäten und Gerätemerkmale variieren
7. Nachweise und Wiederholung organisieren

Zielsetzung

Aufbau reproduzierbarer, abgesicherter Security-Tests für Android-Anwendungen und Genymotion-Geräte mit belastbarer Beweissicherung.

Zielgruppe

Mobile-Security-Tester, AppSec-Teams, Android-Entwickler, QA-Ingenieure und Betreiber technischer Testlabore.

Voraussetzungen

Grundkenntnisse in Android, Netzwerken, ADB und Anwendungssicherheit; Durchführung ausschließlich in autorisierten Testumgebungen.

Praxisorientierte Lernschritte

Schritt 1: Testauftrag und Laborgrenzen definieren

1. Prüfumfang, Zielanwendung, erlaubte Verfahren und Abbruchkriterien festlegen.
2. Test-, Personen- und Produktivdaten strikt voneinander trennen.
3. Geräte-, Konten- und Netzwerkisolation für das Labor dokumentieren.

Schritt 2: Root- und Berechtigungszustände prüfen

1. Geräte mit aktiviertem und deaktiviertem Root-Zugriff vergleichen.
2. App-Verhalten bei Debug-, Root- und Integritätsprüfungen beobachten.
3. Berechtigungen, App-Daten und Rücksetzverfahren kontrolliert anwenden.

Schritt 3: ADB- und Shell-Zugänge absichern

1. ADB-Erreichbarkeit, Authentisierung und Netzfreigaben bewerten.
2. Bei entfernten Geräten sichere Tunnel und minimale Firewallregeln verwenden.
3. Privilegierte Kommandos protokollieren und nach dem Test zurücknehmen.

Schritt 4: Netzwerk- und Kommunikationsfälle modellieren

1. Signalstärke, Verbindungstyp, Unterbrechung und Wiederverbindung simulieren.
2. App-Reaktionen auf Proxy-, DNS- und Zertifikatsfehler untersuchen.
3. Sensible Daten in Logs, Fehlermeldungen und Zwischenspeichern kontrollieren.

Schritt 5: Zertifikate und Vertrauensstellungen testen

1. Gültige, abgelaufene und nicht vertrauenswürdige Zertifikatsfälle vorbereiten.
2. TLS-Fehler und App-Rückmeldungen reproduzierbar erfassen.
3. Laborzertifikate nach Abschluss entfernen und Ausgangszustand wiederherstellen.

Schritt 6: Identitäten und Gerätemerkmale variieren

1. Android-ID, Geräte-ID, SIM- und Baseband-Parameter testfallbezogen ändern.
2. Bindung an Gerät, Konto oder Installation fachlich unterscheiden.
3. Missbrauchsschutz, Wiederanmeldung und Gerätewechsel prüfen.

Schritt 7: Nachweise und Wiederholung organisieren

1. Logs, Screenshots, Videos und Prüfschritte manipulationsarm sammeln.
2. Befunde nach Risiko, Reproduzierbarkeit und betroffener Version klassifizieren.
3. Bereinigungscheckliste und retestfähige Testfälle erstellen.

Übungen und Arbeitsweise

• Vergleich eines App-Flows auf gerootetem und nicht gerootetem Gerät.
• Netzwerk- und Zertifikatsfehler mit vollständigem Nachweispaket.
• Geräteidentitätswechsel mit dokumentierter App-Reaktion und Rücksetzung.