MobSF: Das Mobile Security Framework in der Detailansicht

Bei MobSF handelt es sich um ein sogenanntes Sicherheitstest-Framework, welches vorwiegend im
Bereich der mobilen Geräte zum Einsatz kommt. Es ist also prädestiniert für Android, iOS und Windows Apps. Mit dem Framework wird es möglich, Sicherheitsmängel entsprechend schnell und
ganzheitlich innerhalb der mobilen Apps aufzuspüren. Egal, ob es sich um akuten Schadcode oder
potenzielle Schwachstellen handelt.

Am besten eignet sich MobSF, um vor der eigentlichen Veröffentlichung von Android und iOS Apps zu
prüfen, ob noch Sicherheitsprobleme vorhanden sind. Diese können dann zeitnah geschlossen
werden, bevor es zum offiziellen Release kommt. Auf diese Weise wird verhindert, dass
Sicherheitslücken mit in die Release-Version gelangen. Zumindest die offensichtlichen, denn ganz
vermeiden lässt sich so etwas bei einem Launch natürlich eher selten.

Was ist das MobSF überhaupt?

MobSF steht für Mobile Security Framework. Im Grunde dient es dazu, wie in der Einleitung bereits
erwähnt, Schadcode und Schwachstellen in Android und iOS Apps zu entdecken. Das ist notwendig
geworden, da ein händisches Absuchen aufgrund der modernen Möglichkeiten kaum noch sinnvoll
oder gar wirtschaftlich erscheint. Stattdessen werden automatisierte Tools eingesetzt, die derartige
Probleme sicher und schnell erledigen können.

Das Mobile Security Framework übernimmt solch eine Arbeit und läuft sowohl unter MacOS als auch
unter Windows oder Linux. Anschließend kann mit dem Framework automatisiert eine statische
oder dynamische Analyse durchgeführt werden, die eventuell vorhandene Schwachstellen im Code
offenbart. Dabei unterstützt es gängige Formate wie APK (Android), IPA (iOS) oder auch APPX
(Windows).

Das Framework selbst präsentiert sich dabei als eine All-in-one-Lösung für Pentesting und
Sicherheitsanalysen von mobilen Apps. Es ist als Open-Source-Software verfügbar und lässt sich über
eine REST API problemlos in bestehende DevSecOps-Pipelines integrieren. Ein mächtiges Framework
also, welches den meisten Ansprüchen mehr als genügen wird. Doch schauen wir uns MobSF noch
einmal im Detail an.

Welche Vor- und Nachteile hat das MobSF?

Die größten Vorteile von dem Mobile Security Framework sind sicherlich innerhalb der grafischen
Benutzeroberfläche zu finden. Die Bedienung funktioniert hervorragend,
zumal sie den meisten Alternativen weit voraus ist. Außerdem hat sich MobSF als eine Art
Standard herauskristallisiert, entsprechend gut kennen sich mittlerweile die meisten Anwender damit aus.

Nachteile sind aber auch zu finden. Die Software selbst ist zwar Open Source, verkauft aber teuren
Enterprise Support und stammt aus Indien. Einige Funktionen fehlen Sicherheitsexperten zudem
noch und es gibt oft False Positives, was im Vergleich dann ebenfalls eher negativ auffällt. Die
Berichte könnten auch umfangreicher sein, aber das ist Kritik auf hohem Niveau.

Ein weiterer Vorteil hingegen ist, dass MobSF sowohl statische als auch dynamische Tests
beherrscht. Im statischen Durchlauf führt das Tool eine quellcodebasierte Analyse durch, ist also
unabhängig von der jeweiligen Laufzeitumgebung. Bei jeder neuen Code-Freigabe kann solch ein
statischer Test erfolgen, um etwaige Schwachstellen und Sicherheitsrisiken zu erkennen.

Die dynamische Analyse testet die jeweilige App direkt während der Ausführung, also in Echtzeit und
während des tatsächlichen Betriebs. Die dynamischen Durchläufe sind wichtig, um Sicherheitsrisiken
im aktiven Zustand zu finden, wenn die App bereits final fertiggestellt ist.

Gibt es Alternativen?

Alternativen zum Mobile Security Framework gibt es, doch diese sind weit weniger
gefragt als das Open Source Framework. Letzteres liegt primär daran, dass MobSF zufriedenstellend funktioniert und nicht nur aufgrund des Preises, sondern auch aufgrund der
einfachen Nutzbarkeit extrem populär geworden ist. Einige Alternativen möchten wir dennoch
aufzeigen.

Dozer: MobSF ist beliebt für seine statischen Analysen, während Dozer eigentlich eher für
dynamische Sicherheitsanalysen bekannt ist. Also das genaue Gegenteil von dem, was MobSF entsprechend populär erscheinen lässt. Auch das Interface bzw. die grafische Benutzeroberfläche ist
bei MobSF unserer Meinung nach eleganter gelöst worden. Dozer ist zudem nicht Open Source,
sondern kommerziell und konzentriert sich zudem voll und ganz auf Android.

Fortify: Vergleichen wir Fortify mit MobSF fällt zunächst einmal auf, dass im Vergleich kaum False
Positives gefunden werden. Das hingegen ist ein typischer Nachteil von MobSF, welches immer sehr
viele Fehlalarme auslöst. Fortify legt zudem mehr Wert auf Compliance, was dazu führt, dass viele
Richtlinien wie PCI DSS, DISA STIG und die OWASP Top 10 abgedeckt sind. Auch das ist bei MobSF nicht der Fall.

QARK: Das sogenannte Quick Android Review Kit konzentriert sich auf Android und wird, genau wie
auch MobSF vorwiegend für statische Analysen verwendet. Allerdings in reiner Konsolenansicht, die
nicht jeder gut findet. Ansonsten ist auch QARK Open Source und wird beständig entwickelt und
verbessert. Der Schwachstellenbericht fällt umfangreicher und tiefgehender aus, was es Entwicklern
leichter macht, entsprechende Probleme anzugehen und zu beheben.

Was ist Static Application Security Testing?

Es gibt im Bereich der Sicherheitstest verschiedene Standards und etablierte Verfahren, die immer
wieder zum Einsatz kommen. Eines davon nennt sich Static Application Security Testing, kurz auch
einfach als SAST bezeichnet. Am häufigsten werden die statischen Sicherheitstests dabei mit dem
Tool MobSF durchgeführt.

Bei SAST handelt es sich um eine Sicherheitsprüfung, die auf Basis des Quellcodes abläuft. Der
eigentliche Code einer App wird also entsprechend bewertet und analysiert, um potenzielle
Probleme, Sicherheitsmängel und konkrete Schwachstellen zu entdecken. Der große Vorteil bei SAST
ist, dass es auch schon sehr früh angewendet werden kann, also relativ zu Beginn eines Software
Development Life Cycles. Das liegt daran, dass eine App nicht funktionsfähig sein muss, um sie zu
scannen.

Das Static Application Security Testing, für welches MobSF geradezu berühmt ist, erfordert also
keinen ausführbaren Code, sondern lediglich die Fragmente selbst. Erkannte Probleme können also
noch während der Entwicklung und auch ganz zu Beginn behoben werden. So ist es ohne Weiteres
möglich, Schwachstellen offenzulegen und diese vollständig zu umgehen, indem andere Ansätze für
bestimmte Abschnitte gewählt werden.

MobSF ist ein effektiver Helfer

MobSF ist ein praktisches und schon lange etabliertes Tool, um statische oder dynamische Analysen
von Apps auszuführen. Auf diese Weise werden Sicherheitslücken und Schwachstellen in Android,
iOS und Windows Apps entdeckt. Darauffolgend können selbige behoben werden, bevor es zu einer
Veröffentlichung der jeweiligen App kommt. Das ist viel wert, denn Sicherheitslücken sollten bei
Release keine mehr vorhanden sein, zumindest im Idealfall. Irgendetwas rutscht zwar immer durch,
doch am Ende sollte es möglichst wenig sein und keine offensichtlichen und typischen
Sicherheitsaspekte betreffen.

Spezifische Tests kann MobSF dabei keine fahren. Das Mobile Security Framework ist vielmehr auf
automatisierte Abläufe spezialisiert, die für jede Funktion einer Anwendung einzeln durchgeführt
werden können. Es erfordert also einen manuellen Prozess, um Schwachstellen zu finden und
sicherzustellen, dass alle Bereiche entsprechend abgearbeitet wurden.

Das Tool ist eine willkommene Hilfe beim Testen von Anwendungen, die für den mobilen
Bereich bestimmt sind. Als einzige Lösung sollte es jedoch keinesfalls verwendet werden. Nichts
ersetzt den manuellen Blick auf die Sache und einen Sicherheitsexperten, der versiert nach Lücken
und Problemen sucht. Für den Anfang ist MobSF aber wunderbar geeignet.