apk.bancolab.lat

Seguridad en Android

Android aísla cada app, controla qué puede hacer con permisos y exige que el tráfico y los datos se traten como si el dispositivo pudiera caer en manos de un tercero. Esta página resume los controles que importan al diseñar, publicar o auditar una APK.

1. Sandbox y identidad de la app

Cada aplicación corre con su propio UID de Linux. El almacenamiento privado no es un “directorio oculto”: es un límite del kernel.
SharedUserId legado y apps firmadas con la misma clave pueden romper ese aislamiento. Evítalo en apps nuevas.
SELinux en enforcing + seccomp limitan lo que un proceso comprometido puede hacer aunque escape de su código.

2. Permisos

Declara solo lo que usas. Permisos normales se conceden al instalar; los peligrosos (ubicación, cámara, contactos, SMS) piden consentimiento en tiempo de ejecución.
Permisos de firma y privilegiados no deben aparecer en una app de Play Store de terceros.
Un “Allow all the time” de ubicación o acceso a notificaciones es superficie permanente: justifícalo y ofrécele un interruptor.

3. Componentes exportados

Activity, Service, BroadcastReceiver y ContentProvider son IPC. Si exported=true (o hay un intent-filter), otra app en el mismo dispositivo puede invocarlos.
Exporta solo lo necesario. El resto: exported=false y, si debe ser público, permisos de firma o validación de caller.
Deep links y App Links mal definidos abren rutas de entrada desde el navegador o desde apps maliciosas.

4. Almacenamiento y secretos

Datos sensibles: almacenamiento interno de la app o Keystore/StrongBox. No uses almacenamiento externo ni logs para tokens, PIN o PII.
SharedPreferences en claro no es bóveda. Prefiere EncryptedSharedPreferences o cifrado con claves en Android Keystore.
Backup automático (Auto Backup) puede sacar datos de la app. Excluye lo sensible en dataExtractionRules / allowBackup.

5. Red: TLS es el mínimo

Android 9+ bloquea HTTP en claro por defecto (Cleartext Traffic). No lo reabras en Network Security Config salvo un endpoint local de debug.
Certificate pinning reduce MITM con CA corporativas o dispositivos comprometidos; hay que planear rotación de pines.
User-Agent, tokens en query string y WebView cargando URLs remotas son fugas clásicas.

6. Firma, integridad y actualizaciones

La identidad de la app es la clave de firma, no el nombre del paquete. Pierdes la clave, pierdes las actualizaciones.
Usa Android App Bundle + Play App Signing. V1 (JAR) solo no basta en dispositivos modernos; V2/V3 son el estándar.
Play Protect y updates por Play reducen sideload. Sideload + “orígenes desconocidos” es el vector más usado de malware.

7. Código nativo, ofuscación y WebView

ProGuard/R8 no es seguridad, es rozamiento. No escondas secretos en el APK: se extraen.
JNI/NDK no oculta claves. Un atacante con la APK lee .so igual que lee smali.
WebView: JS bridge mínimo, HTTPS, no setAllowFileAccess(true) en contenido remoto, y valida orígenes si usas addJavascriptInterface.

Marco de referencia

OWASP MASVS / MASTG cubren almacenamiento, cripto, red, plataforma, código y resiliencia. Un pentest de APK no sustituye un SDLC: firma, permisos, componentes exportados y TLS se revisan antes de publicar.