MASWE-0100：设备认证未实现

Beta 版内容

此内容处于 beta 版，仍在积极开发中，因此随时可能发生变化（例如结构、ID、内容、URL 等）。

发送反馈

占位符漏洞

此弱点尚未创建，目前是一个占位符。但您可以查看其状态或开始自己处理。如果该问题尚未分配，您可以请求分配给它，并通过遵循我们的指南提交包含该弱点新内容的 PR。

在 GitHub Issues 中查看 MASWE-0100

初始描述或提示

该应用程序未使用 App Attestation API，例如 Google Play Integrity API、iOS DeviceCheck API，因此后端无法确保请求来自真正的应用程序二进制文件 (CWE-693)。 这使应用程序容易受到篡改、欺诈、重放攻击以及未经授权使用高级功能的攻击。

相关主题

• 已实施检测
• 有效性评估（例如，绕过检测）

参考资料

• https://developer.android.com.cn/google/play/integrity
• https://support.google.com/googleplay/android-developer/answer/11395166?hl=en
• https://www.youtube.com/watch?v=TyxL78e5Bag
• https://github.com/1nikolas/play-integrity-checker-app
• https://developer.apple.com/videos/play/wwdc2021/10244/
• https://developer.apple.com/documentation/devicecheck/preparing-to-use-the-app-attest-service
• https://github.com/iansampson/AppAttest
• https://github.com/firebase/firebase-ios-sdk/blob/v8.15.0/FirebaseAppCheck/Sources/AppAttestProvider/DCAppAttestService%2BFIRAppAttestService.h
• https://blog.restlesslabs.com/john/ios-app-attest

MASTG v1 覆盖范围

MASTG v1 中没有与此弱点相关的测试。