Bienvenida al curso · OWASP Mobile Top 10

Bienvenido a OWASP Mobile Top 10. Este es el resultado de buscar la palabra "key" en el APK de CafetalPay, la app ficticia de una cooperativa que usará todo el curso, después de descompilarlo:

$ grep -rn "key" cafetalpay/res/values/strings.xml
14:    <string name="pagos_api_key">EJEMPLO-cafetalpay-prod-4f9a2c</string>

Quien escribió esa línea pensaba que el APK era una caja cerrada. No lo es: cualquiera que lo descargue de la tienda puede abrirlo en su computadora y leer esa llave en dos minutos, y con ella hablarle a la pasarela de pagos como si fuera la cooperativa. Ese es M1, el primer riesgo de la lista, y su corrección no está en el teléfono: el secreto se va al backend. Así se resuelven muchos de los diez riesgos, porque la app vive en un aparato que usted no controla.

Qué va a lograr

Explicar qué es el OWASP Mobile Top 10 y cómo se relaciona con el MASVS y el MASTG.
Reconocer en código Kotlin, en el manifiesto y en la configuración los errores de M1 a M10.
Corregir cada riesgo con secretos en el backend, autorización en el servidor, HTTPS bien configurado y cifrado con el Keystore.
Analizar su propia app con MobSF, mobsfscan y adb en un emulador.
Convertir lo aprendido en una lista de revisión, un control en la integración continua y un reporte verificable.

Para quién es y qué necesita

Para quien desarrolla, prueba o revisa apps móviles, y para analistas del lado defensivo. Conviene haber hecho Seguridad web con OWASP Top 10: inyección, control de acceso y criptografía vuelven aquí con otra ropa. Leer Kotlin o Java ayuda, pero cada fragmento se explica.

El equipo pesa más que en otros cursos: una computadora con 8 GB de RAM o más y unos 10 GB libres, Android Studio con un emulador, Docker para correr MobSF en local y Python 3.10 o superior para mobsfscan.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Panorama, credenciales y cadena de suministro	Qué es el Top 10, MASVS y MASTG; M1 y M2; las herramientas del laboratorio	Análisis estático con MobSF en local
2. Autenticación, entradas y comunicación	M3, M4 y M5	Componentes exportados y tráfico en claro
3. Privacidad, binario, configuración, datos y criptografía	M6, M7, M8, M9 y M10	Permisos y almacenamiento en el emulador
4. Llevarlo al trabajo	Lista de revisión ligada al MASVS, herramientas en el ciclo de desarrollo y conclusión	mobsfscan y reporte de seguridad
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Instale Android Studio, cree el emulador y haga el docker pull de MobSF antes de empezar el módulo 1. Las dos descargas pesan varios gigas. Para el emulador, elija una imagen con "Google APIs", no con "Google Play".

El laboratorio del módulo 2 es el que más sorprende: con un solo comando de adb abre la pantalla de administración de CafetalPay sin pasar por el inicio de sesión. Si después de corregirlo la pantalla sigue abriendo, casi siempre es que el emulador conserva la versión vieja; desinstale y vuelva a instalar. Guarde las salidas de cada laboratorio: el reporte final se arma con ellas. Al aprobar la evaluación final con 70 % recibe el certificado y la insignia.

Tiempo estimado

Unas 5 horas, más el tiempo de las descargas la primera vez.