МАСА Часто задаваемые вопросы

Регулярное тестирование безопасности вашего приложения может помочь вам выявить ключевые уязвимости в вашем приложении и снизить будущую ответственность. Google Play позволит разработчикам, прошедшим независимую проверку, продемонстрировать это в форме безопасности данных.

Пользователи могут быть уверены, что приложения проверены внешними экспертами, и имеют более высокую степень уверенности в безопасности этих предложений.

OWASP MASVS применим к любому мобильному приложению. Сюда входят различные категории приложений, включая Интернет вещей, фитнес/здоровье, социальные сети, связь, VPN, производительность и многие другие.

Объем оценки включает безопасность на стороне клиента, аутентификацию на серверной/облачной службе и подключение к серверной/облачной службе с учетом общей безопасности и некоторых передовых методов обеспечения конфиденциальности.

В ходе оценки будет рассмотрен подмножество проверяемых требований MASVS уровня 1, доступных на Github здесь.

1 год. Через 1 год разработчик несет ответственность за повторную сертификацию своего приложения.

MASA предлагает два уровня гарантии: AL1 — самооценка со сканированием APK и анкетой, а также AL2 — комплексная лабораторная оценка со статическим и динамическим анализом, позволяющая вашему приложению получить значок «Независимая проверка безопасности» в Play Store.

Плата варьируется в зависимости от лаборатории-партнера, но в среднем вы можете ожидать, что оценка будет стоить от 3 до 6 тысяч долларов для AL2 и 500 долларов для AL1.

После того, как вы оформите необходимые документы, вы можете ожидать оценки от лаборатории в течение 10 дней. Сроки завершения могут варьироваться в зависимости от отзывов лаборатории и способности вашей команды быстро внедрять изменения.

Google привлек ряд авторизованных лабораторий для проведения оценки приложений. Все авторизованные лаборатории проводят комплексное тестирование безопасности и предлагают разработчикам средства для получения сертификации на соответствие опубликованным стандартам.

Разработчики имеют возможность работать напрямую с авторизованной лабораторией, чтобы инициировать процесс тестирования. Любые сборы или необходимые документы будут обсуждаться непосредственно между лабораторией и разработчиком.

В настоящее время мы принимаем результаты оценки только от авторизованных партнеров MASA.

Первоначальные результаты тестирования будут доступны только вашей команде. Как только приложение будет соответствовать всем требованиям, лаборатория отправит в Google сводку отчета, которая будет общедоступна в каталоге MASA, который будет запущен в будущем. Сводка отчета ограничена областью тестирования и не содержит каких-либо конфиденциальных данных, связанных с вашим приложением. Вы имеете полный контроль над тем, когда хотите опубликовать эти результаты.

Основной способ сообщить об этом пользователям — через раздел «Безопасность данных» с помощью значка безопасности. Эта опция доступна только для приложений, прошедших оценку AL2. Мы изучаем способы показать эту информацию большему количеству пользователей Google Play.

Как только вы обновите раздел «Безопасность данных», указав, что ваше приложение «прошло независимую проверку», это обозначение появится на вашей этикетке «Безопасность данных» в течение одной недели.

Разработчики, прошедшие сертификацию, могут заявить, что они прошли независимую проверку App Defense Alliance.

Нет, сертификация MASA является ежегодной и предназначена для оценки момента времени. Разработчикам следует продолжать поддерживать соответствие требованиям посредством внутренних оценок в рамках жизненного цикла разработки системы безопасности.

Ответственность за поддержание своей сертификации в силе лежит на разработчике.

Google получает отчет о проверке только от партнеров авторизованной лаборатории, в котором указывается, соответствует ли приложение требованиям или нет. Никакой код приложения, результаты сканирования или обнаруженные уязвимости не передаются и не раскрываются Google в рамках проверки.

Оценки MASA проводятся сторонними авторизованными лабораториями. Если вы не согласны с результатами оценки или у вас есть вопросы относительно статуса вашего соответствия, вы можете обратиться непосредственно в лабораторию, которая инициировала тестирование вашего приложения.

Разработчики могут отправить предварительную сборку в лабораторию для предварительного тестирования, но окончательная сертифицированная версия должна быть официальным APK, опубликованным в магазине Google Play.

Обфускация может затруднить оценку вашего приложения инструментами лабораторного тестирования. В этих случаях от вас может потребоваться отправить дополнительные ресурсы в лаборатории для облегчения тестирования, и за это может взиматься дополнительная плата.