Mobile Application Security

Obra de referencia publicada en 2010 por McGraw-Hill y escrita por investigadores líderes de la firma iSEC Partners (Himanshu Dwivedi, Chris Clark y David Thiel), enfocada en los principios de seguridad, análisis de amenazas y diseño defensivo para la primera generación masiva de smartphones y dispositivos portátiles. Está orientada a profesionales de seguridad informática, auditores de software y desarrolladores móviles con nivel intermedio que poseían bases previas en sistemas operativos y programación básica en lenguajes como C, C++, Java u Objective-C.

El texto desglosa minuciosamente las arquitecturas de seguridad, modelos de aislamiento (sandboxing) y esquemas de permisos de sistemas como Google Android, Apple iPhone OS (primeras versiones de iOS), Windows Mobile, BlackBerry OS con BlackBerry Enterprise Server (BES), SymbianOS, Java ME y HP/Palm webOS. Cubre el almacenamiento local seguro y cifrado en disco, criptografía de clave pública y simétrica, prevención de desbordamientos de búfer (buffer overflows) e inyecciones SQL en bases de datos integradas como SQLite. Asimismo, examina vectores de ataque basados en protocolos periféricos como Bluetooth, servicios de mensajería SMS, geolocalización (GPS), y amenazas web móviles sobre WAP y navegadores móviles, tales como cross-site scripting (XSS), cross-site request forgery (CSRF) y secuestro de sesiones.

La metodología no propone el desarrollo guiado de una aplicación comercial integral, sino el análisis riguroso de modelos conceptuales de amenazas, pautas de mitigación a nivel de código y configuraciones de seguridad mediante emuladores y depuradores (debuggers) propios de cada plataforma. Constituye un documento fundacional valioso para entender las raíces y la evolución de los mecanismos de sandboxing modernos; sin embargo, gran parte de los sistemas abordados (Symbian, Windows Mobile, BlackBerry, webOS) han quedado obsoletos y las versiones iniciales de Android e iOS han cambiado drásticamente. Resulta especialmente útil para historiadores tecnológicos, auditores de dispositivos heredados y profesionales interesados en fundamentos arquitectónicos de bajo nivel.