owasp/android-security-masterclassOWASP-Praktikumslab für Android-Sicherheitsschulung mit 78 MASVS/MASTG-Modulen, die verwundbare, sichere und Angreifer-Apps kombinieren, um mobile Schwachstellen und ihre Behebungen zu demonstrieren.
Offizielles OWASP-Projekt — Ein praxisorientiertes OWASP MASVS/MASTG-Sicherheitstraining-Labor für Android-Entwickler & Pentester — Spiegelarchitektur: Verwundbar ↔ Sicher ↔ Angreifer
Die Android Security Masterclass ist ein offizielles OWASP-Projekt, das mit einer Spiegelarchitektur entwickelt wurde, um Android-Entwicklern und Sicherheitsforschern genau zu zeigen, wie Schwachstellen aussehen und genau, wie man sie mit modernen Android-Entwicklungspraktiken behebt.
Anstatt in veralteten Java-Codebasen nach Fehlern zu suchen, verwendet dieses Projekt einen hochmodernen Tech-Stack (Kotlin, Jetpack Compose, MVVM, Material 3) und ist um ein massiv skalierbares "Package-by-Feature"-System herum strukturiert.
🌐 OWASP-Projektportal & Dokumentation:
- OWASP-Projektseite: https://owasp.org/projects/android-security-masterclass
- Dokumentationsportal: https://owasp.github.io/Android-Security-Masterclass/
- Whitepaper & 78-Modul-Zuordnungsmatrix: Verfügbar im Dokumentationsportal.
graph TD
COMMON("🧱 :common<br/>Shared Data · Theme<br/>Dashboard Metadata")
subgraph FEATURES ["📦 Package-by-Feature (78 Isolated MASWE Modules)"]
direction LR
M1(":features:maswe0001<br/>Private Storage")
M2(":features:maswe0002<br/>External Storage")
M5(":features:maswe0005<br/>Logging Leaks")
MDOT("...<br/>... ")
M78(":features:maswe0078<br/>Privacy")
end
VULN("❌ :app-vulnerable<br/>Thin Shell Orchestrator")
SEC("✅ :app-secure<br/>Thin Shell Orchestrator")
ATK("😈 :app-attacker<br/>Simulated Malware")
COMMON --> FEATURES
FEATURES -- "Insecure Implementation" --> VULN
FEATURES -- "Hardened Implementation" --> SEC
VULN -. "Active Exploit<br/>IPC / Logcat" .-> ATK
classDef common fill:#4A90D9,stroke:#2C5F8A,color:#fff,stroke-width:2px,font-weight:bold
classDef feat fill:#F39C12,stroke:#D35400,color:#fff,stroke-width:2px,font-weight:bold
classDef vuln fill:#E74C3C,stroke:#C0392B,color:#fff,stroke-width:2px,font-weight:bold
classDef secure fill:#27AE60,stroke:#1E8449,color:#fff,stroke-width:2px,font-weight:bold
classDef attacker fill:#8E44AD,stroke:#6C3483,color:#fff,stroke-width:2px,font-weight:bold
class COMMON common
class M1,M2,M5,MDOT,M78 feat
class VULN vuln
class SEC secure
class ATK attacker
Das Projekt verwendet eine hypermodulare Architektur mit insgesamt über 80 Modulen:
| Modulschicht | Rolle | Status |
|---|---|---|
:common | Das Fundament. Enthält den hochpräzisen Payload-Generator MasterclassData, Dashboard-Metadaten, das Kern-UI-Theme und generische Navigationskomponenten. | Fundament ✅ |
:features:masweXXXX | 78 vollständig isolierte Gradle-Module (0001 bis 0078). Jedes Modul enthält sowohl die verwundbare als auch die sichere Logik für eine einzelne spezifische Schwachstelle, wodurch Code-Leckagen zwischen Modulen vollständig verhindert werden. | 78 Module generiert ✅ |
:app-vulnerable | Eine "Thin Shell"-Orchestrator-App. Sie verbindet die unsicheren UI-Komponenten aus allen 78 Feature-Modulen, um die genauen Konsequenzen von OWASP-Verstößen zu demonstrieren. | Aktiv ✅ |
:app-secure | Eine "Thin Shell"-Orchestrator-App. Verbindet die sicheren Implementierungen unter Verwendung moderner Standards (Jetpack Security, Tink, SQLCipher, ProGuard). | Aktiv ✅ |
:app-attacker | Eine simulierte bösartige Drittanbieter-App. Demonstriert Live-IPC-Exploits über einen sekundären Prozess, der gleichzeitig auf dem Gerät läuft. | Aktiv ✅ |
MasterclassDataAnders als andere Bildungsprojekte, die triviale Daten verwenden ("admin:password"), nutzen unsere Leak-Simulationen regulierungskonforme Payloads:
💡 Tipp: Sie können alle diese simulierten Daten live auf Ihrem Gerät anzeigen, indem Sie auf die Schaltfläche "Data Vault" im Dashboard der verwundbaren oder der sicheren App klicken.
Wir haben den gesamten OWASP-MASVS-Standard in 78 verschiedene Module über 8 Domänen abgebildet:
Die folgenden Module haben ihre Geschäftslogik, MVI-Architektur, Unit-Tests und Angriffs-/Verteidigungssimulationen vollständig implementiert: