owasp/android-security-masterclassLaboratorio pratico di formazione sulla sicurezza Android di OWASP con 78 moduli MASVS/MASTG che abbinano app vulnerabili, sicure e di attacco per dimostrare le debolezze mobile e le relative correzioni.
Progetto OWASP Ufficiale — Un laboratorio pratico di formazione sulla sicurezza OWASP MASVS/MASTG per sviluppatori Android e pentester — Architettura a Specchio: Vulnerabile ↔ Sicuro ↔ Attaccante
L'Android Security Masterclass è un progetto OWASP ufficiale progettato con un'Architettura a Specchio per insegnare agli sviluppatori Android e ai ricercatori di sicurezza esattamente come appaiono le vulnerabilità e esattamente come correggerle utilizzando le moderne pratiche di sviluppo Android.
Invece di cercare bug in codebase Java obsolete, questo progetto utilizza uno stack tecnologico all'avanguardia (Kotlin, Jetpack Compose, MVVM, Material 3) ed è strutturato attorno a un sistema "Package-by-Feature" altamente scalabile.
🌐 Portale del Progetto OWASP e Documentazione:
- Pagina del Progetto OWASP: https://owasp.org/projects/android-security-masterclass
- Portale della Documentazione: https://owasp.github.io/Android-Security-Masterclass/
- Whitepaper e Matrice di Mappatura dei 78 Moduli: Disponibile nel portale della documentazione.
graph TD
COMMON("🧱 :common<br/>Shared Data · Theme<br/>Dashboard Metadata")
subgraph FEATURES ["📦 Package-by-Feature (78 Isolated MASWE Modules)"]
direction LR
M1(":features:maswe0001<br/>Private Storage")
M2(":features:maswe0002<br/>External Storage")
M5(":features:maswe0005<br/>Logging Leaks")
MDOT("...<br/>... ")
M78(":features:maswe0078<br/>Privacy")
end
VULN("❌ :app-vulnerable<br/>Thin Shell Orchestrator")
SEC("✅ :app-secure<br/>Thin Shell Orchestrator")
ATK("😈 :app-attacker<br/>Simulated Malware")
COMMON --> FEATURES
FEATURES -- "Insecure Implementation" --> VULN
FEATURES -- "Hardened Implementation" --> SEC
VULN -. "Active Exploit<br/>IPC / Logcat" .-> ATK
classDef common fill:#4A90D9,stroke:#2C5F8A,color:#fff,stroke-width:2px,font-weight:bold
classDef feat fill:#F39C12,stroke:#D35400,color:#fff,stroke-width:2px,font-weight:bold
classDef vuln fill:#E74C3C,stroke:#C0392B,color:#fff,stroke-width:2px,font-weight:bold
classDef secure fill:#27AE60,stroke:#1E8449,color:#fff,stroke-width:2px,font-weight:bold
classDef attacker fill:#8E44AD,stroke:#6C3483,color:#fff,stroke-width:2px,font-weight:bold
class COMMON common
class M1,M2,M5,MDOT,M78 feat
class VULN vuln
class SEC secure
class ATK attacker
Il progetto utilizza un'architettura Iper-Modulare che comprende oltre 80 moduli totali:
| Livello del Modulo | Ruolo | Stato |
|---|---|---|
:common | Le fondamenta. Contiene il generatore di payload ad alta fedeltà MasterclassData, i metadati della Dashboard, il tema UI principale e i componenti di navigazione generici. | Fondamenta ✅ |
:features:masweXXXX | 78 moduli Gradle completamente isolati (da 0001 a 0078). Ogni modulo contiene sia la logica vulnerabile che quella sicura per una singola debolezza specifica, impedendo completamente la fuga di codice tra moduli. | 78 Moduli Generati ✅ |
:app-vulnerable | Un'app orchestratrice "Thin Shell". Collega insieme i componenti UI non sicuri di tutti i 78 moduli feature per dimostrare l'esatta conseguenza delle violazioni OWASP. | Attivo ✅ |
:app-secure | Un'app orchestratrice "Thin Shell". Collega insieme le implementazioni sicure utilizzando standard moderni (Jetpack Security, Tink, SQLCipher, ProGuard). | Attivo ✅ |
:app-attacker | Un'app malevola di terze parti simulata. Dimostra exploit IPC dal vivo tramite un processo secondario in esecuzione contemporaneamente sul dispositivo. | Attivo ✅ |
MasterclassDataA differenza di altri progetti educativi che utilizzano dati banali ("admin:password"), le nostre simulazioni di leak utilizzano payload di livello regolamentare:
💡 Suggerimento: Puoi visualizzare tutti questi dati simulati in tempo reale sul tuo dispositivo cliccando il pulsante "Data Vault" sulla Dashboard dell'app vulnerabile o sicura.
Abbiamo mappato l'intero standard OWASP MASVS in 78 moduli distinti distribuiti su 8 domini:
I seguenti moduli hanno la loro logica di business, architettura MVI, unit test e simulazioni di attacco/difesa completamente implementati: