owasp/android-security-masterclassLaboratório prático de treinamento em segurança Android da OWASP com 78 módulos MASVS/MASTG que combinam aplicativos vulneráveis, seguros e de atacante para demonstrar fraquezas móveis e suas correções.
Projeto Oficial da OWASP — Um Laboratório Prático de Treinamento em Segurança OWASP MASVS/MASTG para Desenvolvedores Android e Pentesters — Arquitetura Espelhada: Vulnerável ↔ Seguro ↔ Atacante
O Android Security Masterclass é um projeto oficial da OWASP projetado com uma Arquitetura Espelhada para ensinar desenvolvedores Android e pesquisadores de segurança exatamente como as vulnerabilidades se parecem e exatamente como corrigi-las usando práticas modernas de desenvolvimento Android.
Em vez de caçar bugs em bases de código Java desatualizadas, este projeto utiliza uma stack tecnológica de ponta (Kotlin, Jetpack Compose, MVVM, Material 3) e é estruturado em torno de um sistema "Package-by-Feature" massivamente escalável.
🌐 Portal do Projeto OWASP & Documentação:
- Página do Projeto OWASP: https://owasp.org/projects/android-security-masterclass
- Portal de Documentação: https://owasp.github.io/Android-Security-Masterclass/
- Whitepaper & Matriz de Mapeamento de 78 Módulos: Disponível no portal de documentação.
graph TD
COMMON("🧱 :common<br/>Shared Data · Theme<br/>Dashboard Metadata")
subgraph FEATURES ["📦 Package-by-Feature (78 Isolated MASWE Modules)"]
direction LR
M1(":features:maswe0001<br/>Private Storage")
M2(":features:maswe0002<br/>External Storage")
M5(":features:maswe0005<br/>Logging Leaks")
MDOT("...<br/>... ")
M78(":features:maswe0078<br/>Privacy")
end
VULN("❌ :app-vulnerable<br/>Thin Shell Orchestrator")
SEC("✅ :app-secure<br/>Thin Shell Orchestrator")
ATK("😈 :app-attacker<br/>Simulated Malware")
COMMON --> FEATURES
FEATURES -- "Insecure Implementation" --> VULN
FEATURES -- "Hardened Implementation" --> SEC
VULN -. "Active Exploit<br/>IPC / Logcat" .-> ATK
classDef common fill:#4A90D9,stroke:#2C5F8A,color:#fff,stroke-width:2px,font-weight:bold
classDef feat fill:#F39C12,stroke:#D35400,color:#fff,stroke-width:2px,font-weight:bold
classDef vuln fill:#E74C3C,stroke:#C0392B,color:#fff,stroke-width:2px,font-weight:bold
classDef secure fill:#27AE60,stroke:#1E8449,color:#fff,stroke-width:2px,font-weight:bold
classDef attacker fill:#8E44AD,stroke:#6C3483,color:#fff,stroke-width:2px,font-weight:bold
class COMMON common
class M1,M2,M5,MDOT,M78 feat
class VULN vuln
class SEC secure
class ATK attacker
O projeto utiliza uma arquitetura Hiper-Modular abrangendo mais de 80 módulos no total:
| Camada de Módulo | Função | Status |
|---|---|---|
:common | A fundação. Contém o gerador de payload de alta fidelidade MasterclassData, metadados do Dashboard, tema de UI principal e componentes genéricos de navegação. | Fundação ✅ |
:features:masweXXXX | 78 módulos Gradle totalmente isolados (0001 a 0078). Cada módulo contém tanto a lógica vulnerável quanto a segura para uma única fraqueza específica, prevenindo completamente o vazamento de código entre módulos. | 78 Módulos Gerados ✅ |
:app-vulnerable | Um app orquestrador "Thin Shell". Ele conecta os componentes de UI inseguros de todos os 78 módulos de feature para demonstrar a consequência exata das violações da OWASP. | Ativo ✅ |
:app-secure | Um app orquestrador "Thin Shell". Conecta as implementações seguras utilizando padrões modernos (Jetpack Security, Tink, SQLCipher, ProGuard). | Ativo ✅ |
:app-attacker | Um app malicioso de terceiros simulado. Demonstra exploits de IPC ao vivo através de um processo secundário executando concorrentemente no dispositivo. | Ativo ✅ |
MasterclassDataDiferente de outros projetos educacionais que usam dados triviais ("admin:password"), nossas simulações de vazamento usam payloads de nível regulatório:
💡 Dica: Você pode visualizar todos esses dados simulados ao vivo no seu dispositivo clicando no botão "Data Vault" no Dashboard do app vulnerável ou do seguro.
Mapeamos todo o padrão OWASP MASVS em 78 módulos distintos distribuídos em 8 domínios:
Os seguintes módulos têm sua lógica de negócio, arquitetura MVI, testes unitários e simulações de ataque/defesa totalmente implementados:
-assumenosideeffects) e wrappers SecureLog.adb backup ou backup em nuvem do Google Drive. Protegido via android:allowBackup="false", dataExtractionRules e fullBackupContent.