ما الذي تخبرك به درجة MobSF فعلًا
درجة MobSF ليست حكمًا على أمان تطبيقك. تعرّف كيف يشوّهها نوع البناء والنتائج الإيجابية الكاذبة والنقاط العمياء، وكيف تحوّل التقرير إلى ثغرات حقيقية مُقيَّمة.
يشغّل شريك أمني أو مدقق أو فريقك نفسه أداة MobSF على تطبيقك، فيعود رقم: لنقل 48 من 100. ردّ الفعل الطبيعي هو السؤال عن كيفية رفعها إلى 80. لكن السؤال الأفضل هو: مِمَّ تتكوّن هذه الـ48 فعلًا؟
في هذا المقال نشرح ما الذي تقيسه درجة MobSF، والطرق الثلاث التي تضلّلك بها، وكيف تحوّل تقرير أداة الفحص إلى ثغرات يمكن أن يتولاها شخص ما ويصلحها، مستعينين بأرقام حقيقية من تدقيق أجريناه لتطبيق مصرفي.
ما الذي يقيسه MobSF
يحلّل MobSF (Mobile Security Framework) الملف التنفيذي للتطبيق تحليلًا ثابتًا. فهو يقرأ ملف البيان (manifest)، ويفكّ ترجمة الشيفرة، ويسرد المكتبات، ويتحقق من الإعدادات وفق مجموعة من القواعد. وكل قاعدة تفشل تُخفض الدرجة.
هذا ما يجعل MobSF سريعًا وقابلًا للتكرار ومفيدًا. لكنه يعني أيضًا أن الدرجة تعكس أنماطًا في الملف التنفيذي، لا مدى أمان التطبيق أثناء الاستخدام.
📌 فكرة أساسية:
درجة MobSF تجيب عن سؤال «كم قاعدة أخفق فيها هذا الملف التنفيذي؟»، لا عن سؤال «ما مدى صعوبة مهاجمة هذا التطبيق؟».
ثلاث طرق تضلّلك بها الدرجة
1. نوع البناء يغيّر الدرجة
تحمل نسخ التصحيح (debug) إعدادات لا ينبغي أن تحملها نسخ الإصدار (release): علامات قابلية التصحيح، وإعدادات الاختبار، والتسجيل المفصّل، وغير ذلك. افحص النسخة الخطأ، وستكون قد قيّمت شيئًا لا يثبّته مستخدموك أبدًا.
في التطبيق المصرفي الذي دقّقناه، جاءت 6–7 نقاط من أصل 52 نقطة مفقودة من نوع البناء وحده. فقبل أن يغيّر أحد سطرًا واحدًا من الشيفرة، كان جزء من المشكلة ببساطة هو الملف الذي جرى فحصه.
2. «آمن» ليس آمنًا دائمًا
القواعد الثابتة تطابق الأنماط. فحين تبدو الشيفرة تنفيذًا صحيحًا، تنجح القاعدة، حتى لو كانت آلية الحماية لا تعمل كما يبدو. في التدقيق نفسه، تبيّن أن فحصين وُصفا بأنهما آمنان كانا نتيجتين إيجابيتين كاذبتين. العلامة الخضراء ادّعاء يجب التحقق منه، لا خلاصة نهائية.
3. أداة الفحص لا ترى المنطق
بعض أخطر نقاط الضعف في تطبيقات الجوال تكمن في المنطق لا في الإعدادات:
-
مسار مصادقة يثق بعلامة من جهة العميل.
-
تسجيل دخول بالبصمة يكتفي بالتحقق من استدعاء النجاح (callback).
-
بيانات حساسة تُكتب في التخزين في موضع لا تفحصه القواعد.
لا يغيّر أيّ من هذه الحالات الدرجة الثابتة بشكل موثوق. إنها تحتاج إلى مراجعة بشرية.
كيف تقرأ تقرير MobSF بالشكل الصحيح
-
أعد إنتاج الدرجة على نسخة الإصدار. فمن دون خط أساس قابل للتكرار، لا يمكن إثبات أي تحسّن.
-
قسّم النقاط المفقودة إلى فئات: ضجيج نوع البناء، وثغرات إعدادات حقيقية، ونتائج تحتاج إلى سياق.
-
تحقّق من العلامات الخضراء في كل ما هو حرج أمنيًا.
-
أجرِ تدقيقًا يدويًا وفق OWASP Mobile Top 10 (2024) لتغطية ما لا تراه أداة الفحص.
-
قيّم كل ثغرة حقيقية باستخدام CVSS، لكي تتبع الأولويات درجة الخطورة لا كثرة العدد.
الدرجة مقابل النتائج
| الجانب | درجة MobSF الخام | النتائج بعد التدقيق |
| ما الذي تعدّه | القواعد التي أخفق فيها الملف التنفيذي | نقاط ضعف حقيقية جرى التحقق منها |
| ضجيج نوع البناء | مُضمَّن | مُستبعَد |
| علامات «آمن» الكاذبة | مخفية | مُحدَّدة |
| أخطاء المنطق | غير مرئية في الغالب | تغطيها المراجعة اليدوية |
| ترتيب الأولويات | لا يوجد | درجة CVSS لكل ثغرة |
كيف تساعدك Mobian
في Mobian، بدأ التدقيق الذي تقف خلفه هذه الأرقام من درجة 48/100 وانتهى بـ48 ثغرة مُقيَّمة وفق CVSS و124 إصلاحًا مُتتبَّعًا. إذا كان لديك تقرير MobSF بالفعل، يمكننا أن نقدّم لك قراءة في صفحة واحدة توضح ما هو حقيقي فيه، وما هو ضجيج، وما يستحق نظرة ثانية. وللحصول على صورة كاملة، تضيف خدمتنا Mobile Security Teardown، التي تستغرق أسبوعين، تدقيقًا يدويًا وفق OWASP وخطة معالجة محسوبة التكلفة.
الخلاصة
MobSF أداة جيدة تُستخدم في غير موضعها حين تُعامَل درجتها كحكم نهائي. افحص نسخة الإصدار، وافصل الضجيج عن النتائج الحقيقية، وتحقّق من العلامات الخضراء، ودقّق المنطق يدويًا. الرقم أقل أهمية من قائمة الثغرات الحقيقية المُقيَّمة التي تخرج منه.
الأسئلة الشائعة
ما هو MobSF؟
MobSF (Mobile Security Framework) أداة مفتوحة المصدر تحلّل الملفات التنفيذية لتطبيقات Android وiOS. يفحص تحليلها الثابت ملف البيان (manifest) والشيفرة والمكتبات والإعدادات، ثم يُصدر تقريرًا بدرجة أمان من 0 إلى 100.
لماذا تغيّرت درجة MobSF بين فحصين للتطبيق نفسه؟
السبب الأكثر شيوعًا هو نوع البناء. فنسخة التصحيح (debug) تحمل إعدادات لا تحملها نسخة الإصدار (release)، مثل علامات قابلية التصحيح وإعدادات الاختبار، والأداة تخصم نقاطًا بسببها. في أحد التدقيقات التي أجريناها، جاءت 6–7 نقاط من أصل 52 نقطة خسرها التطبيق من نوع البناء وحده. افحص دائمًا النسخة التي يثبّتها مستخدموك.
هل يمكن أن يكون فحص وصفه MobSF بأنه آمن خاطئًا؟
نعم. التحليل الثابت يطابق الأنماط ولا يفهم المقصد. في تدقيق لأحد التطبيقات المصرفية، تبيّن أن فحصين أبلغت الأداة أنهما آمنان كانا نتيجتين إيجابيتين كاذبتين. كل فحص مهم، ناجحًا كان أو فاشلًا، يستحق مراجعة يدوية.
ما الذي لا يكتشفه MobSF؟
الفحص الثابت يرى الملف التنفيذي لا منطق العمل. لا يستطيع أن يحكم هل يمكن تجاوز مسار المصادقة، أو هل تسجيل الدخول بالبصمة مربوط بمفتاح، أو هل تُخزَّن البيانات الحساسة بشكل صحيح في سياقها. هذا يحتاج إلى تدقيق يدوي، على سبيل المثال وفق OWASP Mobile Top 10 (2024).
هل تستطيع Mobian شرح تقرير MobSF الخاص بنا؟
نعم. إذا أرسلت إلينا ملف APK الخاص بك أو تقرير MobSF، نعيد إليك قراءة في صفحة واحدة توضح ما هو حقيقي، وما هو ضجيج ناتج عن نوع البناء، وما قد يكون علامة «آمن» كاذبة. ولا نفعل ذلك إلا بطلب من مالك التطبيق، فنحن لا نفحص أبدًا التطبيق العام لأي شركة دون دعوة.