¿Qué tan seguras son las apps de Flutter? 

¿Qué es Flutter?

Flutter es un marco de código abierto para desarrollar aplicaciones móviles desarrollado por Google y está basado en el lenguaje Dart. Está optimizado para el desarrollo multiplataforma que admite múltiples entornos con un solo código, ya que puede ejecutarse en varias plataformas, incluidas Android e iOS, así como en la web, el escritorio y los dispositivos IoT.
Recientemente se ha establecido como una potencia en el desarrollo de aplicaciones móviles debido a su rápida velocidad de desarrollo, alta escalabilidad, ricos componentes de interfaz de usuario y soporte de animación, y es la elección de muchos desarrolladores y empresas.

Seguridad de las aplicaciones Flutter: ¿Es realmente peor que las aplicaciones nativas?

Sin embargo, Flutter tiene algunas deficiencias en términos de seguridad que a menudo se pasan por alto. En particular, la seguridad en un entorno móvil es una necesidad más que una opción, pero a menudo se descuidan las consideraciones de seguridad debido a un enfoque en la conveniencia y la velocidad del desarrollo.
Muchos desarrolladores pueden tener el prejuicio de que "Flutter es multiplataforma, por lo que su seguridad es débil", pero en realidad, dependiendo del método y la actitud de implementar la seguridad, puede implementar un nivel de seguridad que no es menor que el de las aplicaciones nativas. Lo que importa es cómo se aplica la seguridad, más que el marco en sí.
Las aplicaciones Flutter son inherentemente tan seguras como las aplicaciones nativas (Android/iOS), pero requieren medidas adicionales para la protección del código, el almacenamiento de datos y la seguridad de la red. En particular, puede ser vulnerable a amenazas de seguridad como fugas de código a través de la descompilación, almacenamiento de datos no cifrados y ataques del tipo "man-in-the-middle" (MITM).
Además, las técnicas recientes de piratería de aplicaciones móviles se están volviendo cada vez más sofisticadas y van más allá del simple análisis de código para incluir la manipulación de la memoria, el rastreo de redes y el uso de herramientas automatizadas. En particular, las aplicaciones Flutter tienen compilación AOT y simplicidad estructural, lo que permite a los atacantes comprender rápidamente la estructura del código al realizar ingeniería inversa, lo que hace que los métodos de seguridad tradicionales sean limitados en su respuesta.
En este blog, analizaremos qué vulnerabilidades de seguridad tienen las aplicaciones Flutter y analizaremos en profundidad las mejoras de seguridad que deben aplicarse para desarrollar una aplicación segura.

1. Vulnerabilidades de seguridad en aplicaciones Flutter: análisis comparativo con aplicaciones nativas

1) Problemas de protección del código: riesgo de descompilar el código Dart

Dart, el lenguaje subyacente de Flutter, tiene la ventaja y la desventaja de ser simple. Es intuitivo y fácil de usar, pero para los desarrolladores experimentados no es tan complejo como lenguajes como Kotlin o Swift. Dart se convierte a código nativo a través de la compilación AOT (Ahead-of-Time) durante el proceso de compilación. Sin embargo, existe el riesgo de que algunos metadatos y estructuras de código queden expuestos mediante ingeniería inversa durante este proceso. Especialmente si en el código del cliente se incluye información confidencial, como lógica de autenticación o claves API, existe el riesgo de que queden fácilmente expuestas mediante la descompilación. Por lo tanto, se recomienda aplicar ofuscación de código (--obfuscate, --split-debug-info) y proteger la lógica de seguridad central separándola en código nativo en el lado de Android o iOS.

2) Vulnerabilidad del almacenamiento de datos: el almacenamiento de datos básicamente no está cifrado.

En Flutter, el paquete SharedPreferences se usa comúnmente para almacenar información. Sin embargo, este método no admite el cifrado de forma predeterminada, por lo que existe el riesgo de que información confidencial, como tokens, información de inicio de sesión e información personal de los usuarios, quede fácilmente expuesta. Por lo tanto, al almacenar datos confidenciales como información de inicio de sesión o valores de identificación de usuario (ID), se recomienda almacenarlos utilizando SecureStorage, y se recomienda considerar una estructura en la que la información confidencial se administre en un servidor en lugar de localmente, si es posible.

3) Problemas de seguridad de la red: los ataques MITM son posibles si no se aplica SSL Pinning.

Las aplicaciones de Flutter generalmente usan bibliotecas como http o dio para manejar solicitudes de red al enviar y recibir datos de un servidor. Aunque durante este proceso se aplica la autenticación SSL básica, existe el riesgo de un ataque de intermediario (MITM), en el que un atacante intercepta las comunicaciones con un servidor falso porque no se verifica cuidadosamente el certificado del servidor para detectar falsificaciones. Las conexiones seguras entre su aplicación y su servidor son fundamentales, especialmente cuando se trata de datos confidenciales como inicios de sesión, pagos e información de usuarios. La aplicación de SSL Pinning para este propósito puede mejorar la seguridad al restringir la aplicación para que se comunique únicamente con servidores legítimos con certificados confiables. Esto también se puede implementar fácilmente en Flutter con configuraciones dio o un complemento dedicado.

4) Falta de verificación de seguridad para los paquetes (complementos)

Al desarrollar una aplicación Flutter, el uso de varios paquetes (complementos) hace que el desarrollo sea mucho más conveniente, pero el uso de paquetes cuya seguridad no ha sido verificada puede ser peligroso. Algunos paquetes pueden requerir permisos excesivos o pueden transmitir datos confidenciales externamente. Por lo tanto, incluso para los paquetes registrados en pub.dev, debes verificar la calificación, si se ha actualizado recientemente y si es código fuente abierto. Si es posible, es más seguro utilizar preferentemente paquetes proporcionados por desarrolladores confiables u oficiales.

2. Cómo fortalecer la seguridad de la aplicación Flutter con LIAPP

Flutter es conveniente porque se centra en el desarrollo rápido y la conveniencia centrada en la interfaz de usuario, pero en términos de seguridad, requiere una gestión más cuidadosa que las aplicaciones nativas. Como hemos visto anteriormente, existe un riesgo de exposición del código debido a la naturaleza del código Dart, y su alta dependencia de paquetes externos puede provocar fugas de información no deseadas o vulnerabilidades de seguridad. Además, debido a la naturaleza multiplataforma, existe una estructura que dificulta responder en detalle a todas las situaciones de seguridad. Para abordar estas vulnerabilidades de seguridad, puede aplicar potentes funciones de seguridad a su aplicación sin desarrollo adicional utilizando LIAPP, un servicio de seguridad de aplicaciones móviles profesional.

1) Ofuscación y cifrado de código crítico

Las aplicaciones creadas con Flutter se basan en código Dart, compilado en archivos de biblioteca nativos como libapp.so y distribuidos. Estos archivos nativos pueden contener lógica empresarial real o procesamiento sensible, lo que deja la implementación interna vulnerable a la ingeniería inversa.
Normalmente, Flutter usa el paquete de cifrado para imponer el cifrado de datos, pero si la lógica y la clave de cifrado residen dentro del cliente, aún existen vulnerabilidades de seguridad. Por lo tanto, el cifrado simple a nivel lógico no es suficiente y se necesitan medidas para proteger la propia biblioteca nativa.
LIAPP puede mejorar aún más la seguridad al proporcionar verificación de integridad y protección antimanipulación para los archivos .so que contienen la lógica central de las aplicaciones Flutter a través de la protección de biblioteca nativa, además de la ofuscación de la fuente Java. Al aplicar la función de ofuscación de código Java existente en paralelo, se crea un entorno de seguridad que puede responder tanto a estructuras nativas como híbridas.

2) Protección de datos a través de diversas funciones de seguridad

Los paquetes flutter_secure_storage y sqflite_sqlcipher de Flutter son efectivos para cifrar y almacenar datos confidenciales dentro de las aplicaciones, pero la protección completa es difícil porque la lógica de cifrado o las claves en sí aún pueden quedar expuestas. Sin embargo, el uso de una solución de seguridad como LIAPP puede ayudar a fortalecer la seguridad general de su aplicación al proporcionar funciones de seguridad como protección de memoria, detección y bloqueo de depuración, detección de rooteo, detección de máquinas virtuales y detección de herramientas de piratería. LIAPP va más allá del simple cifrado de datos para proteger todo el entorno de ejecución de la aplicación, ayudándole a contrarrestar técnicas de piratería avanzadas como la ingeniería inversa y la manipulación de la memoria. En particular, tiene la gran ventaja de poder evitar la fuga de claves lógicas o de cifrado que contengan información sensible, reforzando así la seguridad de las unidades de ejecución que son difíciles de implementar directamente para los desarrolladores.

3) Complementar el SSL Pinning en términos de seguridad de la red

La aplicación de SSL Pinning a las solicitudes de red en Flutter puede prevenir ataques MITM básicos, pero es difícil considerar que SSL Pinning basado en código fuente abierto es una medida de seguridad completa porque ya se conocen varios métodos de evitación.
Por lo tanto, para fortalecer la seguridad de la red Flutter, es más efectivo utilizar la función SSL Pinning de LIAPP para verificar dinámicamente los certificados durante la ejecución de la aplicación y para detectar y bloquear servidores proxy maliciosos o entornos de red anormales.

Los paquetes externos utilizados en Flutter son útiles para acelerar el desarrollo, pero pueden ser vulnerables a vulnerabilidades de seguridad, por lo que se requiere precaución. Al elegir un paquete, es una buena idea verificar su calificación de estrellas de GitHub, confirmaciones recientes, estado de mantenimiento y revisar cualquier solicitud de permiso sospechosa o lógica interna. También es importante comprobar periódicamente si hay actualizaciones de paquetes y utilizar las últimas versiones con parches de seguridad. La introducción de un escáner de vulnerabilidades en su flujo de trabajo de CI/CD le ayudará a detectar riesgos de seguridad con anticipación. Y, sobre todo, es importante no confiar únicamente en paquetes relacionados con la seguridad, sino introducir una solución de seguridad especializada como LIAPP para proteger la integridad de toda la aplicación y su entorno de ejecución. Esto también ayudará a prevenir con antelación incidentes de seguridad causados ​​por vulnerabilidades de paquetes.

Al gestionar estas prácticas de forma consistente, las aplicaciones Flutter también pueden crear un entorno de seguridad sólido que es superior al de las aplicaciones nativas.

LIAPP, brindando sólo los mejores servicios.