Content Available in Spanish Only
This article is currently available only in Spanish. We're working on translations.
Available in: ES • Tip: Use your browser's translation feature or visit the Spanish version
¿Qué es el OWASP MASVS?
El Mobile Application Security Verification Standard (MASVS) es el estándar de referencia de OWASP para la seguridad de aplicaciones móviles (iOS y Android). La versión actual es MASVS 2.1 (2023), una refactorización completa que abandona los niveles numéricos del MASVS 1.x en favor de controles organizados por dominio.
MASVS + MASTG = el estándar completo de seguridad móvil
Los 6 grupos de controles del MASVS 2.1
MASVS-STORAGE — Almacenamiento seguro
MASVS-STORAGE-1: Sin datos sensibles en almacenamiento no cifrado
Datos sensibles (tokens, contraseñas, PII, datos biométricos) no deben almacenarse en texto claro en el sistema de archivos, SharedPreferences, UserDefaults, SQLite sin cifrado, logs, caché de pantalla o el portapapeles.
MASVS-CRYPTO — Criptografía
MASVS-CRYPTO-1: No usar criptografía débil o deprecada
Prohibido: DES, 3DES, RC2, RC4, MD5 (para integridad), SHA-1 (para firmas), algoritmos propietarios, IVs/salts hard-codeados, claves débiles generadas con Math.random().
MASVS-NETWORK — Comunicaciones
MASVS-NETWORK-1 y 2: TLS + Certificate Pinning
Toda comunicación de red debe usar TLS 1.2+ configurado correctamente. Para aplicaciones de alto valor (fintech, salud), implementar Certificate Pinning para prevenir ataques MITM incluso con CAs comprometidas.
MASVS-PLATFORM — Interacción con la plataforma
Controla el uso de IPC (Intent, URL Schemes), WebViews, permisos del sistema, y protección de datos en background (enmascarar pantallas con datos sensibles).
MASVS-RESILIENCE — Anti-tampering y Anti-reversing
Controles opcionales pero recomendados para apps de alto valor: detección de root/jailbreak, anti-debugging, anti-tampering de código, ofuscación, detección de emuladores.
OWASP MASTG — Cómo hacer el testing
El Mobile Application Security Testing Guide (MASTG) contiene:
- Tests: más de 100 tests específicos (MASTG-TEST-0001, MASTG-TEST-0002...) para verificar cada control del MASVS.
- Técnicas: cómo usar Frida, objection, apktool, jadx para análisis dinámico y estático.
- Casos de uso: interceptar tráfico con Burp Suite en Android/iOS, extraer tokens del Keychain, bypass de certificate pinning.