Progettazione e sviluppo di un framework centralizzato per la gestione di dispositivi mobili a supporto del testing di sicurezza

Abstract

Il security testing mobile richiede il coordinamento di diversi strumenti indipendenti—ADB, Frida, mitmproxy e Objection—su dispositivi fisici Android e iOS, un processo manuale, difficile da riprodurre e da scalare quando più tester condividono lo stesso pool di dispositivi di laboratorio. Questa tesi presenta un framework centralizzato di Mobile Device Management (MDM) progettato per il security testing mobile, anziché per l'applicazione di policy aziendali tipica delle soluzioni MDM commerciali. Il framework è organizzato in tre moduli indipendenti—Web, device manager Android e device manager iOS—che comunicano via HTTP e sono pacchettizzati con Docker Compose. I test sono definiti come configurazioni JSON multi-step che combinano Frida, mitmproxy, Objection e operazioni standard (ADB, ciclo di vita delle app, screenshot, recupero file), con variabili segnaposto riutilizzabili su app diverse. Un motore di valutazione automatizza il ciclo snapshot-installazione-esecuzione-ripristino su più app e dispositivi senza intervento manuale. L'implementazione Android è stata validata al laboratorio DIBRIS dell'Università di Genova su 4 dispositivi fisici: un run su 20 app (80 iterazioni, 64 riuscite) e un run esteso su 50 app (200 iterazioni, 182 riuscite), ciascuno avviato con un'unica azione dal browser, con overhead per iterazione di 5–12 secondi.

Mobile security testing requires coordinating several independent tools—ADB, Frida, mitmproxy, and Objection—across physical Android and iOS devices, a process that is largely manual, hard to reproduce, and difficult to scale when testers share a lab device pool. This thesis presents a centralized Mobile Device Management (MDM) framework built specifically to support mobile security testing, rather than the enterprise policy enforcement targeted by commercial MDM solutions. The framework is organized as three independently deployable modules—a Web management module, an Android device manager, and an iOS device manager—communicating over HTTP and packaged with Docker Compose. Security tests are defined as JSON-based, multi-step configurations combining dynamic instrumentation (Frida, including spawn mode and automatic Java-bridge compilation), network traffic interception (mitmproxy), runtime exploration (Objection), and standard device operations (ADB shell commands, app lifecycle control, screenshots, file retrieval), with placeholder variables letting one configuration run across different applications. An experimental evaluation engine automates the snapshot-install-execute-restore cycle across multiple applications and devices without manual intervention. The Android implementation was validated at the DIBRIS security lab of the University of Genoa across two unattended batches on 4 physical devices: an initial run over 20 applications (80 iterations, 64 successful) and an extended run over 50 applications (200 iterations, 182 successful), each launched from a single browser action. Every successful iteration produced a complete archive of logs, screenshots, traffic captures, and extracted app data; four applications failed identically across all devices in both runs, demonstrating the framework's error resilience at scale, with per-iteration overhead of roughly 5–12 seconds.