OWASP MASVS ve MASTG 2026: Mobil Uygulama Güvenliği Standardı ve Test Rehberi

Merhaba arkadaşlar,

Mobil uygulama güvenliği test ederken "nereye bakmalıyım, bir uygulama ne zaman yeterince güvenli?" sorusunun standart bir cevabı var: OWASP Mobile Application Security (MAS) projesi. Bu proje; neyin test edileceğini söyleyen MASVS'yi, nasıl test edileceğini anlatan MASTG'yi ve ikisini birbirine bağlayan MASWE zayıflık kataloğunu içerir. 2026, bu proje için büyük bir yıl oldu: MASTG v2.0.0 (Haziran 2026) ve MASWE v1.0.0 (Ağustos 2026) ilk kararlı sürümleriyle yayımlandı. Bu rehberde bu üç bileşeni resmi kaynaklara dayanarak açıklıyor ve kendi uygulamanız için nasıl bir test planı kuracağınızı gösteriyorum.

Konuda Anlatılacaklar

1. OWASP MAS projesi nedir?
   
2. MASVS: kontrol kategorileri
   
3. MASTG v2.0.0: atomik test yapısı
   
4. MASWE v1.0.0: zayıflık kataloğu
   
5. İzlenebilirlik zinciri
   
6. Test profilleri (L1, L2, R)
   
7. Kendi uygulamanız için test planı
   

OWASP MAS Projesi Nedir?

OWASP MAS, mobil uygulama güvenliği için fiili dünya standardıdır. Google'ın MASA programı (App Defense Alliance), CREST OVS, NIST SP 800-163r1 ve 800-218 gibi birçok program bu projeyi referans alır. Üç ana bileşeni vardır: MASVS (standart), MASTG (test rehberi) ve MASWE (zayıflık numaralandırması). 2022'de proje adı MSTG'den MAS'a değişti ve o zamandan beri modüler, izlenebilir bir yapıya dönüştü.


MASVS: Kontrol Kategorileri

Mobile Application Security Verification Standard (MASVS, güncel sürüm v2.1.0), platformdan bağımsız kontrolleri kategoriler halinde tanımlar:

• MASVS-STORAGE: Hassas verinin cihazda güvenli saklanması.
  
• MASVS-CRYPTO: Güncel ve doğru kriptografi kullanımı.
  
• MASVS-AUTH: Kimlik doğrulama ve yetkilendirme.
  
• MASVS-NETWORK: Güvenli ağ iletişimi (TLS vb.).
  
• MASVS-PLATFORM: Platform (IPC, WebView, ekran) etkileşimleri.
  
• MASVS-CODE: Kod kalitesi ve güncel bağımlılıklar.
  
• MASVS-RESILIENCE: Tersine mühendisliğe ve kurcalamaya karşı dayanıklılık.
  
• MASVS-PRIVACY: Kullanıcı mahremiyeti (v2.1.0 ile eklendi).
  

MASVS "ne" sorusunu yanıtlar; her kontrol soyuttur ve bilinçli olarak platform belirtmez.

MASTG v2.0.0: Atomik Test Yapısı

Mobile Application Security Testing Guide (MASTG), kontrolleri nasıl test edeceğinizi gösterir. Resmi duyuruya göre v2.0.0 (Haziran 2026) ilk kararlı, tamamen yeniden yapılandırılmış sürümdür. Eski "kitap bölümü" formatı yerini modüler, kimlikli bileşenlere bıraktı:

• MASTG-TEST-****: Atomik testler (285 adet).
  
• MASTG-DEMO-****: Çalışan kod örnekleriyle gösterimler (152 adet).
  
• MASTG-TECH-****: Teknikler (167 adet).
  
• MASTG-TOOL-****: Araçlar (135 adet).
  
• MASTG-BEST-****: En iyi uygulamalar (72 adet).
  

Her v2 testi atomik bir kontrol içerir ve sabit bir yapıya sahiptir: üst veri (platform, tür, zayıflık), Overview, Steps, Observation ve Evaluation (geçti/kaldı ölçütü). Bu yapı, testi otomatikleştirmeyi ve raporda kesin biçimde atıf vermeyi mümkün kılar.


MASWE v1.0.0: Zayıflık Kataloğu

Mobile Application Security Weakness Enumeration (MASWE), soyut MASVS kontrolleri ile somut MASTG testleri arasındaki boşluğu doldurur; tıpkı yazılım dünyasında CWE'nin yaptığı gibi. Resmi duyuruya göre v1.0.0 (Ağustos 2026) ilk kararlı sürümdür ve 78 zayıflık içerir (MASWE-0001'den MASWE-0078'e, kategorilere göre gruplu). Her zayıflık; tek cümlelik tanım, ortaya çıkma biçimleri (modes of introduction), etki ve azaltma (mitigations) bölümleriyle standart bir yapıdadır. Örneğin MASWE-0001'den 0006'ya kadar MASVS-STORAGE zayıflıkları yer alır.

İzlenebilirlik Zinciri

Üç bileşen tek bir zincir oluşturur:


Örnek: "Uygulama güncel güçlü kriptografi kullanır" (MASVS-CRYPTO-1) kontrolü, "öngörülebilir rastgele sayı üretimi" (MASWE) zayıflığına, oradan "Android'de güvensiz random API kullanımı" testine (MASTG-TEST), oradan da Random() yerine SecureRandom() kullanımını gösteren bir demoya bağlanır. Bu zincir sayesinde "MASVS-STORAGE-2 başarısız" gibi belirsiz bir ifade yerine, "MASWE-0005 başarısız, ortaya çıkma biçimi: üretimde ayrıntılı loglama" gibi aksiyon alınabilir bir bulgu yazabilirsiniz.


Test Profilleri (L1, L2, R)

MASVS v2'de eski L1/L2/R doğrulama seviyeleri, MASTG'ye "test profilleri" olarak taşındı:

• L1: Tüm uygulamalar için temel güvenlik.
  
• L2: Hassas veri işleyen uygulamalar (bankacılık, sağlık) için savunma derinliği.
  
• R (Resilience): Tersine mühendislik ve kurcalamaya karşı ek dayanıklılık (ör. DRM, fikri mülkiyet koruması).
  

Uygulamanızın risk düzeyine göre uygun profili seçip o profildeki testleri çalıştırırsınız. Bir not uygulaması için L1 yeterliyken, bir mobil bankacılık uygulaması L2+R gerektirir.

İleri Seviye: Kendi Uygulamanız İçin Test Planı

Pratik bir yol haritası:

1. Uygulamanızın risk düzeyine göre bir profil seçin (L1/L2/R).
   
2. İlgili MASVS kategorilerini belirleyin (örneğin veri saklayan bir uygulama için STORAGE, CRYPTO, NETWORK öncelikli).
   
3. Her kategori için MASTG testlerini uygulayın; statik bulgular için MobSF, dinamik için Frida kullanabilirsiniz.
   
4. Her bulguyu ilgili MASWE kimliğiyle etiketleyin ve MASTG-BEST maddesiyle düzeltme önerisi verin.
   
5. Sonuçları bir kontrol listesi olarak raporlayın.
   

OWASP, bu amaçla indirilebilir MAS kontrol listeleri (checklist) de yayımlar; testlerinizi bu listeyle takip etmek, hiçbir kontrolü atlamamanızı sağlar. Tüm testleri yalnızca kendi uygulamanızda veya izinli hedeflerde çalıştırın.

Sonuç

OWASP MAS, mobil güvenlikte "ne, nasıl ve hangi zayıflık" sorularının tamamına standart cevap veren bir çerçeve. 2026'da MASTG v2.0.0 ve MASWE v1.0.0 ile olgunlaştı. Uygulamanızın risk profilini belirleyin, MASVS kategorilerini MASTG testleriyle sınayın ve bulgularınızı MASWE kimlikleriyle raporlayın. Böylece testleriniz tekrarlanabilir, otomatikleştirilebilir ve savunulabilir olur. Siz hangi MASVS kategorisini en kritik görüyorsunuz? Yorumlarda tartışalım.

Kaynakça

• OWASP MAS projesi: https://mas.owasp.org/
  
• OWASP MASVS: https://mas.owasp.org/MASVS/
  
• OWASP MASTG: https://mas.owasp.org/MASTG/
  
• OWASP MASTG v2.0.0 duyurusu: https://mas.owasp.org/news/2026/07/04/ma...0-release/
  
• OWASP MASWE v1.0.0 duyurusu: https://mas.owasp.org/news/2026/08/17/ma...0-release/
  
• OWASP MAS Checklists: https://mas.owasp.org/checklists/
  
• MASVS v2.1.0 sürüm notu: https://github.com/OWASP/masvs/releases/tag/v2.1.0
  

Yasal Uyarı

Bu rehberdeki test teknikleri yalnızca kendinize ait veya sahibinden yazılı izin aldığınız uygulamalar üzerinde uygulanmalıdır. Başkasına ait uygulamaları izinsiz test etmek, lisans ihlaline ve 5237 sayılı Türk Ceza Kanunu'nun 243, 244 ve 245. maddeleri kapsamında sorumluluğa yol açar. TurkTeam yalnızca savunma ve eğitim amaçlı paylaşımları destekler.

Görsel: TurkTeam özgün kapak ve diyagramları

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).