Seguridad en Aplicaciones Móviles y Web

Conocimientos o contenidos

• Fundamentos de la seguridad en aplicaciones: principios CIA, modelado de amenazas, análisis de riesgos, principios de diseño seguro, ciclo de vida de desarrollo seguro.
• Seguridad en aplicaciones web: superficie de ataque, arquitectura cliente-servidor segura, cabeceras de seguridad HTTP, CSP, CORS, mitigación de CSRF, seguridad de APIs, clickjacking.
• Seguridad en aplicaciones móviles: modelo de seguridad de Android e iOS, sandboxing, permisos, almacenamiento seguro y protección frente a ingeniería inversa, tomando como marcos de referencia OWASP Mobile Top 10 y MASVS (niveles L1/L2 y requisitos de resistencia MASVS-R).
• Autenticación, autorización y gestión de sesiones: factores y métodos de autenticación, MFA, almacenamiento de credenciales, gestión segura de sesiones, federación de identidades, OAuth 2.0 y OpenID Connect, SAML, modelos de control de acceso, gestión de claves.
• Pruebas de seguridad y *pentesting: metodologías, análisis estático y dinámico de aplicaciones, análisis de composición de software y dependencias, fuzzing, pruebas de intrusión web y móvil, gestión y reporte de vulnerabilidades (CVE, CVSS), programas de bug bounty* y divulgación responsable.
• Cumplimiento normativo y privacidad: RGPD y LOPDGDD, regulación específica de aplicaciones móviles en tiendas (Google Play, App Store), principios de privacy by design y privacy by default.

Competencias

• Capacidad para actuar ante desafíos relacionados con la protección de infraestructuras digitales, adaptándose a políticas y estándares de ciberseguridad.
• Capacidad para comprender, aplicar y gestionar la garantía y seguridad de los sistemas informáticos.
• Capacidad para analizar la arquitectura de una aplicación web o móvil, modelar sus amenazas y evaluar los riesgos asociados.
• Capacidad para diseñar e integrar mecanismos de seguridad en el ciclo de vida del software, incorporando los principios de secure by design y privacy by design.
• Capacidad para identificar, explotar de forma controlada y mitigar las vulnerabilidades más relevantes de aplicaciones web y móviles.
• Capacidad para planificar y ejecutar pruebas de seguridad y pentesting aplicando metodologías y herramientas reconocidas por la industria.
• Capacidad para diseñar soluciones robustas de autenticación, autorización y gestión de identidades, incluyendo MFA, federación y modelos de control de acceso.

Habilidades o destrezas

• Aplicación de los principios de diseño seguro y modelado de amenazas a la arquitectura de una aplicación web o móvil.
• Identificación y mitigación de las vulnerabilidades más frecuentes.
• Diseño e implementación de mecanismos robustos de autenticación, autorización y gestión de sesiones, incluyendo MFA, almacenamiento seguro de credenciales y federación con OAuth 2.0/OpenID Connect.
• Configuración correcta de cabeceras HTTP de seguridad, políticas CSP, CORS y mecanismos anti-CSRF.
• Implementación de protecciones específicas en aplicaciones móviles: almacenamiento seguro, certificate pinning, ofuscación y detección de entornos comprometidos.
• Planificación y ejecución de pruebas de seguridad usando herramientas estándar de la industria, así como elaboración de informes técnicos y ejecutivos.
• Interpretación del marco normativo aplicable y aplicación de los principios de privacy by design en proyectos reales.
• Reflexión crítica y ética sobre el uso responsable de las técnicas ofensivas y la divulgación responsable de vulnerabilidades.

La dedicación requerida para esta asignatura de 6 créditos ECTS es de 150 horas, que se encuentran distribuidas de la siguiente manera:

• Clases teóricas síncronas: (11 horas)
• Clases teóricas asíncronas: (11 horas)
• Clases prácticas síncronas: (11 horas)
• Clases prácticas asíncronas: (11 horas)
• Realización de trabajos o proyectos: (22 horas)
• Pruebas finales de evaluación/Exámenes: (2 horas)
• Estudio individual y trabajo autónomo: (82 horas) 

El profesor aporta un seguimiento individualizado de la actividad del estudiante para asegurar las mejores condiciones de aprendizaje mediante la tutorización a través de las herramientas de la plataforma educativa y/o de las tutorías telefónicas. En estas tutorías los estudiantes pueden consultar a los profesores las dudas acerca de la materia estudiada.

• Adam Shostack (2014). Threat Modeling: Designing for Security. Ed.: Wiley.
• Andrew Hoffman (2020). Web Application Security: Exploitation and Countermeasures for Modern Web Applications. Ed.: O'Reilly Media.
• Jeff Six (2012). Application Security for the Android Platform: Processes, Permissions, and Other Safeguards. Ed.: O'Reilly Media.

Durante el estudio de esta asignatura, el proceso de evaluación del aprendizaje es continuo y contempla la realización de:

La evaluación de la asignatura se realizará como sigue:

• Evaluación continua de actividades. Se llevará a cabo a través de controles, actividades autoevaluativas y entregas parciales de actividades de búsqueda de información y de actividades dirigidas con material multimedia, audiovisual o interactivo, fomentando la capacidad de análisis y reflexión del estudiante. Supone el 25% de la nota final.
• Resolución de supuestos o casos prácticos. Consiste en la exposición de una situación, real o simulada, vinculada a los contenidos de la asignatura. El estudiante debe examinarla y ofrecer una respuesta fundamentada, aplicando los conocimientos adquiridos, las metodologías adecuadas y las competencias desarrolladas en el proceso formativo. Supone el 25% de la nota final.
• Un examen final que supone el 50% de la nota final. Está dirigido a la valoración de las competencias y conocimientos adquiridos por el estudiante. El examen se evaluará de 0 a 10.
• Para poder presentarse al examen final, en cualquiera de las convocatorias, es imprescindible cumplir el siguiente requisito: alcanzar una calificación mínima de 2,5 puntos sobre 5 en la media ponderada obtenida al sumar las notas de las actividades de evaluación continua y la actividad de resolución de supuestos o casos prácticos.
• El estudiante que se presente al examen sin cumplir los anteriores requisitos, será calificado con un cero en el examen final y consumirá convocatoria.
•  
• Para superar la asignatura será necesario que el examen esté aprobado (calificación de 5 o más sobre 10) y que la calificación final de la asignatura sea de 5 o superior.

Cuadro resumen del sistema de evaluación

Para aprobar la asignatura, es necesario obtener una calificación mínima de 5 en el examen final, así como en la calificación total del curso, una vez realizado el cómputo ponderado de las calificaciones obtenidas en las actividades didácticas y en el examen final.

Si un estudiante no aprueba la asignatura en la convocatoria ordinaria podrá examinarse en la convocatoria de septiembre. El estudiante que no se presente a la convocatoria de febrero y/o de julio ni a la de septiembre, perderá automáticamente todos los trabajos realizados a lo largo del curso. Deberá en este caso matricularse de nuevo en la asignatura.

Las fechas previstas para la realización de todas las actividades se indican en el aula virtual de la asignatura.

Originalidad de los trabajos académicos

Según la Real Academia Española, “plagiar” significa copiar en lo sustancial obras ajenas dándolas como propias. Dicho de otro modo, plagiar implica expresar las ideas de otra persona como si fuesen propias, sin citar la autoría de las mismas. Igualmente, la apropiación de contenido puede ser debida a una inclusión excesiva de información procedente de una misma fuente, pese a que esta haya sido citada adecuadamente. Teniendo en cuenta lo anterior, el estudiante deberá desarrollar sus conocimientos con sus propias palabras y expresiones. En ningún caso se aceptarán copias literales de párrafos, imágenes, gráficos, tablas, etc. de los materiales consultados. En caso de ser necesaria su reproducción, esta deberá contemplar las normas adecuadas para la citación académica.

Los documentos que sean presentados en las actividades académicas podrán ser sometidos a diferentes mecanismos de comprobación de la originalidad (herramientas antiplagios que detectan coincidencias de texto con otras fuentes, comparación con trabajos de otros estudiantes, comparación con información publicada en Internet, etc). El profesor valorará si el trabajo presentado cuenta con los criterios de originalidad exigidos o, en su caso, se atribuye adecuadamente la información no propia a las fuentes correspondientes. La adjudicación como propia de información que corresponde a otros autores podrá suponer el suspenso de la actividad.

Los documentos presentados en las actividades académicas podrán ser almacenados en formato papel o electrónico y servir de comparación con otros trabajos de terceros, a fin de proteger la originalidad de la fuente y evitar la apropiación indebida de todo o parte del trabajo del estudiante. Por tanto, podrán ser utilizados y almacenados por la universidad, a través del sistema que estime, con el único fin de servir como fuente de comparación de cualquier otro trabajo que se presente.

Sistema de calificaciones

El sistema de calificación de todas las actividades didácticas es numérico del 0 a 10 con expresión de un decimal, al que se añade su correspondiente calificación cualitativa:

0 - 4.9: Suspenso (SU)
5.0 - 6.9: Aprobado (AP)
7.0 - 8.9: Notable (NT)
9.0 - 10: Sobresaliente (SB)
Matrícula de honor (MH)
 

(RD 1125/2003, de 5 de septiembre, por lo que se establece el sistema europeo de créditos y el sistema de calificaciones en las titulaciones universitarias de carácter oficial y con validez en todo el territorio nacional).

La matrícula de honor se concede cuando el profesor lo considere oportuno en función de la excelencia de las actividades realizadas por el estudiante y las calificaciones obtenidas por el resto del grupo. No obstante, los criterios académicos de su concesión corresponden al departamento responsable de cada grado.