Paysage des menaces mobiles

Les téléphones contiennent nos messages, nos photos, nos données bancaires et notre identité.

Cette concentration de données sensibles fait des applications mobiles des cibles de choix pour les attaquants, aussi bien sur iOS que sur Android.

Contrairement à un serveur que vous contrôlez, une application mobile s'exécute sur un appareil que l'attaquant peut posséder.

Il peut inspecter, modifier et instrumenter librement l'application ; l'appareil lui-même ne peut donc pas être considéré comme fiable.

iOS est davantage verrouillé, avec un processus d'examen strict ; Android est plus ouvert et fonctionne sur de nombreux appareils.

Les deux systèmes utilisent une isolation en bac à sable pour isoler les applications, mais chaque plateforme présente ses propres risques.

Chaque application s'exécute dans un bac à sable, isolée des autres applications et du système.

Cela limite les dommages, mais des failles dans l'application ou des autorisations trop faibles peuvent tout de même exposer les données des utilisateurs.

L'un des principaux risques mobiles consiste à stocker des données sensibles en clair sur l'appareil.

Les jetons ou les mots de passe enregistrés dans des fichiers en clair peuvent être lus si l'appareil est perdu, volé ou rooté.

Les données transmises à un serveur peuvent être interceptées sur un réseau Wi-Fi public.

Sans TLS correctement configuré, un attaquant peut lire ou modifier le trafic lors d'une attaque de l'homme du milieu.

Les attaquants peuvent déconstruire une application pour étudier son fonctionnement.

Cette rétro-ingénierie révèle des clés cachées, la logique métier et des faiblesses qu'ils peuvent exploiter ou reproduire.

Les applications qui demandent davantage d'autorisations qu'elles n'en ont besoin augmentent les risques.

Si l'application est compromise, ces autorisations supplémentaires, comme l'accès aux contacts ou à la position, deviennent des outils pour l'attaquant.

Les applications intègrent de nombreuses bibliothèques tierces.

Un SDK vulnérable ou malveillant peut divulguer des données ou ouvrir une porte dérobée sans que le développeur s'en rende compte.

Un appareil rooté (Android) ou débridé (iOS) perd les protections intégrées à la plateforme.

Sur de tels appareils, le bac à sable et les protections du stockage sur lesquelles l'application s'appuie peuvent ne plus être efficaces.

OWASP tient à jour une liste des 10 principaux risques mobiles.

Elle guide les développeurs sur les priorités, du stockage non sécurisé à la cryptographie faible et à l'altération du code.

Pourquoi une application mobile doit-elle considérer comme non fiable l'appareil sur lequel elle s'exécute ?

Les applications mobiles s'exécutent sur des appareils non fiables et contiennent des données sensibles. Les principaux risques comprennent le stockage non sécurisé, les communications non sécurisées, la rétro-ingénierie, les autorisations excessives, les bibliothèques risquées et les appareils rootés.

Les 10 principaux risques mobiles d'OWASP orientent les mesures de protection.