Programmation mobile sécurisée

La programmation sécurisée consiste à écrire des applications qui résistent aux attaques par défaut.

Pour les applications mobiles, elle associe une gestion sûre des données, des communications réseau soigneusement conçues et une conception défensive dès le départ.

Ne faites jamais confiance aux données provenant de l'utilisateur ou du réseau.

Validez et assainissez chaque entrée avant de l'utiliser afin d'empêcher les injections et les plantages.

Tout le trafic réseau doit passer par HTTPS avec TLS.

Cela protège les données contre la lecture ou la modification sur des réseaux non fiables, comme les réseaux Wi-Fi publics.

L'épinglage des certificats indique à l'application de ne faire confiance qu'à certains certificats de serveur.

Cela bloque les attaques de l'homme du milieu, lors desquelles un attaquant présente un certificat falsifié qui semble pourtant valide.

Conservez les jetons et les clés dans le Keystore ou le Keychain, jamais dans des fichiers non chiffrés.

Chiffrez toute donnée sensible que vous devez stocker vous-même.

Ne demandez que les autorisations dont votre application a réellement besoin.

Moins d'autorisations signifie moins de données à risque si l'application est compromise, ainsi qu'une plus grande confiance des utilisateurs.

Les contrôles essentiels, comme le prix, le solde ou les droits d'accès, doivent être exécutés sur le serveur.

Les contrôles côté client peuvent être contournés par quiconque rétroconçoit l'application.

Les messages d'erreur ne doivent pas révéler de détails internes.

Consignez les détails en privé, mais n'affichez aux utilisateurs que des messages génériques et sûrs.

Les bibliothèques tierces peuvent contenir des vulnérabilités.

Suivez vos dépendances, mettez-les régulièrement à jour et supprimez celles que vous n'utilisez plus.

Utilisez des jetons à durée de vie courte et renouvelez-les en toute sécurité.

Déconnectez les utilisateurs après une période d'inactivité et révoquez les jetons lors de la déconnexion afin qu'une session volée ne dure pas indéfiniment.

La sécurité ne s'arrête pas à la mise en production. Exécutez des tests de sécurité : analyses statiques, contrôles des dépendances et tests d'intrusion.

Corrigez les problèmes détectés avant même que les utilisateurs n'installent l'application.

Pourquoi les contrôles essentiels, comme le prix ou les droits d'accès, doivent-ils être exécutés sur le serveur plutôt que sur le client ?

La programmation mobile sécurisée consiste à valider les entrées, à utiliser TLS avec l'épinglage des certificats, à stocker les secrets en toute sécurité, à limiter les autorisations, à appliquer la logique sur le serveur, à gérer soigneusement les erreurs, à mettre les dépendances à jour, à sécuriser les sessions et à effectuer des tests avant la mise en production.