Stockage et communications non sécurisés

Deux des vulnérabilités mobiles les plus courantes sont le stockage de données non sécurisé et les communications non sécurisées. Elles figurent dans le Top 10 mobile de l’OWASP.

Elles résultent toutes deux du fait que les développeurs font excessivement confiance à l’appareil et protègent mal les données.

Les applications conservent leurs données dans /data/data/<package>/ :

• SharedPreferences : fichiers XML de paires clé-valeur.
• Bases de données SQLite.
• Fichiers internes et externes.

Les testeurs d’intrusion examinent chacun de ces emplacements à la recherche de secrets stockés en clair.

Une faille fréquente consiste à stocker des mots de passe, jetons ou PII en clair dans SharedPreferences ou dans une base de données.

Sur un appareil avec accès Root, par l’intermédiaire d’une sauvegarde ou avec Objection, un attaquant peut les lire directement. Les données sensibles doivent être chiffrées ou conservées dans un matériel sécurisé.

Les données écrites dans le stockage externe (la zone de la carte SD) sont lisibles par tous sur les anciennes versions d’Android et accessibles à toute application disposant de l’autorisation de stockage.

Y enregistrer des fichiers sensibles les expose aux autres applications. Les journaux écrits sur le disque constituent une fuite similaire.

Parmi les options sécurisées figurent le Keystore Android (les clés sont stockées dans le matériel et ne sont jamais exposées à l’application) et EncryptedSharedPreferences.

Le Keystore peut effectuer des opérations cryptographiques sans révéler la clé, ce qui est bien plus sûr qu’une clé codée en dur dans le code.

Des communications non sécurisées signifient que les données circulent sans protection adéquate. Le pire cas est le HTTP en clair, où toute personne présente sur le réseau peut lire ou modifier le trafic.

Tout trafic sensible doit utiliser HTTPS/TLS.

Pour inspecter le trafic, faites passer l’appareil par un proxy d’interception comme Burp Suite. Vous installez le certificat d’autorité de certification de Burp sur l’appareil afin de pouvoir lire le trafic HTTPS.

Cela révèle les points de terminaison d’API, les paramètres et toutes les données sensibles en transit.

Les applications bien conçues utilisent l’épinglage de certificat pour rejeter tout certificat autre que le leur, ce qui neutralise un proxy basique.

Comme vous l’avez appris, un contournement de l’épinglage SSL par Frida désactive cette protection afin que vous puissiez toujours intercepter le trafic et évaluer la sécurité réelle de l’API.

Même avec HTTPS, les failles peuvent consister à faire confiance à tous les certificats, à accepter les certificats expirés ou à désactiver la vérification du nom d’hôte, souvent pour faciliter le développement.

Elles permettent à un attaquant d’effectuer une attaque de l’homme du milieu malgré la présence de TLS.

Deux autres fuites :

• android:allowBackup="true" permet à toute personne disposant de l’appareil d’extraire les données de l’application avec adb backup.
• La sortie verbeuse de logcat peut afficher des jetons ou des PII.

Ces deux éléments doivent être désactivés ou nettoyés en production.

Deux fuites souvent négligées : la copie de données sensibles dans le presse-papiers (lisible par les autres applications sur les anciennes versions d’Android) et la capture d’écran système prise lorsqu’une application passe en arrière-plan.

Les applications bancaires atténuent ce risque avec l’indicateur de fenêtre FLAG_SECURE, qui bloque les captures d’écran et l’aperçu du sélecteur de tâches.

Rappelez-vous l’emplacement le plus sûr pour conserver les clés cryptographiques sur Android.

Vous comprenez maintenant le stockage et les communications non sécurisés :

• Les applications divulguent des secrets en clair dans SharedPreferences, les bases de données, le stockage externe et les journaux.
• Stockez les secrets dans le Keystore Android ou dans EncryptedSharedPreferences.
• Les communications non sécurisées vont du HTTP en clair à une validation TLS faible ; interceptez-les avec Burp.
• Contournez l’épinglage de certificat avec Frida ; désactivez allowBackup et nettoyez les journaux.

Vous avez terminé le cours sur les tests d’intrusion d’applications mobiles.