Injections SQL dans les ContentProviders Android

Magazine
Marque
MISC
Numéro
63
Mois de parution
septembre 2012
Domaines


Résumé

« Des injections SQL sur mon téléphone Android ? Ça va trop loin... ». Il y a quelques mois, cela aurait probablement été notre réaction à la lecture de ce titre.Dans le cadre d’un projet, nous nous sommes intéressés à la gestion du stockage des données au sein d'une application Android. Après un rapide coup d'œil, nous nous sommes rendu compte que des efforts importants ont été mis en œuvre pour protéger les données d'une application contre la curiosité d'autres applications installées sur le même téléphone. Et que comme tout mécanisme de sécurité, certaines vulnérabilités permettent d'exfiltrer des données personnelles sans avoir les permissions nécessaires, parfois même dans les composants Google...


1. ContentProvider : description technique

Lorsque nous installons une application sur notre téléphone Android, celle-ci peut, suivant ses besoins, stocker des données dans un espace qui lui est réservé et qui n'est pas accessible aux autres applications. Ce stockage peut avoir plusieurs finalités :

  • Stocker des données de manière persistante (paramètres de configuration, données de l’utilisateur, etc.) afin que l’application puisse assurer sa fonction dans le temps et ce, malgré les redémarrages de l’application et du téléphone.
  • Assurer un fonctionnement en mode « déconnecté » en cas de perte du réseau, notamment pour les applications de type client/serveur.

Le système Android fournit un élément standard prévu à cet effet : le ContentProvider. Celui-ci permet à la fois de stocker de l’information mais également, si l'application le souhaite, de la mettre à disposition des autres applications installées sur le téléphone.

1.1....

Cet article est réservé aux abonnés. Il vous reste 98% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite


Articles qui pourraient vous intéresser...

Introduction au dossier : Puces sécurisées - À la découverte de la sécurité matérielle

Magazine
Marque
MISC
Numéro
114
Mois de parution
mars 2021
Domaines
Résumé

Le grand public est familiarisé, ne serait-ce qu’inconsciemment, au concept de puce de sécurité de par l’usage quotidien et depuis de nombreuses années des cartes à puce dans le domaine bancaire ou des cartes SIM dans la téléphonie mobile. Des puces dédiées à la sécurité ont également fait leur apparition dans certains de nos équipements du quotidien (ordinateur portable, smartphone), qu’il s’agisse de microcontrôleur dédié disposant de fonctionnalités liées à la cryptographie (stockage de clef de chiffrement) tel un TPM, ou d’un mode d’exécution sécurisé intégré au processeur principal, à l’instar de SGX pour Intel, de TrustZone chez ARM et de PSP pour AMD.

Monter son lab virtuel avec Kali Linux et VulnHub sous VirtualBox

Magazine
Marque
Linux Pratique
HS n°
Numéro
50
Mois de parution
février 2021
Domaines
Résumé

Dans cet article, nous allons mettre en place un virtual lab, un environnement de travail virtuel. Cet environnement vous permettra de créer, exécuter et détruire à volonté des VM vulnérables. Tout ceci sera fait dans un réseau virtuel, que nous allons créer, afin que ces machines vulnérables ne soient pas exposées sur Internet ni même sur votre réseau LAN, et éviter qu’un pirate puisse les retourner contre vous. Votre machine d’attaque sera également une machine virtuelle, sous Kali Linux, afin de ne pas utiliser votre machine de tous les jours pour vous connecter aux machines vulnérables, pour les mêmes raisons de sécurité. Kali Linux sera dans le réseau virtuel protégé pour pouvoir communiquer avec les VM vulnérables, et aura une carte réseau supplémentaire pour pouvoir accéder à Internet, être mise à jour, etc.

Côté livres…

Magazine
Marque
MISC
HS n°
Numéro
23
Mois de parution
février 2021
Domaines
Résumé

Voici quelques livres, pour certains des incontournables à avoir dans sa bibliothèque, pour d’autres il s’agit de publications récentes qui ont attiré notre attention.