Senet Régis

Pas toujours facile d’expliquer notre quotidien dans la Cyber à quelqu’un qui n’est pas du milieu. La cybersécurité est parfois perçue comme une discipline austère, faite de protocoles obscurs et de vulnérabilités aux acronymes barbares. Pourtant, ceux qui la pratiquent savent qu’elle est surtout une aventure, où chaque jour apporte son lot de découvertes, d’échecs, de victoires et de surprises. Mais la cybersécurité est avant tout une discipline de passionnés !

Installer un antivirus douteux trouvé sur un store parallèle, se connecter sans réfléchir à un Wi-Fi gratuit dans une gare, laisser une application demander toutes les permissions sans jamais vérifier… Ces pratiques suffisent rarement à un attaquant pour prendre le contrôle d’un smartphone. Là où hier quelques lignes de code ou un APK bricolé ouvraient toutes les portes, il faut désormais composer avec des mécanismes de défense de plus en plus solides : durcissement du noyau Android, sandboxing, renforcement des stores officiels, initiatives comme Play Protect, sécurité déportée au niveau des API et parfois un SOC prêt à réagir dès qu’un comportement suspect émerge.

Alors que le danger de l'exposition des interfaces d'administration n'est (presque) plus à démontrer et que les défauts de contrôle d'accès raflent la première place du Top 10 de l'OWASP aux injections, l'analyse en profondeur ainsi que la compréhension des JWT (JSON Web Tokens) sont devenues un impératif.

Lorsque l’on parle de tests d’intrusion mobiles, les poils de certains auditeurs se hérissent lorsqu’il s’agit d’auditer une application iOS. En effet, la pomme croquée rend plus complexe l’analyse de ses applications que ses concurrents. Et pourtant ! Bien que moins documentée, la mise en place d’une analyse instrumentalisée des applications iOS est largement possible avec des outils facilement accessibles, laissez-vous juste guider !

Lorsque l’on parle de tests d’intrusion sur Android, l’esprit de la plupart des auditeurs s’envole vers les outils apktool ou encore dex2jar pour la partie analyse statique. Mais qu’en est-il lorsque les applications ne sont pas développées en Java ou Kotlin ? L’objectif de cet article est de présenter une méthodologie alternative pour les cas de figure moins courants. La méthodologie « classique » des tests d'intrusion mobiles se décompose généralement en 3 parties : l’analyse statique, l’analyse dynamique ainsi que l’analyse des flux réseau. Au sein de cet article, nous nous concentrerons sur une petite partie de l’analyse statique : l’audit du code source de l’application. Le décor étant planté, dépêchons-nous, je n’ai que quelques heures !

À l'heure du numérique et de la navigation mobile, les statistiques [STATS] montrent bien une envolée de l'utilisation des applications mobiles. De plus, avec le confinement, ces applications ont établi de nouveaux records d'utilisation. Pour comprendre les dessous d'une application mobile, il est parfois nécessaire d'analyser cette dernière dynamiquement (pendant son utilisation), que cela soit dans un environnement rooté ou non en fonction des différentes contraintes.