Are you (JSON Web) Token to me ?

Pas toujours facile d’expliquer notre quotidien dans la Cyber à quelqu’un qui n’est pas du milieu. La cybersécurité est parfois perçue comme une discipline austère, faite de protocoles obscurs et de vulnérabilités aux acronymes barbares. Pourtant, ceux qui la pratiquent savent qu’elle est surtout une aventure, où chaque jour apporte son lot de découvertes, d’échecs, de victoires et de surprises. Mais la cybersécurité est avant tout une discipline de passionnés !

Installer un antivirus douteux trouvé sur un store parallèle, se connecter sans réfléchir à un Wi-Fi gratuit dans une gare, laisser une application demander toutes les permissions sans jamais vérifier… Ces pratiques suffisent rarement à un attaquant pour prendre le contrôle d’un smartphone. Là où hier quelques lignes de code ou un APK bricolé ouvraient toutes les portes, il faut désormais composer avec des mécanismes de défense de plus en plus solides : durcissement du noyau Android, sandboxing, renforcement des stores officiels, initiatives comme Play Protect, sécurité déportée au niveau des API et parfois un SOC prêt à réagir dès qu’un comportement suspect émerge.

Lorsque l’on parle de tests d’intrusion mobiles, les poils de certains auditeurs se hérissent lorsqu’il s’agit d’auditer une application iOS. En effet, la pomme croquée rend plus complexe l’analyse de ses applications que ses concurrents. Et pourtant ! Bien que moins documentée, la mise en place d’une analyse instrumentalisée des applications iOS est largement possible avec des outils facilement accessibles, laissez-vous juste guider !

Lorsque l’on parle de tests d’intrusion sur Android, l’esprit de la plupart des auditeurs s’envole vers les outils apktool ou encore dex2jar pour la partie analyse statique. Mais qu’en est-il lorsque les applications ne sont pas développées en Java ou Kotlin ? L’objectif de cet article est de présenter une méthodologie alternative pour les cas de figure moins courants. La méthodologie « classique » des tests d'intrusion mobiles se décompose généralement en 3 parties : l’analyse statique, l’analyse dynamique ainsi que l’analyse des flux réseau. Au sein de cet article, nous nous concentrerons sur une petite partie de l’analyse statique : l’audit du code source de l’application. Le décor étant planté, dépêchons-nous, je n’ai que quelques heures !