Formation Sécurité Android : identifier, exploiter et corriger les vulnérabilités de vos applications.

Programme de formation Sécurité Android : identifier, exploiter et corriger les vulnérabilités de vos applications.

Panorama des risques et surface d’attaque Android

– OWASP Mobile Top 10 : référentiel des risques applicatifs mobiles et lecture pour Android
– Architecture d’une application Android : activités, services, fournisseurs de contenu, intentions et permissions
– Le fichier manifest : déclarations de composants, permissions et points d’exposition
– Modèle de sécurité Android : sandbox applicative, signature et isolation des données
– Surface d’attaque : plateforme, application, communications et données

**Exemples d’activités pratiques :**

– Revue commentée d’un manifest et identification des composants exposés
– Cartographie de la surface d’attaque d’une application Android de référence

Mise en place de l’environnement d’analyse

– Émulateur Android et application vulnérable de référence (type DIVA) comme fil rouge
– Proxy d’interception (Burp Suite) : configuration pour le trafic mobile
– ADB (Android Debug Bridge) : inspection, accès aux fichiers et débogage du terminal
– Outils de reverse et d’analyse : APKTOOL et MobSF (Mobile Security Framework) pour l’analyse statique et dynamique
– Chaîne d’outils standard et reproductible

**Exemples d’activités pratiques :**

– Installation et prise en main d’ADB sur l’émulateur
– Interception du trafic d’une application via Burp
– Première analyse automatisée d’une APK avec MobSF

Stockage de données sensibles

– Emplacements de stockage : bases SQLite, fichiers, préférences partagées et logs
– Données exposées dans le manifest et dans les ressources de l’application
– Fuites par les journaux et les sauvegardes
– Injection SQL côté application et accès non maîtrisé aux données locales
– Contre-mesure : stockage chiffré avec Android Keystore et EncryptedSharedPreferences

**Exemples d’activités pratiques :**

– Extraction de données sensibles d’une application vulnérable via ADB
– Exploitation d’une injection SQL locale puis correction
– Mise en place d’un stockage chiffré comme remédiation

Communication non sécurisée et interception réseau

– Scénarios de communication non sécurisée entre l’application et ses serveurs
– Attaque de l’homme du milieu (MITM) : principe et mise en œuvre (Ettercap, outil historique, et alternatives modernes type mitmproxy/Burp)
– Validation des certificats et erreurs courantes de configuration TLS
– Défauts de configuration des serveurs web exposés par l’application
– Contre-mesure : Network Security Config et certificate pinning

**Exemples d’activités pratiques :**

– Mise en place d’une attaque MITM sur le trafic de l’application
– Implémentation du certificate pinning et vérification de l’efficacité

Authentification, secrets et cryptographie

– Stockage des clés et secrets d’API dans l’application : mauvaises pratiques fréquentes
– Recherche de credentials dans une APK (APKTOOL, MobSF)
– Méthodes cryptographiques : contre-exemples à proscrire (MD5, SHA1, SSLv2) et bonnes pratiques actuelles
– Authentification mal sécurisée : failles courantes et contre-mesures
– Référence directe non sécurisée à un objet (IDOR) et contrôle d’accès

**Exemples d’activités pratiques :**

– Extraction de clés/API codées en dur dans une APK
– Identification et correction d’une faille IDOR
– Comparaison de schémas cryptographiques faibles vs robustes

Qualité de code et failles applicatives

– Mauvaise qualité de code comme source de vulnérabilités
– XSS DOM dans les composants WebView
– Dépassement de tampon (buffer overflow) : principe et impact
– Mode debug laissé actif et fonctions de test exposées en production
– Contre-mesures et bonnes pratiques de développement défensif

**Exemples d’activités pratiques :**

– Identification d’une XSS DOM dans une WebView puis remédiation
– Détection d’un mode debug actif et durcissement de la configuration

Reverse engineering et falsification d’APK

– Désassemblage d’une APK et recherche de chaînes (« strings ») sensibles
– Falsification de code : modification et re-signature d’une APK
– Scénarios d’attaque par altération de l’application
– Intégrité, anti-tampering et obfuscation comme défenses
– Limites des protections et bonnes pratiques de durcissement

**Exemples d’activités pratiques :**

– Désassemblage d’une APK et recherche de données sensibles
– Modification puis re-signature d’une APK et analyse du scénario d’attaque

Durcissement et test de sécurité d’une application Android

– Synthèse des contre-mesures par famille de risque OWASP
– Construction d’un test de pénétration simple sur une application Android
– Bonnes pratiques de chiffrement et de gestion des secrets de bout en bout
– Publication sécurisée sur Google Play : signature d’application et points de vigilance
– Cadrage rapide de la gestion de flotte (MDM, chiffrement du terminal) en complément du durcissement applicatif

**Exemples d’activités pratiques :**

– Conduite d’un test de pénétration guidé sur l’application fil rouge
– Élaboration d’une grille de contre-mesures alignée sur l’OWASP Mobile Top 10