Tests de sécurité des applications mobiles (MAST) - Défis et outils

Les tests de sécurité des applications mobiles (MAST) devraient faire partie de la stratégie de sécurité des applications mobiles de chaque organisation. Ils offrent un moyen concret de détecter les vulnérabilités et d’atténuer les risques avant et après la mise à disposition d’une application mobile aux utilisateurs. Voici tout ce qu’il faut savoir sur l’importance des tests de sécurité des applications mobiles, avec des conseils pour réaliser des MAST, les défis courants, ainsi que les bonnes pratiques et les outils du secteur. La solution de sécurité des applications de Snyk peut vous aider à vous lancer dans les MAST, grâce à sa prise en charge des langages de programmation utilisés pour le développement Android et iOS. 

Qu’est-ce que le test de sécurité des applications mobiles ? 

Les tests de sécurité des applications mobiles évaluent les risques et les vulnérabilités susceptibles d’exister dans les applications installées sur des systèmes d’exploitation mobiles (par exemple, Android, iOS et Windows 10 Mobile). 

Le Guide de test de la sécurité mobile de l’OWASP indique que des termes similaires, comme « examen de la sécurité des applications mobiles », sont parfois utilisés pour désigner les MAST. Une analyse efficace des vulnérabilités dans le cadre des MAST comprend l’analyse statique, l’analyse dynamique et les tests d’intrusion. 

Pourquoi les tests sont-ils importants pour la sécurité des applications mobiles ? 

En 2022, plus d’un quart de billion (255 milliards) d’applications mobiles ont été téléchargées dans le monde — et ce nombre devrait atteindre près de 300 milliards de téléchargements en 2023. Les appareils mobiles sont des cibles de grande valeur, car ils donnent accès à diverses sources de données (e-mails, réseaux sociaux), à de nombreuses fonctionnalités (microphone, appareil photo, géolocalisation) et sont utilisés dans les processus d’authentification (2FA, MFA). En raison de son ouverture, Android est particulièrement vulnérable.

La sécurité des applications mobiles est devenue une priorité des programmes de cybersécurité des entreprises. Les organisations lancent constamment de nouvelles applications et mettent à jour celles qui existent, multipliant ainsi les occasions pour les acteurs malveillants d’accéder à de grandes quantités d’informations sensibles. 

Les MAST sont une pratique qui s’inscrit dans une stratégie robuste de sécurité des applications mobiles, aux côtés d’autres mesures comme la conception d’architectures sécurisées, la mise en œuvre de pratiques de codage sécurisé et la limitation du stockage de données sensibles. 

De nombreuses entreprises ont encore une grande marge de progression en matière de sécurité des applications mobiles, ce qui est préoccupant. Une vaste enquête a révélé que trois applications mobiles sur quatre présentent au moins une vulnérabilité de sécurité de gravité moyenne. 

Quelles méthodes peut-on utiliser pour tester la sécurité des applications mobiles ? 

Parmi les méthodes de test de sécurité des applications mobiles les plus courantes, on trouve : 

• Tests manuels : un testeur humain interagit manuellement avec l’application pour détecter les vulnérabilités. Les tests manuels d’applications sont particulièrement adaptés à la détection de problèmes de haut niveau et plus abstraits, comme les défauts de conception et les erreurs de logique métier.

• Tests automatisés : une solution MAST automatisée analyse le code de l’application à la recherche de vulnérabilités potentielles, afin que les équipes de développement puissent repérer les risques de sécurité le plus tôt possible. Parmi les autres avantages figurent la rapidité, la précision, l’évolutivité et la rentabilité. 

• Programmes de primes aux bogues : les organisations offrent des récompenses financières ou d’autres avantages aux chercheurs en sécurité et aux hackers éthiques qui détectent et signalent des vulnérabilités dans l’environnement de l’organisation. 

• Divulgation participative des vulnérabilités : cette pratique est similaire aux programmes de primes aux bogues, à ceci près que les failles de sécurité sont rendues publiques plutôt que signalées en privé. Ces divulgations incluent parfois des recommandations sur la façon dont les développeurs peuvent corriger les vulnérabilités. 

Les entreprises combinent souvent plusieurs de ces méthodes dans leur approche des tests de sécurité des applications mobiles. Par exemple, beaucoup d’organisations utilisent des outils automatisés pour réaliser la majeure partie des tests, complétés par des examens manuels pour traiter la logique et les objectifs, ainsi que par un programme continu de primes aux bogues pour renforcer la sécurité. D’autres pratiques complémentaires de sécurité des applications mobiles peuvent être menées parallèlement aux MAST, notamment la modélisation des menaces, les tests de conformité et les simulations d’attaques par une équipe rouge. 

Quels outils peut-on utiliser pour tester la sécurité des applications mobiles ? 

Les outils les plus souvent recommandés pour les tests de sécurité des applications mobiles sont les outils SAST, DAST, IAST, SCA et de fuzzing.

Voici un bref aperçu de chaque catégorie d’outils : 

• Les outils d’analyse statique de sécurité des applications (SAST) analysent le code source des applications pour détecter les vulnérabilités. Ils peuvent être exécutés tôt dans le pipeline CI/CD, voire intégrés à l’IDE pendant le codage. Le SAST est un exemple de test en « boîte blanche », qui tient compte des connaissances sur la conception interne de l’application.

• Les outils de test dynamique de la sécurité des applications (DAST) vérifient la sécurité à l’exécution en testant l’application en fonctionnement contre des types d’attaques courants. Comme ces outils nécessitent une application opérationnelle, ils ne peuvent être utilisés que beaucoup plus tard dans le processus de développement. Le DAST est un exemple de test en « boîte noire », qui repose uniquement sur des hypothèses externes (la connaissance interne de l’application n’est pas prise en compte). 

• Les outils de test interactif de la sécurité des applications (IAST) vérifient la sécurité à l’exécution en analysant l’application et ses flux internes. L’IAST combine les tests en boîte blanche et en boîte noire : il relie les résultats similaires à ceux du DAST (par exemple, la détection de régressions) au code source, comme le ferait un outil SAST. 

• Les outils d’analyse de la composition logicielle (SCA) suivent les dépendances de code tierces, ce qui est utile pour les applications qui intègrent de nombreuses bibliothèques open source. Les développeurs peuvent s’en servir pour découvrir tous les composants associés aux applications, leurs bibliothèques et leurs dépendances directes et indirectes, ainsi que les vulnérabilités et les exploits potentiels. 

• Les outils de fuzzing injectent automatiquement des données invalides ou inattendues dans une application pour mettre au jour des bogues. Le fuzzing, une technique de test en boîte noire, vise à pousser l’application à bout afin de provoquer des comportements inattendus, des plantages ou des fuites de ressources. 

Quels sont les défis courants des tests de sécurité des applications mobiles ?

Parmi les défis courants liés à la sécurité des applications mobiles figurent la fragmentation des plateformes, la prise en charge des langages, la difficulté à trouver des outils DAST mobiles et le recours par défaut à des tests simulés. 

• La fragmentation des plateformes se produit lorsqu’une application fonctionne sur de nombreux systèmes d’exploitation et appareils différents. Dans certains cas, la sécurité doit être testée sur différentes plateformes, mais aussi sur différentes versions d’un même système d’exploitation (c’est plus fréquent sur Android, car les fabricants tiers proposent leurs propres versions du système). 

• La prise en charge des langages peut poser problème lorsque la suite d’outils MAST d’une organisation ne prend pas en charge certains langages, en particulier les langages indépendants des plateformes comme Java et Kotlin, Objective-C et Swift. Dans le cas des applications mobiles hybrides, les risques de sécurité du développement natif s’ajoutent à ceux des applications web.  

• La difficulté à trouver des outils DAST constitue un défi courant, car de nombreux frameworks de test ne sont pas conçus pour la sécurité des applications mobiles. Même si ces frameworks s’améliorent, il peut rester difficile d’obtenir des données du monde réel pour le DAST mobile. 

• Le recours par défaut à des tests simulés est une pratique courante chez les développeurs, par souci de commodité, mais ce n’est pas une méthode de test exhaustive. Les tests simulés constituent un bon point de départ, mais il est important de tester sur de véritables appareils pour mieux reproduire l’expérience utilisateur et les scénarios de vulnérabilité réels. 

Bonnes pratiques pour les tests de sécurité des applications mobiles 

Les modalités exactes de mise en œuvre des MAST dépendent de votre organisation et de votre stratégie de sécurité des applications mobiles. Toutefois, certaines pratiques éprouvées vous aideront à surmonter les défis courants mentionnés ci-dessus : 

• Intégrez les MAST à votre pipeline CI/CD mobile pour profiter des avantages du shift left en matière de sécurité, comme l’amélioration de la posture de sécurité et de l’intégration, ainsi qu’une meilleure rapidité et une réduction des coûts. 

• Appuyez-vous sur des référentiels de sécurité reconnus, comme l’OWASP et le Guide de test de la sécurité mobile, pour repérer les problèmes courants et tirer parti des nombreuses recherches déjà menées par des experts en sécurité. 

• Utilisez plusieurs méthodes de test, comme le SAST, le DAST et le SCA. Comme indiqué précédemment, chaque type de test cible des problèmes et des scénarios de sécurité différents. 

• Testez les applications mobiles en continu pour détecter les nouvelles vulnérabilités. Le fait qu’une application ait été sécurisée lors de sa création ne signifie pas qu’elle l’est encore aujourd’hui. 

• Pensez aux tests dès le développement en annotant le code et les widgets tout au long du processus de développement, afin de faciliter la gestion des tests ultérieurs, en particulier des tests dynamiques. 

• Choisissez les bons outils d’analyse automatisée, dotés de fonctionnalités complémentaires, pour vous assurer qu’ils s’intègrent bien à votre pipeline CI/CD, prennent en charge les langages de programmation nécessaires au développement d’applications mobiles et réduisent le nombre total de faux positifs. 

• Ne négligez pas la sécurité du backend de vos applications mobiles. Même si l’interface front-end de l’application est sécurisée, vous devez vous assurer que les données auxquelles elle est connectée ou qu’elle utilise ne présentent pas de vulnérabilités. 

• Effectuez des tests sur de nombreux appareils différents pour tenir compte de la diversité des composants des téléphones. Vous pouvez aussi utiliser l’automatisation pour rendre ce processus plus efficace. 

Comme l’indique la préface du Guide de test de la sécurité mobile, le meilleur moyen de développer vos compétences en MAST et votre capacité à utiliser les outils MAST est de vous exercer : « Pour exceller véritablement dans la sécurité des applications mobiles, il faut bien comprendre les systèmes d’exploitation mobiles, le codage, la sécurité réseau, la cryptographie et bien d’autres domaines. »

Renforcez vos tests de sécurité des applications mobiles avec Snyk 

Vous souhaitez améliorer votre processus MAST ? La plateforme Snyk associe le SAST et le SCA pour la sécurité des applications mobiles. Elle permet aux développeurs et aux équipes de sécurité de détecter, de hiérarchiser et de corriger rapidement les problèmes de sécurité dans leur code, ainsi que les vulnérabilités connues des dépendances open source. 

Lorsque les analyses automatisées sont effectuées plus tôt dans le processus de développement, la sécurité est considérablement renforcée avant que l’application mobile ne soit mise à la disposition des utilisateurs. Pour en savoir plus sur le shift left en matière de sécurité et sur la place des MAST dans une stratégie de test globale, consultez notre guide des tests de sécurité des applications.