Sécurité mobile : les bases Android et iOS 2025

Vecteurs d'attaque mobile 2024-2025
────────────────────────────────────
 
1. INSTALL MALICIOUS APP
   ├─ Play Store / App Store apps trojanisées (rare mais arrive)
   ├─ Sideloading APK tiers (Android)
   ├─ Phishing avec lien de "mise à jour"
   └─ TestFlight / Enterprise provisioning abusif iOS
 
2. SUPPLY CHAIN SDK
   ├─ SDK publicitaire compromis (Joker, BadPack)
   ├─ Library npm/Gradle avec malicious payload
   └─ Injection pre-compile
 
3. ZERO-CLICK EXPLOIT (spyware d'État)
   ├─ iMessage (BLASTPASS 2023, FORCEDENTRY 2021)
   ├─ WhatsApp (CVE-2019-3568)
   ├─ iOS Mail / Safari RCE chain
   └─ Android Mediaserver / Stagefright historique
 
4. PHYSICAL ACCESS / EVIL MAID
   ├─ DFU mode iOS avec 0-day checkm8
   ├─ Android rooting physique
   └─ USB forensic tools (Cellebrite, GrayKey)
 
5. NETWORK / MITM
   ├─ Rogue Wi-Fi avec captive portal
   ├─ SSL stripping si pas de pinning
   └─ Rogue cellular base station (IMSI catcher)
 
6. SOCIAL ENGINEERING
   ├─ SMS phishing (smishing) avec lien
   ├─ Faux tech support scam
   └─ Romance scam avec app installation request

Modèle de sécurité Android — couches superposées
─────────────────────────────────────────────────
 
Application Layer
  ├─ Sandbox Android (UID Linux unique par app)
  ├─ Permissions runtime (Android 6+) + Scoped Storage (Android 10+)
  └─ Code signing (APK signature v1/v2/v3/v4)
 
Framework Layer
  ├─ SELinux Android (mode enforcing)
  ├─ Intents avec filtres (exported='false' par défaut Android 12+)
  └─ Google Play Protect (scan en arrière-plan)
 
Native Layer
  ├─ ASLR, NX bit, stack canaries
  └─ Hardened malloc (Scudo, Android 10+)
 
Kernel Layer
  ├─ Linux kernel hardened (KASLR, CFI, BPF LSM)
  ├─ seccomp-BPF filtering syscalls
  └─ Trusty TEE ou Widevine TEE (TrustZone ARM)
 
Hardware Layer
  ├─ Verified Boot AVB (Android Verified Boot 2.0)
  ├─ StrongBox (Titan M / Titan M2 Pixel, dedicated HSM)
  └─ Android Keystore hardware-backed (Tamper-resistant)

// Génération d'une clé AES-256-GCM dans le Keystore, hardware-backed
import android.security.keystore.KeyGenParameterSpec
import android.security.keystore.KeyProperties
import javax.crypto.KeyGenerator
 
fun generateKey(alias: String) {
    val keyGenerator = KeyGenerator.getInstance(
        KeyProperties.KEY_ALGORITHM_AES,
        "AndroidKeyStore"
    )
    val spec = KeyGenParameterSpec.Builder(
        alias,
        KeyProperties.PURPOSE_ENCRYPT or KeyProperties.PURPOSE_DECRYPT
    )
        .setBlockModes(KeyProperties.BLOCK_MODE_GCM)
        .setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_NONE)
        .setKeySize(256)
        .setIsStrongBoxBacked(true)  // Hardware StrongBox si device le supporte (Pixel, Samsung)
        .setUserAuthenticationRequired(true)  // Biométrie pour unlock la clé
        .setUserAuthenticationValidityDurationSeconds(300)
        .build()
 
    keyGenerator.init(spec)
    keyGenerator.generateKey()
}

Modèle de sécurité iOS — pile verrouillée
──────────────────────────────────────────
 
Application Layer
  ├─ Sandbox (container isolé par app)
  ├─ Entitlements (permissions fines par capability)
  └─ Code signing obligatoire (App Store + Developer ID)
 
System Layer
  ├─ AMFI (Apple Mobile File Integrity) — valide signatures runtime
  ├─ Kernel Integrity Protection (KIP)
  └─ Pointer Authentication (PAC) — ARMv8.3+ A12+
 
Hardware Layer
  ├─ Secure Enclave (SEP) — coprocesseur sécurisé isolé
  ├─ Secure Boot chain (BootROM → iBoot → kernel)
  ├─ Activation Lock (iCloud)
  └─ Touch ID / Face ID intégrés SEP
 
Monitoring
  ├─ Lockdown Mode (iOS 16+, 2022) — réduit la surface pour profils à risque
  ├─ Advanced Data Protection (ADP, iOS 16.2+) — E2E pour plus de cloud data
  └─ Privacy Report, App Tracking Transparency (ATT)

OWASP MASVS v2.0 (2023) — structure des exigences
──────────────────────────────────────────────────
 
MASVS-STORAGE    Stockage sécurisé des données sensibles
                 (pas de SharedPreferences cleartext, Keystore/Keychain)
 
MASVS-CRYPTO     Usage correct des primitives crypto
                 (pas d'AES-ECB, pas de MD5 pour auth, KDFs)
 
MASVS-AUTH       Authentification et autorisation
                 (JWT vérifiés côté serveur, session mgmt)
 
MASVS-NETWORK    Communications réseau sécurisées
                 (TLS 1.2+, SSL pinning, pas de cleartext)
 
MASVS-PLATFORM   Usage sécurisé des APIs plateforme
                 (WebView config, Intent safe, URL schemes)
 
MASVS-CODE       Qualité du code et sécurité build
                 (deps à jour, pas de debug en prod)
 
MASVS-RESILIENCE Résistance aux attaques clients
                 (obfuscation, anti-tampering, root detection)
 
MASVS-PRIVACY    Protection des données personnelles
                 (RGPD, collecte minimale, transparence)
 
Niveaux : L1 (baseline toutes apps) + L2 (apps manipulant données sensibles)

MASTG-TEST-0204 — Testing Memory for Sensitive Data
───────────────────────────────────────────────────
 
Overview: Verify that sensitive data is not leaked via memory dumps.
 
Static Analysis:
  Look for usage of String in Java/Kotlin (immutable, persist in heap).
  Prefer char[] or byte[] wiped after use.
 
Dynamic Analysis (Android):
  1. Dump process memory via Frida:
     Memory.scan(base, size, pattern, callback)
  2. Search for known secrets (API keys, passwords, tokens).
  3. Verify secrets zeroed after use.
 
Remediation:
  Use char[] for passwords (swipe-able via java.util.Arrays.fill).
  Use Android Keystore for long-term crypto keys.

Stack offensive mobile 2025
────────────────────────────
 
ANDROID STATIQUE
  ├─ apktool                  Extraction + recompilation APK
  ├─ jadx                     Décompilation smali → pseudo-Java
  ├─ JEB / Ghidra Android      Pro tools (JEB commercial, Ghidra OSS)
  └─ MobSF                    All-in-one analyse statique + dynamique
 
ANDROID DYNAMIQUE
  ├─ Frida + Objection         Hooking runtime (standard 2025)
  ├─ Burp Suite Pro            Proxy HTTPS (SSL pinning bypass)
  ├─ Drozer (FSEcureLabs)      Fuzzing IPC et Intents
  └─ Xposed / LSPosed          Framework hooking (Magisk-based)
 
iOS STATIQUE
  ├─ class-dump                Extraction headers Objective-C
  ├─ Ghidra / IDA Pro          Disassembly Mach-O
  ├─ Hopper Disassembler       Alternative macOS
  └─ MobSF                    All-in-one
 
iOS DYNAMIQUE
  ├─ Frida + Objection         Standard 2025
  ├─ Cycript (legacy)          Historique, moins maintenu
  ├─ iproxy / ssh over USB     Connexion shell
  └─ Corellium                 Émulateur iOS commercial (~500+ $/mois)
 
CROSS-PLATFORM
  ├─ Burp Suite Pro             Proxy HTTPS / API testing
  ├─ mitmproxy                  Alternative Python OSS
  ├─ Wireshark                 Capture traffic
  └─ Network Security Config    Android config testing

// Frida script — bypass SSL pinning OkHttp standard
// Usage : frida -U -l ssl_pinning_bypass.js -f com.example.app --no-pause
 
Java.perform(function() {
    console.log("[+] SSL Pinning bypass start");
 
    // Hook OkHttp3 CertificatePinner
    var CertificatePinner = Java.use("okhttp3.CertificatePinner");
    CertificatePinner.check.overload("java.lang.String", "java.util.List").implementation = function(hostname, peerCertificates) {
        console.log("[Bypass] OkHttp3 CertificatePinner.check() called for: " + hostname);
        return;
    };
 
    // Hook TrustManager par défaut
    var X509TrustManager = Java.use("javax.net.ssl.X509TrustManager");
    var TrustManager = Java.registerClass({
        name: "com.custom.TrustManager",
        implements: [X509TrustManager],
        methods: {
            checkClientTrusted: function(chain, authType) {},
            checkServerTrusted: function(chain, authType) {},
            getAcceptedIssuers: function() { return []; }
        }
    });
 
    console.log("[+] SSL Pinning bypass complete");
});

# MobSF v3.9.x en 2025
docker pull opensecurity/mobile-security-framework-mobsf:latest
docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest
 
# Interface web : http://localhost:8000
# Upload APK / IPA → scan automatique → rapport PDF / JSON

Checklist secure coding mobile 2025
────────────────────────────────────
 
Authentication / Storage
  [ ] Secrets dans Keystore/Keychain, JAMAIS SharedPreferences cleartext
  [ ] Biométrie via BiometricPrompt (Android) / LAContext (iOS)
  [ ] Session tokens rotationnés, serveur invalide at logout
  [ ] Pas de credentials hardcodés, extraction strings MobSF clean
 
Communication
  [ ] TLS 1.2+ minimum, TLS 1.3 préférable
  [ ] SSL / Certificate pinning (Network Security Config Android, ATS iOS)
  [ ] Pas de cleartext traffic (usesCleartextTraffic=false Android 9+)
  [ ] HSTS respecté si HTTPS web content in-app
 
Platform / Code
  [ ] android:debuggable="false" en build release
  [ ] android:allowBackup="false" si données sensibles
  [ ] Intent exported="false" par défaut Android 12+
  [ ] WebView : setJavaScriptEnabled(false) sauf nécessaire
  [ ] WebView : @JavascriptInterface exposer minimum
  [ ] iOS : AppTransportSecurity strict, pas d'exception domain
 
Resilience
  [ ] Root/jailbreak detection (SafetyNet/Play Integrity, DeviceCheck)
  [ ] Obfuscation R8/ProGuard Android, symbol stripping iOS
  [ ] Anti-tampering (APK signature v3/v4 enforcement)
  [ ] Anti-debug (ptrace detection, anti-Frida basique)
  [ ] Certificate transparency check
 
Crypto
  [ ] AES-GCM ou ChaCha20-Poly1305 (jamais ECB, jamais CBC nu)
  [ ] KDF bcrypt/scrypt/Argon2id pour passwords
  [ ] JAMAIS MD5, SHA-1 pour intégrité ou auth
  [ ] Random via SecureRandom (Java) / CryptoKit (iOS)

Évaluation sécurité app mobile — 6 phases
──────────────────────────────────────────
 
Phase 1 — CADRAGE (1-2 jours)
  ├─ Scope : Android, iOS, backend APIs
  ├─ Version cible (prod ou staging)
  ├─ Accès fournis (APK, IPA, credentials test)
  └─ Exclusions (ex: SDK tiers non scopés)
 
Phase 2 — ANALYSE STATIQUE AUTOMATIQUE (1 jour)
  ├─ MobSF APK + IPA → rapport MASVS
  ├─ Semgrep / SonarQube sur source si accès
  ├─ YARA rules malware detection
  └─ Binary Ninja / Ghidra pour natives libs
 
Phase 3 — ANALYSE DYNAMIQUE (2-4 jours)
  ├─ Setup lab : émulateur rooté/jailbreaké ou device dédié
  ├─ Frida + Objection setup
  ├─ Burp Proxy intercept traffic
  ├─ Tests MASTG par catégorie
  └─ Exploitation identifiée
 
Phase 4 — TESTS MANUELS CIBLÉS (2-3 jours)
  ├─ Logic flaws business
  ├─ IDOR / broken access via API mobile
  ├─ JWT manipulation
  ├─ Deep links abuse
  └─ WebView exploitation
 
Phase 5 — API BACKEND (2-3 jours en parallèle)
  ├─ OWASP API Security Top 10 2023
  ├─ BOLA / BFLA testing
  ├─ Rate limiting check
  └─ Auth flows complets
 
Phase 6 — RAPPORT + RESTITUTION (1-2 jours)
  ├─ Findings CVSS + MASVS mapped
  ├─ IoCs et preuves reproductibles
  ├─ Recommandations priorisées
  └─ Restitution orale client
 
Total typique : 2-4 semaines pour une app mid-size
Budget PASSI : 20-50 k€ HT selon scope et PASSI vs non-PASSI