Applications Android et vulnérabilités aux attaques Man-in-the-Middle (MITM) et SSL : solutions, réalités et enjeux.
Quelles soient
gratuites ou pas, peu d’applications mobile disponibles sur les différents App
Stores sont rigoureuses en matière de sécurité. Malheureusement, peu de
développeurs font de la sécurité de leurs applications une priorité absolue.
Dans un
environnement progressivement entièrement mobile, où la nouvelle convergence IT
est le point de rencontre en termes de services, technologies, contenus et d’attaques ;
le chiffrement des données, les bonnes pratiques et méthodologies de
développement sont cruciales.
Connectikpeople.co,
bientôt #Retinknow® a créé DevCorner pour aider les développeurs et
professionnel IT à s’approprier les bonnes pratiques, technologies et
méthodologies.
Les failles
SSL et les attaques type Man-in-the-Middle (MITM), sont de plus en légion et
sophistiquées et Connectikpeople.co, bientôt #Retinknow® est choqué de constater qu’ une étude sur les applications du
Google Play Store a conclu que la majorité des applications les plus populaires
présentaient des failles SSL et étaient susceptibles de subir des attaques type
Man-in-the-Middle (MITM).
Ce qui n’est
pas une surprise pour Connectikpeople.co, bientôt #Retinknow®, car, pour la
plupart il s’agit d’une mauvaise utilisation des bibliothèques SSL.
Selon FireEye,
la majorité des 1000 applications Android les plus téléchargées sur le Google
Play Store sont victimes de vulnérabilités SSL. C'est-à-dire entre autres potentiellement
vulnérables à l’injection d’un code
malicieux ; à la récupération de données, en l’occurrence :
identifiants et mots de passe, emails, ID de l'appareil, géo-localisation, photos,
etc.
Connectikpeople.co,
bientôt #Retinknow® peut observer que : sur 614 applications utilisant des
connexions SSL/TLS avec un serveur distant, 73% ne vérifieraient pas les
certificats et 8% utilisaient un vérificateur de nom d'hôte ne vérifiant
absolument rien.
Sur les 285
applications utilisant le moteur WebKit, 77% ignoreraient les erreurs SSL
générées par celui-ci.
