Tests d’intrusion article

Ce que comprend un test d’intrusion d’application mobile

Un test d'intrusion d'application mobile évalue la version autorisée de l'application, son comportement sur l'appareil et ses communications avec les services associés. La couverture est adaptée à iOS, à Android ou aux deux.

Vue d’ensemble de l’évaluation

Contenu de l’évaluation

Versions applicatives, appareils, rôles utilisateur et points de terminaison backend approuvés

Analyse statique et dynamique du comportement de l’application

Évaluation du stockage local, des autorisations, de la sécurité du transport et des risques d’altération

Tests de l’authentification et des mécanismes d’autorisation API associés

Constats pour chaque plateforme, recommandations aux développeurs et résultats des tests de vérification

Couverture des tests

Éléments examinés

La couverture définitive dépend des systèmes, des accès, des objectifs, des exclusions et des exigences de sécurité convenus.

Stockage local et fuite de données

Authentification et gestion des sessions

Autorisations de la plateforme et communication entre processus

Sécurité du transport et validation des certificats

Contrôles de protection contre l’altération de l’application et de résilience

Autorisation d’accès aux API côté serveur

Références sectorielles

Éléments guidant la couverture des tests

OWASP MASVS

Objectifs des contrôles de sécurité pour le stockage mobile, la cryptographie, l’authentification, le réseau, la plateforme, le code et la résilience.

OWASP MASTG

Couverture pratique des tests pour les applications Android et iOS.

Recommandations du fournisseur concernant la plateforme

Exigences de sécurité Apple et Android applicables et comportement des plateformes.

Ces référentiels orientent l’évaluation. Les tests ne constituent pas en eux-mêmes une certification et ne garantissent pas la conformité.

Rapport final

Contenu du rapport

Le rapport est conçu aussi bien pour les décideurs que pour les équipes chargées de la remédiation.

Constats pour chaque plateforme

Éléments probants issus de l’analyse statique et dynamique

Actions de remédiation classées par niveau de risque

Rapport technique destiné aux développeurs

Nouveau test des contrôles corrigés

Discuter du périmètre et du rapport requis.

DIGITPOL confirmera les cibles, les contraintes, les besoins en matière de preuves et les exigences relatives aux rapports avant les tests.

Demander une évaluation