Fuites de données silencieuses
Envoi de la géolocalisation, des contacts, du presse-papiers ou d'identifiants vers des serveurs tiers.
Le contexte
Pourquoi auditer avant de publier
Les stores demandent aux éditeurs de déclarer leurs pratiques de confidentialité, mais ces déclarations sont renseignées par les éditeurs eux-mêmes. Une application peut donc être publiée sans que ses envois de données, vers des serveurs tiers par exemple, aient été contrôlés.
Regarder les permissions déclarées ne suffit pas : une permission accordée ne dit rien de l'usage qui en est fait. L'analyse de ce que l'application est programmée pour faire révèle les traitements réels et leurs destinataires.
Côté entreprise, distribuer des applications via un MDM ou une boutique interne engage la responsabilité de l'organisation. Si l'application transmet des données de façon non maîtrisée, l'organisation est concernée, qu'elle l'ait développée ou non.
Un audit complet porte sur trois points : les comportements et traitements de données, la sécurité des communications réseau, et les vulnérabilités du code, y compris celles des bibliothèques embarquées.
La solution
Comment Pradeo audite vos applications
La solution de Mobile Application Security Testing de Pradeo analyse le code binaire de l'application mobile, sans accès à son code source. Elle identifie ses comportements, ses flux réseau et ses vulnérabilités, référencées selon l'OWASP et l'US-CERT. Android et iOS sont couverts par la même plateforme.
La politique de sécurité est entièrement personnalisable, pour que le rapport ne remonte que ce qui compte dans votre secteur. Les audits s'exécutent depuis la plateforme en ligne, ou par API pour s'intégrer à votre chaîne CI/CD : chaque nouvelle version est analysée automatiquement avant publication, sans étape manuelle pour les développeurs.