Sécurité dans une application mobile IOS & Android

La sécurité d’une application IOS &/ou Android est un élément indissociable de la conception d’une application. Or, celle-ci n’est pas forcément une priorité avant la publication des applications (que ce soit IOS ou Android). Nous ne vous apprenons rien lorsque l’on parle du vol de données. Il s’agit d’un fléau touchant, malheureusement, une majorité d’internautes et de ce fait, il est nécessaire d’agir avec efficacité sur ce point. Dans cet article, vous retrouverez des informations vous permettant d’en savoir plus sur la sécurité de vos applications.

Quels sont les enjeux de la sécurité dans le développement mobile ?

L’utilisateur n’est pas toujours au fait des pratiques en matière de protection des données. Parti de ce constat, il faut savoir agir efficacement du point de vue des agences afin de limiter les risques liés aux applications et ainsi rétablir une sécurité optimale. Les données constituent le nerf de la guerre sur Internet et tous les moyens sont bons pour se procurer le maximum de data sur les internautes.

Votre sécurité

“The work of a generation is beginning here.”

Edward Snowden, 2013

L’insécurité sur Internet est omniprésente et tout le monde n’est pas armé de la même manière pour faire face à la récolte de données, aux logiciels malveillants ou encore aux cyber-escroqueries. Qu’avez-vous à perdre dans ce duel inégal face à des personnes malintentionnées ? Tout.

Rappelez-vous de cette déferlante qu’avait provoqué le logiciel malveillant “WannaCry” qui a mis à genoux plus de 150 pays et plus de 300 000 utilisateurs. Vous n’avez rien à cacher me diront certains d’entre vous. Pourtant, Internet est devenu une plateforme incontournable dans la vie de tous les jours. Lorsque vous prenez l’avion, vous payez en ligne. Ou encore, lorsque vous avez des conversations intimes avec des proches, vous n’aimez pas être espionné. Dès lors où l’on parle de confidentialité, il faut systématiquement être exigeant et faire de ce combat : une priorité !

Et pour votre application ?

Nous l’avons expliqué dans le point précédent, les dangers sont innombrables et la sûreté de votre application dépendra essentiellement de la rigueur avec laquelle, vous ou votre prestataire, conduira sa mise en œuvre. Il faut savoir que les dispositifs sont abondants, encore faut-il prendre le temps de s’informer afin de les mettre en place.

Vous souhaitez faire de la sécurité votre atout principal ? Vous êtes à la bonne page !

Quels sont les pratiques que nous mettons en œuvre pour améliorer votre sécurité ?

Contrairement aux idées reçues, il n’existe pas de sécurité absolue ou de risque zéro, encore moins dans le domaine des applications mobiles.

• Ecrire un code sécurisé

Ecrire un code sécurisé est la première étape afin d’améliorer la fiabilité de vos applications. Afin d’illustrer nos propos, nous allons prendre plusieurs exemples de leviers sur lesquels nous pouvons interagir.

• Chiffrer/crypter/hasher vos données

Le chiffrement des données est présenté sous deux différents aspects : les données stockées sur l’appareil ainsi que les données envoyées et reçues sur l’appareil. Le principe du sécurisation consiste à brouiller les données enregistrées sur un appareil afin de bloquer sa lecture par des tiers. Les données sensibles sont donc enregistrées dans des conteneurs tiers afin de garantir sa protection.

• Utilisation de référentiels en interne

Lors de l’écriture du code, il faudra systématiquement vérifier la fiabilité des différentes bibliothèques afin d’éviter tout risque de prise de contrôle du terminal.

• API fait sur-mesure

Reprendre le code d’un autre développeur, même si celui-ci pouvait sembler fiable représente un risque majeur pour la sûreté de votre application. Dans un souci de prévention, il faut toujours garder un contact avec ce développeur pour qu’il fournisse le code source de son API afin de revoir les procédures qu’il a mis en place et éviter les mauvaises surprises.

Il faut aussi ajouter à cela un risque important et pourtant méconnu de certains. Il est courant pour les sociétés de passer par une agence mobile de renom afin de réaliser une application de qualité. Cependant, celle-ci n’a pas toujours les compétences en interne afin de réaliser et garantir la maintenance.

Imaginons que la société A, afin de réduire le budget alloué à l’application, décide de sous-traiter la maintenance de leur application à une société B. Cette même société B n’a pas forcément les moyens en ressources humaines ou en timing de réaliser cette maintenance. La société B décide donc de sous traiter avec un freelance, sauf que dans le processus : il suffit que l’une des bases de données soit compromise pour que la sécurité de celle-ci soit remise en cause. 

Comme vous l’aurez compris, il faut à tout prix éviter ce genre de système. Et ainsi, clarifier avec votre prestataire qu’il ne devra pas avoir recours à la sous-traitance au travers d’un contrat.

• Gestion des privilèges

La mutation ou encore licenciement d’un salarié peut vous poser problème si celui-ci dispose de droits spécifiques. Avec nos conseils, identifier les utilisateurs disposant des privilèges liés à l’administration de votre application.

• Gestion des droits utilisateurs

La gestion des droits utilisateurs est un fondamental de la sécurité informatique. Il permet d’identifier les utilisateurs ayant besoin d’un accès à la base de données.

On distingue 3 différents types d’utilisateurs :

• Administrateur
• Application
• Utilisateur

Afin de garantir une exigence élevée concernant la gestion des privilèges, il est nécessaire de fournir le minimum de droits aux utilisateurs. C’est ce que l’on appelle l’attribution du moindre privilège. Ces autorisations sont sélectionnées en fonction des tâches à accomplir, bien qu’elle peuvent évoluer avec le temps.

• Gestion des sessions

Afin de parfaire l’API, il faut lui attribuer un mécanisme d’authentification afin de le rendre moins vulnérable aux potentielles intrusions. En effet, le fait que l’API soit publique est un défaut qui le rend critiquable et de ce fait, il est nécessaire de donner un code unique à chaque personne pour en limiter les accès.

• L’utilisation de technologie à jour

Le métier de développeur est en constante évolution, il sera amené à devoir développer ses connaissances contre les incidents en sécurité. En effet, l’objectif de celui-ci est d’être en conformité avec les outils actuels et les méthodes les plus efficaces contre les attaques les plus courantes.  

• RGPD

Le champ d’action de la RGPD est conséquent. Il permet entre autres d’obtenir de la transparence sur ce que font les entreprises avec vos données. Tout d’abord, vous avez le droit de vous opposer à la récolte de données, ce qui est très important en terme de confidentialité. De plus, vous bénéficiez d’un droit à l’oubli et de faire supprimer vos données. Ainsi qu’un droit de regard sur les décisions automatisées ainsi que le droit à la portabilité des données.

Comment pouvez-vous agir en complément de notre action ?

Malgré la multiplication des outils qui visent à améliorer la sécurité de l’utilisateur, on constate une recrudescence de piratage des mots de passe. Quelles sont les bonnes pratiques afin de créer un mot de passe à forte valeur ajoutée ?

• Authentification de haut niveau

Afin de parvenir à un niveau d’authentification de haut niveau, il vous faudra respecter certaines consignes. Tout d’abord, veiller à ne pas donner de signification particulière à votre mot de passe. Ensuite, essayez de varier les caractères : lettres minuscules, majuscules, chiffres, caractères spéciaux. Enfin, pour confirmer la sécurité de votre mot de passe, nous vous conseillons de le tester avec Kaspersky.

• Gestion des droits en interne

La gestion des droits en interne est un aspect fondamental de la sécurité. Pourquoi me direz-vous ? C’est simple, il faudra exercer un contrôle régulier et exigeant face aux différents types d’utilisateur.

En effet, il est absolument nécessaire de bien gérer les rôles notamment dans le processus des ressources humaines (mutation, licenciement …). Pour éviter des intrusions non désirées, il sera donc obligatoire de vérifier les actuels utilisateurs et les droits qui leur sont donnés.

• Gestion des mots de passe

On peut dire qu’il s’agit d’une tâche commune pour tout le monde. Cependant, les méthodes de mise en oeuvre ne sont pas toujours les meilleures. Mais quelle est donc la meilleure méthode pour mémoriser vos mots de passe ? L’écrire sur un carnet ou un papier ? Trop rudimentaire et pas assez sûr. Créer un document Word ou Bloc-note ? Possibilité de vol de fichier + intrusion.

Si ces solutions sont couramment utilisées, il y a un autre dispositif sur lequel vous pouvez vous appuyer. Vous l’avez sûrement deviné, nous conseillons d’utiliser des gestionnaires de mots de passe.

Cette dernière partie clôture notre article sur la sécurité de vos applications mobiles.

Notre article vous a plu ? N’hésitez pas à venir nous contacter pour davantage d’informations.

J’ai une question !