Test d'intrusion d'application mobile
Nous testons vos applications iOS et Android comme le ferait un attaquant : analyse statique et dynamique, instrumentation à l'exécution pour déjouer les contrôles côté client, et test de l'API backend dont dépend l'application. La couverture suit le projet OWASP Mobile Application Security.
Ce que nous testons
Le périmètre s'appuie sur OWASP MASVS v2.1.0 et ses huit groupes de contrôles (Storage, Crypto, Auth, Network, Platform, Code, Resilience et Privacy), testés selon OWASP MASTG. Les applications mobiles étant des clients légers au-dessus d'API serveur, le backend fait lui aussi partie du périmètre.
- Stockage local non sécurisé et cryptographie faible (MASVS-STORAGE / -CRYPTO)
- Authentification, gestion des sessions et validation réseau/TLS (MASVS-AUTH / -NETWORK)
- Interaction avec la plateforme : composants exportés, deep links, IPC et WebViews (MASVS-PLATFORM)
- Qualité du code, secrets en dur et paramètres de build non sécurisés (MASVS-CODE)
- Résilience : détection de root/jailbreak, attestation et anti-altération (MASVS-RESILIENCE)
- Contrôles de confidentialité et API backend dont dépend l'application (MASVS-PRIVACY)
Statique + dynamique, avec instrumentation
Nous combinons analyse statique (décompilation, revue de code manuelle et automatisée) et test dynamique (exécution, interception TLS, vérification du certificate pinning). Les contrôles côté client sont contournables par nature, d'où le principe : le serveur ne doit pas faire confiance au client. Si le pinning ne peut pas être contourné, c'est en soi un constat de résilience.
- 1
Préparation
Nous convenons du périmètre (applications, versions, comptes, le référentiel MAS) et de l'environnement de test, et signons un NDA.
- 2
Collecte de renseignements
Nous profilons l'application, ses intégrations à la plateforme et son backend afin de planifier la couverture statique et dynamique.
- 3
Cartographie
Nous cartographions les composants, deep links, IPC, le stockage et les appels API au regard des groupes de contrôles MASVS.
- 4
Exploitation
Revue statique plus instrumentation à l'exécution (Frida/Objection) pour déjouer les contrôles côté client et atteindre la logique et le trafic.
- 5
Rapport & contre-test gratuit
Vous recevez un rapport priorisé ; nous recontrôlons les points corrigés sans frais supplémentaires, dans le délai fixé par le SoW.
Ce que vous recevez
La même profondeur de livrable que notre exemple de rapport, chaque constat étant mis en correspondance avec les standards MAS afin que la couverture soit auditable.
- Synthèse à l'attention de la direction et posture de risque globale
- Chaque constat : description, impact, preuve, étapes de reproduction et remédiation
- Énoncé du périmètre couvrant les applications, versions, API, comptes et le référentiel MAS
- Sévérité notée avec CVSS 3.1 et traduite en risque métier
- Références au groupe de contrôles MASVS, au test MASTG et au CWE
- Contre-test gratuit des points corrigés dans le délai fixé par le SoW ; SBOM CycloneDX en option
Ancré dans OWASP MASVS & MASTG
La couverture est mise en correspondance avec OWASP MASVS v2.1.0 (huit groupes de contrôles, dont le groupe Privacy ajouté en 2.1.0) et est testée selon OWASP MASTG, cadrée avec les MAS Testing Profiles. Les constats sont notés avec CVSS 3.1.