La sécurité des applications mobiles en pratique

Ce cours de quatre jours est conçu pour enseigner aux participants les principes de base de la sécurité des applications mobiles sur les systèmes d'exploitation mobiles Google Android et Apple iOS. Il présente la méthodologie, les outils et l'expérience permettant d'évaluer la sécurité des applications mobiles.

Prérequis : connaissance des principes de base de la sécurité, de la modélisation des menaces, de la CLI Linux, de la programmation orientée objet et des tests d'applications Web Recommandé, mais pas obligatoire :

• Connaissance de l'assemblage ARM/AArch64
• Expérience en programmation Java, Kotlin, Swift ou Objective-C
• Expérience en test d'applications client lourd
• Expérience de test des services Web (REST, SAML, JSON)

À l'issue de ce cours, les participants doivent maîtriser les points suivants :

• Décrire les modèles de sécurité des appareils et des applications pour les systèmes d'exploitation Android et iOS, ainsi que leurs fonctionnalités de sécurité
• Créer et configurer un environnement de test pour les plates-formes Android et iOS en tenant compte du jailbreaking, du rootage et d'autres concepts
• Effectuer une analyse statique des fichiers APK et IPA dans un environnement d'atelier pratique qui couvre l'encodage Dalvik d'Android et l'assemblage Swift et Objective-C compilé par Apple
• Comprendre quelles données et où les données doivent être stockées, comment elles doivent être consultées et les pièges associés à un stockage de données inapproprié
• Analyser la communication inter-processus en interagissant avec les composants exposés et en les échelonnant sur les deux plates-formes
• Intercepter et modifier de manière fiable des communications réseau pour contourner les fonctionnalités de sécurité telles que l'épinglage de certificats, en tenant compte des chevauchements et des différences entre les tests des API d'applications mobiles et l'évaluation des applications Web classiques
• Utiliser des outils courants d'instrumentation binaire dynamique (DBI) pour tester des applications et analyser des données et du code, par exemple en contournant la détection jailbreak/root ou l'épinglage de certificat
• Compromettre une application de test, énumérer autant de vulnérabilités que possible et envisager des recommandations pour améliorer la sécurité de l'application

Ingénieurs en sécurité, développeurs d'applications et testeurs d'intrusion

Cours en présentiel avec formateur

4 jours