Index

Détournement de schéma d'URL iOS

Risk: medium

Description

L'application peut enregistrer des schémas d'URI pour gérer des actions telles que l'authentification unique (SSO), les liens profonds vers l'application ou pour effectuer une communication inter-applications.

Une application malveillante peut enregistrer un URI déjà utilisé par une application authentique et être capable d'intercepter les données qui lui sont destinées, lesquelles peuvent contenir des informations sensibles telles que des codes d'autorisation OAuth ou des jetons.

Recommandation

Pour atténuer les risques de détournement de schéma d'URL sur iOS, il est recommandé d'utiliser les liens universels iOS (Universal Links).

Les liens universels empêchent l'interception par des applications malveillantes via un processus de validation utilisant des liens web standards (HTTP/HTTPS).

Par exemple, l'application Telegram prend en charge à la fois les schémas d'URL personnalisés et les liens universels :

• tg://resolve?domain=fridadotre est un schéma d'URL personnalisé et utilise le schéma tg://.
• https://telegram.me/fridadotre est un lien universel et utilise le schéma https://.

Ce modèle garantit que les liens universels sont uniques et sécurisés sans sacrifier la simplicité et la flexibilité.

Liens

• MITRE ATT&CK - URI Hijacking
• Prevent iOS URL Scheme Hijack

Normes

• OWASP_MASVS_L1:
  • MSTG_PLATFORM_3
• OWASP_MASVS_L2:
  • MSTG_PLATFORM_3
• GDPR:
  • ART_5
  • ART_32
• PCI_STANDARDS:
  • REQ_6_2
  • REQ_6_3
  • REQ_11_3
• OWASP_MASVS_v2_1:
  • MASVS_CODE_4
• SOC2_CONTROLS:
  • CC_2_1
  • CC_4_1
  • CC_7_1
  • CC_7_2
  • CC_7_4
  • CC_7_5
• CNIL_FOR_DEVELOPERS:
  • DEVELOPERS_4_1_4
• HIPAA_CONTROLS:
  • SECURITY221
  • SECURITY212
  • SECURITY213