Aller au contenu

Prérequis pour l'analyse mobile

Vue d'ensemble

Ostorlab effectue une analyse statique, dynamique et comportementale des applications mobiles. Ces capacités utilisent un large spectre de moteurs, d'outils et de techniques pour contourner les contraintes des applications en production et évaluer leur sécurité.

L'analyse dynamique exécute l'application dans une sandbox instrumentée pour suivre ses interactions avec le réseau, le système de fichiers, le trousseau (keychain) et les API. Consultez Détection.

Nous recommandons généralement de tester les applications avec l'ensemble des protections activées pour valider l'impact de ces protections, ainsi que de les désactiver pour comparer si des vulnérabilités supplémentaires ont été détectées ou manquées en raison de ces protections.

Formats d'application pris en charge

Vous pouvez téléverser des fichiers d'application Android, iOS et HarmonyOS. Le fichier iOS doit être un IPA non chiffré.

Plateforme Formats de téléversement Remarques
Android .apk, .aab Choisissez Android App dans New Scan.
iOS .ipa Choisissez iOS App. L'IPA doit être non chiffré.
HarmonyOS .apk, .aab, .rpk, .app, .hap Choisissez HarmonyOS App.

Pour les étapes de téléversement, consultez Scanner une application mobile depuis un fichier. La liste complète des types d'actifs se trouve dans Types d'actifs pris en charge par le Multi Asset.

Vous pouvez également ajouter un SBOM ou un fichier de verrouillage (lock file) pour étendre la détection des dépendances. Consultez Scans avec SBOM ou Lockfile pour les fichiers pris en charge.

Le code source est scanné séparément, depuis un dépôt Git ou une archive téléversée (.zip, .tar.gz, .tgz, .7z). Consultez Scan de code source.

Scans depuis le store et TestFlight

Vous pouvez sélectionner une application publiée depuis son store, ou fournir le lien public d'une version iOS TestFlight.

Depuis un store :

  • Sélectionnez PlayStore pour Android, AppStore pour iOS ou AppGallery pour HarmonyOS.
  • Recherchez l'application par son nom, son nom de package, son nom de bundle ou son bundle ID.
  • Si l'application n'est disponible que dans certains pays, choisissez-en un dans le menu Country.

Consultez Scanner une application mobile depuis le store.

Depuis TestFlight :

  • Sélectionnez iOS TestFlight et saisissez l'URL publique TestFlight.

Consultez Scanner une application iOS via TestFlight.

Prise en charge des frameworks

La prise en charge dépend du framework et du type d'analyse. Consultez Support de la plateforme pour le tableau complet.

  • Xamarin : les analyses statique, dynamique, comportementale et backend sont prises en charge ; l'environnement d'analyse ne l'est pas.
  • Framework7 : les analyses dynamique, comportementale et backend, ainsi que l'environnement d'analyse, sont pris en charge ; l'analyse statique ne l'est pas.
  • Apache Weex : les analyses dynamique, comportementale et backend, ainsi que l'environnement d'analyse, sont pris en charge ; l'analyse statique ne l'est pas.

Mécanismes de protection affectant les tests

1. Obfuscation

L'obfuscation de code transforme le code source lisible en une version fonctionnellement équivalente mais difficile à comprendre, rendant la rétro-ingénierie (reverse engineering) plus complexe.

Impact sur les tests : L'obfuscation de code rend les traces d'appels (stack traces) difficiles à lire par les développeurs pour savoir où appliquer les correctifs.

2. Épinglage TLS

L'épinglage de certificat (TLS Pinning) valide que l'application communique uniquement avec des serveurs légitimes en codant en dur le certificat ou la clé publique du serveur attendu.

Impact sur les tests : Peut empêcher l'interception du trafic.

3. Protection à l'exécution

Les mécanismes de protection à l'exécution détectent et empêchent les tentatives de falsification, de débogage ou d'instrumentation pendant l'exécution de l'application.

Impact sur les tests : Empêche l'instrumentation ou le patching de l'application pour l'analyse dynamique.

4. Prévention du mode développeur

Détection et blocage des paramètres de développement, du débogage USB et des connexions de débogage qui pourraient être utilisés pour l'analyse de l'application.

Impact sur les tests : Empêche l'utilisation de protocoles de débogage pour l'instrumentation de l'application.

5. Désactivation des captures d'écran

Fonctionnalité de sécurité qui empêche la capture d'écran de l'application.

Impact sur les tests : Empêche de prendre des captures d'écran et peut légèrement entraver l'exploration et le crawling automatisés de l'application.

Approche de test recommandée

  1. Exécuter avec toutes les protections activées
  2. Exécuter avec la détection du mode développeur désactivée (le cas échéant)
  3. Exécuter avec toutes les protections désactivées

Comparez les résultats des trois exécutions pour voir si les protections ont masqué des vulnérabilités.

Pour mesurer la résistance des protections elles-mêmes, lancez un Mobile Shielding Scan. Il vérifie l'obfuscation, l'anti-falsification, l'anti-débogage ainsi que la détection du root et du jailbreak, et exécute l'application dans des environnements rootés ou jailbreakés pour cette dernière vérification. Il mesure les protections et n'est pas un scan de vulnérabilités. Un Mobile Deep Agentic Scan exécute les mêmes vérifications en plus de ses tests de vulnérabilités. Consultez Comparaison des types de scan.

Limitations connues