Votre application mobile, testée sur l'appareil et au-delà
Nous testons vos applications iOS et Android avec les API et services qu'elles utilisent, dans un périmètre et selon des règles que vous validez par écrit. Puis nous vous montrons ce que nous avons trouvé, pourquoi c'est important et quoi corriger en premier.
Présentation
Ce que couvre un test mobile
Une application mobile s'exécute sur un appareil que vous ne maîtrisez pas, entre les mains de quiconque la télécharge. Ce qu'elle stocke, envoie ou suppose peut être examiné à loisir. Un test utile porte donc sur l'application elle-même, sur sa façon d'utiliser la plateforme et sur le backend auquel elle fait confiance.
Nous examinons comment l'application traite les données stockées et transmises, comment elle authentifie les utilisateurs et gère les sessions, ce qu'elle expose aux autres applications de l'appareil et comment les API qui la servent contrôlent les accès. Les constats côté application et côté backend sont rapportés ensemble, car un attaquant les utiliserait ensemble.
Lorsque c'est utile, nous structurons le travail autour d'un référentiel reconnu, par exemple l'OWASP Mobile Application Security Verification Standard (MASVS) et l'OWASP Mobile Application Security Testing Guide (MASTG), ou autour des exigences de vos clients ou auditeurs.
À qui s'adresse ce service
Les entreprises qui publient leurs propres applications mobiles, ou les font développer par une agence, et veulent savoir comment l'application et son backend résistent : avant une mise en production, après une évolution importante, ou parce que des clients, des partenaires ou des référentiels comme l'ISO/IEC 27001, PCI DSS ou SOC 2 attendent des tests indépendants.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Applications iOS et Android
Applications natives ou multiplateformes qui vous appartiennent ou que vous êtes en droit de faire tester, sur une plateforme ou les deux, depuis le store ou un build que vous fournissez.
Stockage des données et vie privée
Ce que l'application conserve sur l'appareil, où et combien de temps, entre autres identifiants, jetons, données personnelles et journaux.
Communications réseau
Comment l'application échange avec ses serveurs et des services tiers, et si ces échanges sont protégés comme vous l'entendez.
Authentification et sessions
Connexion, fonctions biométriques et liaison à l'appareil, gestion des sessions et autorisations, vérifiées dans l'application et côté serveur.
Backend et API
Les API et services dont dépend l'application, testés pour le contrôle d'accès, le traitement des entrées et la logique métier, car c'est souvent là que se joue l'essentiel.
Interaction avec la plateforme et résilience
Permissions, liens, communication entre applications et protections intégrées contre la modification et la rétro-ingénierie.
Déroulement de la mission
Lancement et cadrage
Nous convenons des applications, versions, plateformes, points d'accès du backend, comptes de test et de ce qui est exclu. Un accord de confidentialité peut être signé avant la première réunion.
Proposition et autorisation
Une proposition commerciale, puis une autorisation écrite d'une personne habilitée pour les applications et chaque backend concerné, et des règles d'engagement : environnements, fenêtres de test, contacts et conduite à tenir en cas de découverte critique.
Tests
Nous testons l'application et son backend dans le cadre convenu, de préférence sur un environnement de test ou de préproduction. Ce qui ne peut pas attendre le rapport vous est signalé immédiatement.
Remise des résultats
Un rapport métier avec appréciation des risques et un rapport technique avec des constats reproductibles et des conseils de remédiation, présentés à vos développeurs et responsables produit.
Contre-test et clôture
Nous vérifions vos correctifs sur un nouveau build et clôturons le projet par un retour d'expérience. Sur demande, un certificat de mission que chacun peut vérifier sur notre site.
Ce que vous recevez
- Périmètre et règles d'engagement convenus
- Rapport métier avec appréciation des risques pour la direction
- Rapport technique avec constats, éléments de preuve et conseils de remédiation pour les développeurs
- Recommandations hiérarchisées couvrant l'application et le backend
- Résultats du contre-test pour les vulnérabilités corrigées
- Certificat de mission réussie en option, vérifiable sur /verify
Questions
Testez-vous seulement l'application, ou aussi le backend ?
Les deux, sauf demande contraire. Une grande partie des constats les plus importants se trouve dans les API appelées par l'application ; nous recommandons donc de les inclure. Si le backend appartient à un tiers, son accord est nécessaire avant de l'intégrer au périmètre.
De quoi avez-vous besoin de notre part ?
Des builds de l'application pour les plateformes concernées, des comptes de test avec les rôles à couvrir, les points d'accès du backend et un contact de votre côté. Le code source ou les documents de conception sont facultatifs et rendent le test plus approfondi.
Pouvez-vous tester en production ?
Nous préférons un environnement de test ou de préproduction équivalent à la production. Si seule la production est disponible, nous fixons des limites dans les règles d'engagement et discutons avec vous du risque résiduel avant de commencer.
Le certificat est-il une certification de conformité ?
Non. Il atteste que la mission a eu lieu et a été menée à terme, et chacun peut le vérifier sur notre site. Il ne certifie l'application au regard d'aucune norme ni d'aucune loi.
Services associés
- Sécurité offensiveTests d'intrusionTests d'intrusion par Black Fox Security : boîte noire, grise ou blanche sur un périmètre convenu, rapports métier et technique, et contre-test de vos correctifs.
- Conseil et réponseDevSecOps et développement sécuriséDevSecOps avec Black Fox Security : cycle de développement sécurisé, modélisation des menaces, revue de code, sécurité CI/CD, dépendances, secrets et formation.
- Sécurité managéeGestion des vulnérabilitésRevues de vulnérabilités récurrentes par Black Fox Security : scans, tri, priorisation selon l'exploitabilité et l'exposition, suivi des correctifs.
- Sécurité managéeDurcissement de la sécuritéDurcissement par Black Fox Security : postes de travail, serveurs et réseaux, référentiels de configuration sécurisée, supervision et sécurité personnelle.
Dites-nous quelle application faire tester
Indiquez-nous l'application, les plateformes et ce qui vous inquiète. Nous revenons vers vous avec un périmètre et une proposition.