Discussion :

[Stéphane le calme]

Pratiquement toutes les 100 applications payantes les plus populaires sur Android et iOS sont victimes d'un piratage,
selon une étude

Le mobile devient progressivement la pierre angulaire de l'économie mondiale. L’utilisation des applications mobiles continue de croître rapidement, et les acteurs internet, à l’instar de Facebook, y consacrent de plus en plus de ressources. D’ailleurs, de nombreux rapports indiquent que, grâce à l’adoption généralisée des appareils mobiles, les applications mobiles représentent une nouvelle décennie d'opportunités. Quelques chiffres : selon Statista, le nombre d’applications téléchargées gratuitement en 2014 est de 127 milliards, et plus de 11 milliards d’applications payantes ont été téléchargées. D’ici 2017, le volume d’applications gratuites téléchargées devrait atteindre les 253 milliards, tandis que celui des applications payantes devrait avoisiner les 14,78 milliards.

Arxan, un spécialiste de la protection d’application, a fait un état des lieux sur les menaces qui planent sur mobiles. Arxan explique avoir revu la fréquence à laquelle les applications mobiles ont été piratées afin de pouvoir produire un clone de l’application ou une version reconditionnée. Il a expliqué que les clones sont vraisemblablement loin d’être de simples répliques ; une analyse séparée a révélé que plus de 50 % des applications clonées sont malveillantes, et par conséquent exposent à de sérieux risques. Aussi, l’étude ne fait pas une différence entre un clone et le piratage d’une application.

Selon ces statistiques, le nombre d’applications payantes iOS du top 100 qui ont été victimes d’un hack est passé de 56 % en 2013 à 87 % en 2014. Chez Android, même si le constat est encore plus alarmant, puisque 97 % des applications payantes dans le top 100 sont victimes d’un hack, la plateforme connaît un léger recul, puisqu’en 2013 100 % des applications l’étaient.

Du côté des 20 applications gratuites les plus populaires, 80 % de celles qui sont répertoriées sur la plateforme Android ont été victimes d’un hack, tandis que ce pourcentage passe à 75 chez Apple. L’année passée, 73 % des applications Android entraient dans cette catégorie et 53 % chez Apple.

Arxan s’est également penché sur les applications financières. Selon ses recherches, le piratage a été la principale méthode de violation des données de cartes de crédit, utilisé dans 52,29 % des cas. Les pertes physiques n’ont compté que pour 5,78 % des cas ; la fraude à la carte pour 6,51 %. La plupart des 20 applications financières les plus utilisées qui ont été utilisées pour constituer son univers ont été piratées ; 95 % sur Android (contre 76 % l’année dernière) et 70 % sur iOS (contre 36 % l’année dernière).

Curieusement, parmi les 20 applications médicales qui ont servi à l’étude, aucune n’a été piratée sur iOS tandis que 90 % l’ont été sur Android.

En tant que spécialiste de la protection des applications, Arxan a un intérêt évident à parler des menaces planant sur les applications mobiles mal protégées. Arxan explique que les applications devraient être conçues pour combattre le reverse-engineering et donc que les développeurs devraient adopter des mesures préventives en construisant des mécanismes d'auto-défense dans l'application, de sorte que l'application mobile soit auto-protégée tout en résidant sur la machine et en fournissant des protections d'exécution et des mesures d'auto-réparation.

Source : Arxan

[tlemeu]

Une autre solution pour éviter ces problèmes ne serait-il pas d’améliorer le contrôle des applis mis sur les stores ?

[elssar]

Le problème c'est que google recommande d'utiliser androguard pour soit disant stopper le reverse engineering, sauf qu'il a été démontré qu'il n'a au final que peu d’impact.. J'avais lu un très bonne article de MISC datant de septembre qui démontré la fragilité des applis android avec des tests à l’appui.

[hbomb]

il y a un point qui me gène dans cette étude, ça dit qu'environ 90% des applis payantes sont victimes de clonages, soit, mais ça ne donne pas le ratio entre l'appli payante téléchargée et son/ses clones téléchargés.

A mon avis, on aura beau augmenter la sécurité sur le reverse-engineering, même si cela réduit le nombre de clones, le choix appartient toujours à l'utilisateur final.
si ce dernier télécharge un clone "parce que c'est gratuit" ou parce qu'il n'a pas fait attention, difficile de pouvoir l'avertir.
reste à voir également combien d'utilisateurs ont un antivirus ou une protection sur leur téléphone qui vérifie les applications et qui évite ce genre de problème dans une majorité des cas.

[Blackknight]

Moi, le seul truc qui me choque, ce n'est pas que l'on puisse faire du reverse-engineering mais surtout qu'en l'ayant fait, on trouve des failles.
Je sais bien qu'aucun code n'est parfait mais franchement, quand je vois les pourcentages, j'ai plutôt tendance à penser que tout ça est codé en dépit du bon sens... Et le reverse n'a rien à voir là-dedans !
Mais bon, quand on voit comment la sécurité est gérée dans les projets informatiques, ce n'est pas si étonnant.

[Saverok]

Moi, le seul truc qui me choque, ce n'est pas que l'on puisse faire du reverse-engineering mais surtout qu'en l'ayant fait, on trouve des failles.

Parfois, la faille est tout simplement l'adresse d'envoie des formulaires
Par reverse engineering, on peut souvent se contenter de recompiler l'appli en changeant juste le paramétrage...
Est-ce vraiment une faille de sécu ?

[Blackknight]

Parfois, la faille est tout simplement l'adresse d'envoie des formulaires
Par reverse engineering, on peut souvent se contenter de recompiler l'appli en changeant juste le paramétrage...
Est-ce vraiment une faille de sécu ?

Du coup, non