Page 19 - Audit de sécurité de différentes applications de services financiers numériques (DFS)

La réponse du serveur a été falsifiée durant les réussi. Par exemple, la détection d'opérations cryp-
tests et le solde du compte de l'utilisateur s'af- tographiques non sécurisées n'implique pas néces-
fichant sur l'application a été modifié� sairement que des informations sensibles ne seront
pas chiffrées de manière sûre. Un autre exemple est
3.3.6 M8: Falsification de code le fait que App1 ne chiffre pas le détail des transac-
tions (noms, montants) réalisées via une connexion
√ T8.1 L'application ne fonctionne pas sur les appa- HTTPS. Puisque l'application pratique l'épinglage de
reils Android rootés. certificats, le risque que les informations soient inter-
ceptées par un adversaire est pratiquement nul.
3.3.7 M9: Rétro-ingénierie Néanmoins, tous les tests réalisés renvoient aux
bonnes pratiques que sont tenues de respecter les
√ T9.1 Le code de l'application a fait l'objet d'une applications financières. Les résultats présentés
obfuscation. doivent donc être lus comme une évaluation norma-
lisée consistant à déterminer si les applications
étudiées sont conçues conformément aux bonnes
pratiques. Les résultats des tests ne permettent pas,
4 CONCLUSIONS à eux seuls, de déterminer si une application est
vulnérable à une attaque spécifique.
Nous avons défini une méthode pour auditer les
applications de DFS en déployant des efforts raison- 4�2 Comparaison avec le Cadre de garantie de la
nables. Cette méthode exclut toute analyse de la sécurité des DFS du Groupe de travail de la FIGI sur
logique des applications, puisqu'une telle démarche la sécurité, l’infrastructure et la confiance
impliquerait de pratiquer une rétro-ingénierie du Le Groupe de travail sur la sécurité, l'infrastructure et
code de l'application. Les trois applications testées la confiance de la FIGI a établi un Cadre de garantie
pratiquent toutes l'obfuscation de code, ce qui rend de la sécurité pour les DFS .
13
les tentatives de rétro-ingénierie particulièrement Dans son neuvième chapitre, ce cadre définit une liste
difficiles. de cinq catégories de bonnes pratiques. Le tableau
suivant classe les 18 tests de la méthode proposée
4�1 Évaluation des résultats dans ces cinq catégories.
Comme nous n'analysons pas la logique des applica-
tions, il est difficile d'estimer l'impact d'un test non

Audit de sécurité de différentes applications de services financiers numériques (DFS) 17