Analyse statique de binaire mobile

Définition

L'analyse statique de binaire mobile désigne l'examen du code et des ressources d'une application mobile sans jamais l'exécuter, en décompilant ou en désassemblant le paquet d'installation pour reconstituer une approximation lisible du code source original, permettant d'identifier des faiblesses de sécurité directement visibles dans la logique du programme : secrets et clés d'API codés en dur dans le binaire, logique de vérification de licence ou de sécurité contournable une fois comprise, usage d'algorithmes cryptographiques faibles ou obsolètes, et permissions excessives demandées par l'application sans justification fonctionnelle apparente au regard de ses fonctionnalités déclarées. Les applications Android, s'appuyant sur un environnement d'exécution intermédiaire, se prêtent généralement plus facilement à une décompilation produisant un code proche du code source original que les applications iOS compilées en code natif, bien que des outils de désassemblage performants existent également pour cette plateforme et permettent une analyse approfondie malgré cette contrainte supplémentaire. Cette analyse complète utilement l'analyse dynamique, révélant des faiblesses de conception présentes dans le code même lorsqu'elles ne se manifestent pas nécessairement dans le comportement observable de l'application en exécution normale. Pour les équipes de développement mobile, la contre-mesure repose sur l'obscurcissement du code pour compliquer la rétro-ingénierie, l'absence stricte de tout secret codé en dur dans le binaire distribué, et le stockage de la logique de sécurité critique côté serveur plutôt que côté client.