Test de sécurité mobile (OWASP MASVS)

Définition

Le test de sécurité mobile désigne l'évaluation méthodologique de la sécurité d'une application mobile Android ou iOS, structurée le plus souvent autour du référentiel OWASP MASVS, Mobile Application Security Verification Standard, qui définit un ensemble d'exigences de sécurité vérifiables couvrant le stockage de données local, la communication réseau, l'authentification, la cryptographie utilisée, la résistance à l'ingénierie inverse, et la qualité générale du code, complété par le guide de test associé détaillant les techniques pratiques de vérification de chaque exigence. Ce test combine typiquement une analyse statique du binaire de l'application, examinant le code décompilé et les ressources embarquées à la recherche de secrets codés en dur ou de logique de sécurité contournable, et une analyse dynamique menée sur un appareil ou un émulateur instrumenté, observant le comportement réel de l'application en exécution, ses communications réseau et son interaction avec le système d'exploitation hôte. Les vulnérabilités les plus fréquemment identifiées concernent le stockage non chiffré de données sensibles localement, l'absence de vérification robuste de certificat TLS, et une logique de sécurité critique implémentée côté client sans validation équivalente côté serveur. Pour les équipes de sécurité applicative mobile, s'appuyer sur le référentiel MASVS et son niveau de rigueur adapté à la criticité de l'application permet de structurer un programme de test reproductible et aligné avec les standards reconnus du secteur.