RASP Android
RASP sur Android : une protection qui tourne dans l'app
Ce que signifie l'autoprotection à l'exécution sur Android, ce qu'elle détecte et comment l'adopter sans gêner les vrais utilisateurs.
Réponse courte
Le RASP (runtime application self-protection) est du code intégré à votre app qui vérifie, pendant son exécution, si l'appareil et l'app elle-même sont dignes de confiance : root, émulateurs, débogueurs, frameworks de hooking et copies modifiées. Une politique décide ensuite de la réponse, du simple signalement à la fermeture de la session. Il augmente le coût d'une attaque ; il ne rend pas une app impossible à attaquer.
Pourquoi les apps Android en ont besoin
N'importe qui peut télécharger un APK, le décompresser, le modifier et le réinstaller. Sur un téléphone rooté ou avec un outil d'instrumentation attaché, un attaquant peut lire la mémoire, contourner des vérifications et modifier ce que l'app envoie. Les règles de votre serveur ne voient que les requêtes qui arrivent, pas l'appareil qui les a produites.
Ce que vérifie un RASP
Les vérifications portent sur l'environnement (root, émulateur, état non sûr de l'appareil), l'instrumentation (Frida, Xposed, fonctions hookées), le débogage (débogueur attaché, traçage du processus) et l'intégrité (signature, code modifié, copies re-signées). Chaque signal seul est faible ; plusieurs ensemble donnent un verdict exploitable.
Comment le déployer sans risque
Commencez en mode surveillance : l'app signale ce qu'elle aurait fait et ne bloque rien. Regardez les événements réels de votre parc installé, puis passez chaque détection en avertissement, blocage ou fermeture de session, une à la fois. Associez les vérifications à l'exécution au durcissement du build (obfuscation), pour que les vérifications elles-mêmes soient plus difficiles à trouver et à retirer.
Ce que disent les sources
L'OWASP MASVS-RESILIENCE-1 demande que l'app valide l'intégrité de la plateforme sur laquelle elle tourne, et MASVS-RESILIENCE-4 qu'elle mette en œuvre des techniques contre l'analyse dynamique.
Source · vérifié le
Frida, un outil servant à inspecter et modifier des apps pendant leur exécution, se décrit comme une boîte à outils d'instrumentation dynamique du code.
Source · vérifié le
L'API Play Integrity de Google renvoie des verdicts sur l'appareil, l'app et le compte, que le backend peut vérifier en plus des signaux de l'app.
Source · vérifié le
Ce que fait Moatgator
Runtime détecte le root, les émulateurs, Frida, Xposed, les débogueurs et la falsification dans l'app.
Source · vérifié le
La réponse à chaque détection se trouve dans moatgator.yml : surveiller, avertir, bloquer ou fermer la session, et chaque détection démarre en mode surveillance.
Source · vérifié le
Shield obfusque l'app compilée dans votre pipeline et la renvoie non signée, vos clés de signature restent donc chez vous.
Source · vérifié le
Le plan gratuit inclut cinq détections en modes surveillance et avertissement.
Source · vérifié le
Les limites
Aucune vérification seule n'est une preuve, et un attaquant déterminé qui a du temps peut contourner les vérifications côté client. Le RASP apporte du signal et du temps ; pour les actions qui font circuler de l'argent, associez-le à une vérification côté serveur (Attest ou Play Integrity).
Questions fréquentes
Le RASP, c'est la même chose que l'obfuscation ?
Non. L'obfuscation rend le code plus difficile à lire avant l'exécution ; le RASP vérifie l'environnement pendant l'exécution. Ils fonctionnent mieux ensemble, car l'obfuscation cache aussi les vérifications du RASP.
Le RASP va-t-il bloquer des utilisateurs légitimes ?
C'est possible si vous bloquez trop tôt. C'est pourquoi les détections doivent démarrer en mode surveillance, pour voir l'impact réel avant de bloquer quoi que ce soit.
Dois-je modifier mon code source ?
Avec Moatgator, non. La protection est ajoutée à l'app compilée dans votre pipeline de build et la politique vit dans moatgator.yml.
Est-ce que ça marche sur iOS ?
Moatgator prend en charge Android et iOS (bêta). Ce guide traite d'Android.
Voyez où en est votre app
Envoyez un APK, AAB ou IPA au Scan gratuit et obtenez une note, sans compte.