OWASP MASVS
L'OWASP MASVS et les quatre contrôles de résilience
Ce que demande le standard de sécurité mobile, la place de la résilience et comment voir où en est votre app aujourd'hui.
Réponse courte
L'OWASP Mobile Application Security Verification Standard (MASVS) est le standard de l'OWASP pour les exigences de sécurité des apps mobiles. Il regroupe les contrôles en huit catégories, de STORAGE à PRIVACY. MASVS-RESILIENCE est la catégorie consacrée à la résistance à la rétro-ingénierie et à la falsification, avec quatre contrôles : intégrité de la plateforme, anti-falsification, anti-analyse statique et anti-analyse dynamique.
MASVS, MASTG et MASWE
Le MASVS dit quoi vérifier. L'OWASP Mobile Application Security Testing Guide (MASTG) dit comment le tester, avec des techniques et des outils, et l'énumération des faiblesses relie les exigences à des problèmes concrets. Les revues de sécurité et les pentests utilisent souvent les trois ensemble.
Pourquoi la résilience compte pour les apps qui font circuler de l'argent
Les autres catégories protègent les données et les communications quand l'appareil est de confiance. La résilience couvre le cas où il ne l'est pas : un téléphone rooté, une app instrumentée ou une copie modifiée. C'est la situation que crée l'attaquant lorsqu'il s'en prend aux apps qui font circuler de l'argent.
Comment l'utiliser
Associez chaque contrôle à ce que fait votre app aujourd'hui, repérez les manques et corrigez d'abord les problèmes de configuration, peu coûteux. Ajoutez ensuite une protection à l'exécution et du durcissement pour les contrôles de résilience, et conservez la preuve de chaque changement pour les revues.
Ce que disent les sources
Le MASVS regroupe ses contrôles en huit catégories : STORAGE, CRYPTO, AUTH, NETWORK, PLATFORM, CODE, RESILIENCE et PRIVACY.
Source · vérifié le
MASVS-RESILIENCE-1 : l'app valide l'intégrité de la plateforme.
Source · vérifié le
MASVS-RESILIENCE-2 : l'app met en œuvre des mécanismes anti-falsification.
Source · vérifié le
MASVS-RESILIENCE-3 : l'app met en œuvre des mécanismes contre l'analyse statique.
Source · vérifié le
MASVS-RESILIENCE-4 : l'app met en œuvre des techniques contre l'analyse dynamique.
Source · vérifié le
Ce que fait Moatgator
Le Scan gratuit note de A à F un APK, AAB ou IPA, avec des constats rattachés à l'OWASP MASVS-RESILIENCE.
Source · vérifié le
Shield couvre la défense contre l'analyse statique en obfusquant l'app compilée.
Source · vérifié le
Runtime couvre l'intégrité de la plateforme, l'anti-falsification et la défense contre l'analyse dynamique, avec des détections qui répondent selon la politique.
Source · vérifié le
Les limites
La note d'une analyse statique lit le paquet ; elle ne remplace ni un pentest ni une revue MASVS complète, et satisfaire tous les contrôles ne rend pas une app impossible à attaquer.
Questions fréquentes
Le MASVS est-il une certification ?
Non. C'est un standard de vérification. Les organisations s'en servent pour définir des exigences et structurer des revues de sécurité et des pentests.
Quelle version du MASVS utiliser ?
La version actuelle publiée par l'OWASP sur mas.owasp.org, qui définit les huit catégories et les quatre contrôles de résilience décrits ici.
Toutes les apps ont-elles besoin de MASVS-RESILIENCE ?
Pas toutes. Il compte surtout pour les apps qui manipulent de l'argent, des identifiants ou des contenus de valeur, où l'attaquant investit dans la rétro-ingénierie.
Comment vérifier mon app rapidement ?
Envoyez l'APK, l'AAB ou l'IPA au Scan gratuit. Il lit le paquet et rattache ce qu'il trouve aux contrôles de résilience, sans compte.
Voyez où en est votre app
Envoyez un APK, AAB ou IPA au Scan gratuit et obtenez une note, sans compte.