Cet article a été traduit automatiquement.
Une application permet à vos clients d'accéder à vos produits et services depuis n'importe quel endroit disposant d'une connexion internet fonctionnelle. En appuyant sur un téléphone ou en tapant sur un clavier, ils travaillent avec vous dans un format que vous avez conçu et marqué pour votre entreprise.
Si les applications peuvent être des atouts considérables, elles peuvent aussi être incroyablement vulnérables aux attaques. Et lorsqu'ils sont attaqués, les dégâts peuvent être catastrophiques.
En avril 2020, par exemple, un site hacker a extrait et publié les enregistrements de 20 millions d'utilisateurs d'applications Android. Le site hacker demande 19 millions de plus.
Des pratiques solides en matière de sécurité des applications garantissent que vous construisez votre application en gardant la sécurité à l'esprit. Et les processus que vous utilisez pour tester l'application vous permettent d'être toujours prêt à faire face à la prochaine menace.
Comment fonctionne la sécurité des applications ?
Il est relativement facile de comprendre pourquoi une entreprise souhaite effectuer au moins quelques tests de sécurité des applications. Mais il est un peu plus difficile de déterminer quand et comment s'attaquer à ce travail.
En général, il faut au moins cinq mois pour créer une application. Et il faut consacrer beaucoup de temps à tester votre application contre les menaces. Le code que vous utilisez ici peut soit vous exposer à une attaque, soit empêcher qu'elle ne se produise.
Mais lorsque votre application est opérationnelle, les tests de sécurité de l'application par le biais d'un audit peuvent vous permettre de trouver et de résoudre les nouveaux problèmes découverts par les pirates informatiques.
Les techniques couramment utilisées par les entreprises sont les suivantes :
- Whitebox contrôle de sécurité. Un expert parcourt le code source, à la recherche de failles de sécurité et de problèmes de codage.
- Blackbox contrôle de sécurité. Un expert tente de pirater l'application et vous êtes informé des techniques qui semblent fonctionner.
- Tests de vulnérabilité. Certaines entreprises proposent des équipes hacker pour tester votre produit et signaler toute anomalie.
Avec autant de possibilités et d'outils disponibles, c'est à vous de trouver la technique et le moment qui conviennent le mieux à votre entreprise.
Techniques courantes de sécurité des applications
Entrons dans le vif du sujet des tests de sécurité des applications. Sachez que certaines entreprises utilisent plusieurs de ces méthodes en même temps pour garantir la sécurité de leurs produits, tandis que d'autres n'en utilisent qu'une ou deux. Voici une excellente liste d'outils de sécurité des applications et de tests de pénétration.
En général, il existe quatre types de tests principaux.
- Dynamique : Le code que vous exécutez actuellement dans votre application est analysé ligne par ligne. Si vous utilisez cette technique en même temps qu'un hacker engagé pour tenter de s'introduire dans le système, vous verrez l'attaque se dérouler en temps réel.
- Statique : Examinez très attentivement une partie de votre code au cours de la phase de développement. Considérez cela comme une relecture du code pour vous assurer que vous ne commettez pas d'erreurs cruciales.
- Interactif : Combinez des techniques statiques et dynamiques pour décomposer votre code et examiner de près les technologies de l'information.
- Mobile : Demandez à hacker de tenter une attaque en exécutant l'application sur un terminal mobile.
Outre les tests, vous pouvez utiliser un produit pour vous assurer que votre application est sûre et sécurisée. Il en existe de nombreux, mais la plupart des outils fonctionnent selon l'un de ces modèles :
- Alerte : un tel outil ne peut pas empêcher un hacker de pénétrer à l'intérieur. Mais une fois que vos murs auront été franchis, vous saurez ce qu'il en est des technologies de l'information.
- Détection : Un outil de détection des menaces examine votre réseau (ou l'environnement en nuage) afin d'évaluer les points vulnérables aux attaques extérieures.
- Protéger : Un outil d'autoprotection des applications en cours d'exécution (RASP) qui combine les alertes et les détections. Ces outils peuvent même arrêter l'application informatique au milieu d'une attaque.
Au fur et à mesure que de nouvelles menaces apparaissent et que de plus en plus d'entreprises investissent dans des applications, il est probable que de nouveaux outils plus performants seront également mis au point.
Pourquoi la sécurité des applications est-elle importante ?
Une attaque contre votre application peut être absolument dévastatrice. Par exemple, les experts affirment qu'une adresse hacker à l'intérieur de votre application pourrait voler des données de connexion, des tbd, des courriels et des données financières. Lorsque la brèche est libérée, vos clients ne blâmeront pas le site hacker. Vos clients vous le reprocheront et il vous faudra des années pour vous en remettre.
La nature mobile de l'application accroît également les risques. Votre application s'exécute sur votre réseau, dans le nuage et vice-versa. Chaque entrée et chaque sortie est un point de vulnérabilité qui n'attend que d'être découvert par hacker.
Les cinq risques les plus courants en matière de sécurité des applications sont les suivants :
- Injection. Les données non sécurisées sont envoyées sous forme de commande ou de requête, ce qui permet d'accéder aux données sans autorisation.
- Authentification interrompue. les clés de compromission des pirates, tbd, et plus encore lorsque les fonctions liées à la gestion ou à l'authentification de session tombent en panne.
- Exposition de données sensibles. Des informations financières, des dossiers médicaux, etc. sont exposés en raison de problèmes de chiffrement.
- XXE. Les anciens sous-traitants XML ne protègent pas complètement les données.
- Contrôle d'accès brisé. Les problèmes d'authentification permettent aux gens de voir ce qu'ils ne devraient pas voir.
Votre application peut présenter d'autres risques cachés, tels que des problèmes de script, des composants anciens ou une mauvaise surveillance. L'un ou l'autre de ces problèmes pourrait permettre à quelqu'un d'entrer dans votre application et d'en ressortir avec des données très sensibles.
Application Security demande d'authentification You Should Know About
Les pirates informatiques peuvent être très intelligents, et il peut être incroyablement difficile de trouver et d'éliminer tous les risques auxquels vous êtes confrontés lorsque vous servez vos clients à l'aide d'une application.
Les demandes d'authentification les plus courantes auxquelles est confrontée toute personne souhaitant assurer la sécurité des applications sont les suivantes :
- Langue. Certains outils de test ne fonctionnent qu'en Java. D'autres fonctionnent mieux avec Microsoft.Net. Vous devez en trouver un qui fonctionne avec le code que vous avez utilisé, même si ce n'est pas votre premier choix.
- Les équipes. De nombreuses personnes sont impliquées dans une application, notamment l'équipe sécurité, les équipes de codage, le marketing et le service clientèle. Parfois, ce qui aide un groupe nuit à un autre. Une communication claire est essentielle.
- Nuages. Chaque fois que vous transférez des données dans le nuage, vous courez le risque que des personnes voient des choses qui ne leur sont pas destinées.
Vous pouvez surmonter ces problèmes. C'est le cas de nombreux professionnels sur le site IT. Mais vous devez les garder à l'esprit lorsque vous travaillez.
Normes et règlements en matière de sécurité
Vous souhaitez peut-être protéger vos clients et vos données. Mais vous pouvez commettre des erreurs. Près de la moitié de toutes les applications présentent une certaine forme de vulnérabilité. Les normes suivantes peuvent vous aider.
Des normes formalisées vous aident à comprendre ce qui est acceptable pour votre application et ce que les experts considèrent comme un problème majeur. Le respect de ces règles peut vous aider à prouver à vos clients que vous prenez leur vie privée, leur sécurité et leur sûreté au sérieux.
Des dizaines de normes existent, y compris des versions rédigées par ces entités :
- Centre de coordination CERT
- Énumération des faiblesses communes
- Agence du système d'information de la défense
- Organisations internationales de normalisation
- Commission électrotechnique internationale
- Projet ouvert de sécurité des applications web
- Industrie des cartes de paiement
Quelques règles gouvernementales, telles que la loi Gramm-Leach-Bliley et la loi sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA), peuvent également s'appliquer dans votre environnement réglementaire.
Ces règlements peuvent être extrêmement techniques. Un seul ensemble de règles de l'Institut national des normes et des technologies compte 55 pages. Il est préférable de les lire et de bien les comprendre avant que le développement ne commence véritablement, afin de créer votre application en conséquence.
Obtenez l'aide d'experts
Peu d'écrivains vérifient leur propre travail. Ils demandent à leurs rédacteurs en chef d'intervenir et de s'assurer qu'ils ont tout fait correctement. Les équipes de codage devraient faire de même.
Travaillez avec quelqu'un qui peut parcourir votre application en long en large et en travers et vous signaler tout problème susceptible de nuire à la santé de votre entreprise. Écoutez attentivement ces experts et prenez toutes leurs recommandations à cœur.
Si vous recherchez un partenaire de confiance, pensez à Okta. Nous offrons une plateforme de confiance pour sécuriser les actifs précieux de votre entreprise, et nous serions ravis de travailler avec vous. Contactez-nous, et commençons.
Références
hacker demande Popular Android magasin d'applications Breached : Publie 20 millions d'identifiants d'utilisateurs. (avril 2020), Forbes.
Combien de temps faut-il pour développer une application mobile ? (octobre 2017). Medium.
Si ces applications sont installées sur votre téléphone, vous pouvez "facilement" être piraté. (décembre 2020), Forbes.
OWASP Top Ten. La fondation OWASP.
Comment 85 % des applications mobiles violent les normes de sécurité. (Octobre 2018). TechRepublic.
Vérifier la sécurité des applications mobiles. (Avril 2019). Institut national des normes et technologies.
