Les chercheurs de l’Université Columbia découvrent des bogues cryptographiques dans 306 applications Android
Un rapport récent a montré que plusieurs applications Android populaires hébergées sur le Google Play Store fonctionnaient avec des bogues cryptographiques. Une équipe de chercheurs de l’Université Columbia a réussi à les découvrir à l’aide d’un nouvel outil d’analyse cryptographique. Cependant, seuls quelques développeurs ont répondu aux e-mails des chercheurs concernant le développement.
306 applications populaires fonctionnaient avec des bogues cryptographiques
En utilisant le nouvel outil baptisé CRYLOGGER, les chercheurs ont analysé 1 780 applications provenant de plus de 30 catégories sur le Google Play Store, selon un rapport de ZDNet du 8 septembre. Les applications ont été vérifiées selon 26 règles de cryptographie de base. Cependant, 306 applications ont été repérées avec des bogues cryptographiques, car elles violaient ces règles.
Les règles n°18, n°1 et n°4 étaient les plus violées, selon les chercheurs. La règle n°18 stipulait que les développeurs ne devaient pas utiliser de générateurs de nombres pseudo-aléatoires (PRNG) non sécurisés. La règle n°1 mettait également en garde les développeurs contre l’utilisation de fonctions de hachage défectueuses telles que MD2, MD5, SHA1, etc., tandis que la règle n°4 indique que les développeurs ne devraient pas utiliser le mode d’opération CBC (scénarios client/serveur).
Le chercheur a estimé que les développeurs d’applications devraient déjà avoir de bonnes connaissances de ces règles en tant que cryptographes avant même de commencer à développer des applications utilisables.
Seuls huit développeurs sont en contact
Pendant ce temps, les chercheurs ont déclaré avoir contacté les développeurs derrière les applications présentant des bogues cryptographiques. Cependant, les vulnérabilités n’ont pas été corrigées, ce qui a conduit les chercheurs à s’abstenir de publier l’identité de ces applications pour éviter qu’elles ne soient exploitées. Ils ont ajouté :
« Toutes les applications sont populaires : elles comptent de centaines de milliers à plus de 100 millions de téléchargements. […] Malheureusement, seuls 18 développeurs ont répondu à notre premier e-mail de demande et seulement 8 d’entre eux ont maintenu la communication avec nous, fournissant des commentaires utiles sur nos résultats. »
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Ibiam Wayas
Ibiam Wayas couvre l'actualité des cryptomonnaies depuis 2019. Il a étudié l'informatique à l'Université ouverte du Nigeria. Ses travaux ont été publiés sur diverses plateformes d'actualités cryptographiques, dont Coinfomania, Crypto News Australia et AltcoinBuzz. Fort de son background en informatique, il se concentre désormais sur les actualités liées aux cryptomonnaies, à la robotique et à la longévité.
