Des chercheurs de l'université Columbia découvrent des failles de sécurité cryptographiques dans 306 applications Android

Un rapport récent a révélé que plusieurs applications Android populaires hébergées sur le Google Play Store présentaient des failles de sécurité cryptographiques. Une équipe de chercheurs de l'Université Columbia a pu les découvrir grâce à un outil d'analyse cryptographique récemment développé. Cependant, seuls quelques développeurs ont répondu aux courriels envoyés par les chercheurs concernant ce développement. 

306 applications populaires fonctionnant avec des failles de sécurité liées au chiffrement

D'après un article de ZDNet publié le 8 septembre , les chercheurs ont analysé 1 780 applications issues de plus de 30 catégories du Google Play Store grâce à un nouvel outil baptisé CRYLOGGER. Les applications ont été vérifiées selon 26 règles de cryptographie fondamentales . Cependant, 306 applications présentaient des failles de sécurité, car elles ne respectaient pas ces règles.

les règles n° 18, n° 1 et n° 4 étaient les plus souvent enfreintes. La règle n° 18 stipulait que les développeurs ne devaient pas utiliser de générateurs de nombres pseudo-aléatoires non sécurisés. La règle n° 1 les mettait également en garde contre l'utilisation de fonctions de hachage défaillantes telles que MD2, MD5, SHA1, etc., tandis que la règle n° 4 interdisait l'utilisation du mode de fonctionnement CBC (scénarios client/serveur).

Le chercheur a estimé que les développeurs d'applications devraient déjà posséder une bonne connaissance de ces règles en tant que cryptographes avant même de se lancer dans le développement d'applications utilisables. 

Seuls huit développeurs sont en contact.

Par ailleurs, les chercheurs ont indiqué avoir contacté les développeurs des applications présentant des failles de sécurité liées au chiffrement. Cependant, ces vulnérabilités n'ayant pas été corrigées, les chercheurs se sont abstenus de divulguer l'dentde ces applications afin d'éviter toute exploitation. Ils ont ajouté :

« Toutes les applications sont populaires : elles comptent de plusieurs centaines de milliers à plus de 100 millions de téléchargements. […] Malheureusement, seuls 18 développeurs ont répondu à notre premier courriel de demande et seulement 8 d’entre eux nous ont recontactés à plusieurs reprises en nous fournissant des commentaires utiles sur nos conclusions. »