{"id":228038,"date":"2011-07-21T11:32:54","date_gmt":"2011-07-21T10:32:54","guid":{"rendered":"http:\/\/172.22.49.24\/?p=19"},"modified":"2011-07-21T11:32:54","modified_gmt":"2011-07-21T10:32:54","slug":"android-et-ssl","status":"publish","type":"post","link":"https:\/\/www.intrinsec.com\/en\/android-et-ssl\/","title":{"rendered":"Android and SSL"},"content":{"rendered":"

Depuis plusieurs mois, nous nous penchons sur les risques ainsi que les pr\u00e9cautions \u00e0 prendre quant \u00e0 l’utilisation des terminaux mobiles (smartphones et tablettes sous iOs, Android, Windows Mobile, BlackBerry OS, etc.), ainsi que sur la s\u00e9curit\u00e9 des applications sur ces environnements.<\/p>\n

Ce travail passe notamment par la d\u00e9clinaison de nos d\u00e9marches et le d\u00e9veloppement d’un outillage adapt\u00e9 pour \u00e9valuer une application mobile – y compris en bo\u00eete noire ou via du reverse engineering (que l’objet soit le test d’intrusion, l’audit applicatif, la revue de code ou une analyse d’une application suspecte).<\/p>\n

Dans le cas particulier de l’analyse dynamique d’une application Android, notre d\u00e9marche fut, dans un premier temps, d’utiliser un \u00e9mulateur passant par un proxy local (ZAP<\/em>,\u00a0Burp<\/em>,\u00a0WebScarab<\/em>\u00a0ou autre), de la m\u00eame mani\u00e8re que nous pourrions le faire pour un test d’intrusion web classique.<\/p>\n

\"proxy.png\"<\/p>\n

Nous nous sommes rapidement heurt\u00e9s \u00e0 un probl\u00e8me de coupure SSL, Android ne reconnaissant pas le certificat du proxy.<\/p>\n

\n

Les applications Android rencontrant des exceptions de ce type consid\u00e8rent en g\u00e9n\u00e9ral que l’acc\u00e8s \u00e0 Internet est indisponible ou quittent purement et simplement.<\/p>\n

Le syst\u00e8me d’exploitation de Google poss\u00e8de pourtant un magasin de certificats interne lui permettant d’accepter les connections SSL venant de sources\u00a0\u00a0fiables (\/system\/etc\/security\/cacerts.bks<\/em>).<\/p>\n

Nous avons donc tent\u00e9 de l’extraire, d’y ins\u00e9rer le certificat racine de notre proxy, ce qui en th\u00e9orie, aurait pu nous permettre d’observer les flux HTTPS. N\u00e9anmoins, le syst\u00e8me a besoin de red\u00e9marrer pour prendre en compte le nouveau certificat, mais Android dispose d’un m\u00e9canisme de gestion de l’int\u00e9grit\u00e9 de son magasin et supprime les certificats ajout\u00e9s manuellement \u00e0 chaque d\u00e9marrage, la man\u0153uvre se r\u00e9v\u00e9lant donc inefficace.<\/p>\n

 <\/p>\n

Au cours de nos recherches, McAfee a alors publi\u00e9 un\u00a0white-paper<\/a>\u00a0d\u00e9crivant comment contourner la v\u00e9rification des certificats lors des communications SSL sous Android\u00a0![1]<\/a><\/p>\n

Les connections HTTPS dans l’API Android s’effectuent habituellement en instanciant un des objets suivant\u00a0:<\/p>\n