Dans la partie 3 , nous avons couvert les trois modèles génériques d’installation de logiciels communs à ces 4 systèmes d’exploitation pour téléphones intelligents (iOS d’Apple, Android de Google, Blackberry de RIM et Symbian de Nokia). Dans ce dernier article de la série, nous allons approfondir un peu plus les marchés d’applications et les processus de vérification des applications.
La plupart des fournisseurs de téléphones intelligents fournissent un dépôt d’applications tiers (ou marché). Selon le modèle d’installation du logiciel utilisé (décrit dans la partie 3), les exigences du marché peuvent aller d’une vérification rigoureuse à une simple inclusion pour une recherche et une évaluation pratiques. Il faut comprendre que l’inclusion sur le marché n’implique en aucun cas une vérification substantielle, les administrateurs et les utilisateurs doivent être informés.
Dans le modèle Walled-Garden, le dépôt sert de point d’étranglement – si l’application ne passe pas, alors elle n’est pas incluse. Cela a bien sûr un coût, car le fournisseur doit assurer des tests appropriés. Dans le modèle du Guardian, il y a un équilibre entre le contrôle et la distribution, il pourrait y avoir plus de contrôle, de tests et de vérification dans les dépôts parrainés par le fournisseur. Dans le modèle de contrôle des utilisateurs, il s’agit à peu près d’un jeu gratuit, où le dépôt n’est qu’une question de distribution.
Alors, à quel genre de tests les demandes sont-elles soumises avant d’être incluses dans les marchés plus contrôlés? Eh bien, il s’avère que les vendeurs sont un peu prudents à ce sujet et que l’information n’est pas disponible gratuitement. Voici une liste de certains des tests qui pourraient/devraient être inclus :
- Tests de fumée : sont des tests de base qui garantissent que les applications n’échouent pas de manière catastrophique (c’est-à-dire qu’elles ne fonctionnent tout simplement pas du tout). Ils sont le premier point d’entrée de tout test, pour déterminer rapidement si le test doit se poursuivre.
- Vérifications d’API cachées : elles permettent de s’assurer que le développeur n’utilise pas d’appels d’API réservés au fournisseur du système d’exploitation et à ses applications système.
- Vérifications de fonctionnalité : couvre les fonctionnalités de base et s’assure que l’application se comporte bien avec les autres applications.
- Vérification de la propriété intellectuelle, de la responsabilité et des conditions d’utilisation : aider à s’assurer que les marques de commerce et les conditions d’utilisation sont respectées, en recherchant des mots-clés spécifiques ou un contenu ou un comportement inapproprié.
- Vérifications de l’interface utilisateur : plus important pour les fournisseurs qui mettent l’accent sur l’expérience utilisateur (c’est-à-dire Apple), ces tests permettent de s’assurer que les applications suivent la ligne d’interface utilisateur et se conforment aux directives de l’interface utilisateur.
- Vérifications de la bande passante : pour s’assurer qu’une application n’accapète pas plus de bande passante qu’elle ne le devrait, elles sont effectuées plus intensément sur les applications de diffusion en continu.
- Vérifications de sécurité : il n’est pas encore clair si des fournisseurs effectuent des vérifications de sécurité.
Donc, comme vous pouvez le constater, une taille unique ne convient pas définitivement à tous. Les administrateurs et les utilisateurs doivent se renseigner et tenir compte des éléments suivants lorsqu’ils font leurs choix de sécurité pour téléphones intelligents : l’environnement dans lequel le téléphone sera utilisé, le niveau de connaissance des utilisateurs, le modèle d’installation du logiciel et le processus de test de l’application. Les téléphones intelligents deviennent de plus en plus la cible de logiciels malveillants et, à mesure que la popularité augmente, vous pouvez être sûr que les pirates se concentreront davantage sur eux.
J’espère que vous avez apprécié cette série et que vous partagerez avec nous les compromis spécifiques que vous avez dû faire et les décisions auxquelles ils vous ont amené avec la sécurité de votre téléphone intelligent.
Série de sécurité pour téléphones intelligents (4 articles) :
- Sécurité des téléphones intelligents : un aperçu des cadres de sécurité et des marchés d’applications contrôlées Partie 1 de 4
- Sécurité des téléphones intelligents : un aperçu des cadres de sécurité et des marchés d’applications contrôlés Partie 2 de 4
- Sécurité des téléphones intelligents : un aperçu des cadres de sécurité et des marchés d’applications contrôlés Partie 3 de 4
- Sécurité des téléphones intelligents : un aperçu des cadres de sécurité et des marchés d’applications contrôlées Partie 4 de 4
(Cette série est basée sur un article paru dans IEEE Security and Privacy Magazine, mai 2011, par Dave Barrera et Paul Van Oorschot – http://ieeexplore.ieee.org/xpl/freeabs_all.jsp?arnumber=5674007)
