Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

Trouver les clés codées en dur dans votre application Android

La société Fallible a publié un article où elle explique que des applications Android présentes sur le PlayStore contiennent des clés d’authentification codées en dur.

Alors bien sûr, « des clés », c’est vague, mais ça va de la simple petite clé API pour Google Maps (inoffensive) à des clés privées pour se connecter à AWS (et permettant même de supprimer des instances…etc.)…

… ou encore des clés un peu spéciales permettant par exemple de déclencher des notifications dans l’application Uber.

Oui, les développeurs sont vraiment de gros paresseux

Sur plus de 16 000 APK testés, Fallible a relevé environ 2500 applications contenant une clé, dont un, peu plus de 300 avec une clé privée donnant des accès privilégiés à des services tiers tels que :

Alors évidemment, rien de bien surprenant ici… C’est un classique et Fallible recommande aux développeurs qui n’ont pas d’autres choix que de mettre en dur une clé dans leur application, de bien se pencher sur la doc de l’API qu’ils utilisent et de prendre le temps de créer différentes clés au champ d’action limité.

Mais ce qui est vraiment intéressant dans cette news (et c’est surtout pour ça que j’en cause), c’est que Fallible a mis en ligne son outil pour reverser les applications Android. Il suffit d’uploader le .apk ou de faire une recherche sur le PlayStore et leur outil s’occupe de vous sortir tout ce qu’il y trouve en termes de clés.

Pratique pour voir si votre application a été codée un peu légèrement ou si vous êtes safe de ce côté-là.


Pack Reprise: Renvoyez votre produit et recevez 80% de son prix d’achat

L’avantage principal est de renouveler son matériel informatique sans soucis de revente

Avec le Pack Reprise, quels sont vos avantages ?

• 1 an pour renvoyer tous les produits éligibles (en état de fonctionnement et non cassés).

• 1 bon d’achat d’un montant égal à 80% du prix TTC du produit au moment de l’achat.

• 1 seconde vie apportée aux produits retournés.

Et ce service VOUS est OFFERT !

Le Pack Reprise s’inscrit dans une démarche écoresponsable. Une fois repris, le produit est remis en état par notre partenaire SPB Services, en respectant les normes Environnementales (DEEE) et de Protection des Données (RGPD).
Il est ensuite redistribué et bénéficie ainsi d’une seconde vie !

Accéder au pack reprise et aux produits eligibles



Réponses notables

  1. Est-ce vraiment de la fénéantise ?
    Soit il faut absolument une clé d’API qui doit restée privée, auquel cas elle doit rester sur le serveur de l’application, soit c’est une clé qui ne pose aucun problème et elle peut rester dans l 'apk.
    De toutes façons il n’y a pas vraiment de moyens d’empêcher ça, le code de l’APK reste de toutes façons lisible.
    Au mieux on peut l’obfusquer, mais une personne suffisamment motivée et outillée pourra retrouver l’info.
    Je ne vois pas de méthode qui ne soit pas hyper compliquée et qui au final sera au mieux innefficace et au pire source de bugs ou de requêtes réseau en trop.

Continuer la discussion sur Korben Communauté

1 commentaires supplémentaires dans les réponse

Participants