Depuis le mois d'août 2009, et mon premier Smartphone sous Android (HTC Hero), j'ai eu l'occasion d'essayer plus de 8000 applications. La grande majorité d'entre-elles venant du Google Play Store (ex Android Market), et d'autres ayant été téléchargées sur des sites Internet tiers pour une installation manuelle. A ce jour, et je croise les doigts pour que cela continue, je n'ai jamais eu de problème de sécurité ou d'infections particulières sur mes appareils mobiles Android (Smartphones et Tablettes).
Ce billet est donc destiné à rappeler certains points importants en termes de sécurité, pour éviter de subir les attaques d'éditeurs véreux et les risques provenant d'applications modifiées allant à l'encontre de l'utilisateur. Je ne prétends bien évidemment pas détenir la solution miracle, le but étant tout simplement de partager bien modestement mon expérience sur l'OS mobile Google Android.
Google Play Store
Si les applications déposées sur le Play Store sont, en principe, contrôlées par les équipes Google, certains risques peuvent néanmoins se présenter. Je vais prendre pour exemple le Buzz généré (et plutôt mal géré) par le groupe BlackBerry il y a quelques semaines à propos de son application Messenger. Celle-ci était en effet annoncée officiellement sur Android le 21 septembre 2013. Cet événement a démontré une absence totale de contrôles par Google. Des éditeurs peu scrupuleux étaient en effet sur les starting blocks, afin de profiter du Buzz mondial, pour tromper les utilisateurs dans un seul but, celui de voler leurs données personnelles. C’est ainsi qu’un grand nombre d’applications abracadabrantes, déposées par des éditeurs enregistrés sous des noms pouvant porter à confusion, ont été validées le 20 septembre par Google. J'ai pu observer différents mouvements, en surveillant la publication officielle de l’application BlackBerry Messenger pour Android.
Attention donc aux fausses applications, avec parfois des noms d’éditeurs farfelus, mais aussi et surtout des descriptions qui devraient faire réagir les équipes de contrôle du géant du Web. Dans l'exemple imagé ci-dessous, il ne s’agit ni plus du moins d’une application "Black Market" proposant 100% d’applications détournées, destinées à pirater vos comptes une fois installées sur votre appareil mobile.
Comme vous pouvez le voir le nom de l'éditeur joue sur le nom de l'application "BlackBerry messenger". Cette fausse application avait été téléchargée plus de 7000 fois, et partagée sur les réseaux sociaux par des utilisateurs trompés. Effet boule de neige garanti pour le développeur pirate.
Deux jours plus tard, on remet le couvert avec iMessage.
Comme si cela ne suffisait pas, un développeur n’a pas hésité à publier une fausse application Apple (iMessage pour Android).
Surfer sur le nom d'applications à succès.
Ce problème est fréquent, nous avons pu le constater il y a encore quelques jours, suite à l'annonce du développeur de l'application à succès (50 000 dollars de revenus publicitaires par jour) "Flappy Bird" du retrait de celle-ci sur le Google Play Store. Beaucoup d'autres développeurs indépendants en ont profité et proposent aujourd'hui des copies, en utilisant parfois le même nom. Si, dans ce genre de cas, il ne s'agit (en principe) pas d'applications destinées à soutirer des informations personnelles une fois installées sur nos terminaux mobiles, il y a quelque part un désir de tromperie.
Prudence donc lorsque vous souhaitez installer des applications ultra médiatisées, vérifiez bien qu’il s’agit de la version officielle. Contrôlez par exemple le lien du site Internet indiqué en bas à droite de la page de présentation sur le Google Play Store, ainsi que l’adresse e-mail (passez votre souris dessus). BlackBerry n'utilisera jamais une adresse du style "bbmmessenger@outlook.com" ou encore "blackberry@homail.com".
Et ne vous fiez pas uniquement aux quelques commentaires très positifs qui pourraient être présents sur cette même page, affirmant qu’il s’agit bien d’une version officielle. Les éditeurs véreux n’hésitent en effet pas à laisser de faux avis, avec de faux comptes, pour encourager les utilisateurs à télécharger.
Si vous n'avez pas la certitude que vous avez la présentation d'une application officielle sur votre écran, abstenez-vous ! Dirigez-vous sur le (vrai) site de l'éditeur, vous y trouverez très probablement le lien officiel de son application, qui vous redirigera sur la bonne page du Google Play Store.
BlackMarket, sites et Forums
Ils existent depuis longtemps et existeront toujours. Les BlackMarket (Boutiques illégales), sites Internet et Forums proposant des liens de téléchargement en dehors du Google Play Store, sont un moyen idéal pour les pirates de distribuer des applications à première vue officielles. Ces dernières sont très souvent modifiées et recompilées afin de voler vos données sensibles par exemple, ou encore d'envoyer des SMS surtaxés. Je vous laisse le soin d'imaginer les conséquences qui pourraient en découler.
Téléchargement de sources inconnues
Par défaut, les appareils mobiles Android (Smartphones et Tablettes) sont livrés avec une sécurité active. Rendez-vous dans Paramètres / Plus / Sécurité, vous pourrez vous rendre compte qu'il existe une rubrique permettant au système de :
- Bloquer les sources inconnues. Ainsi, seules les applications en provenance du Google Play Store pourront être téléchargées et installées. Ne modifiez pas cette option si vous ne téléchargez rien en dehors du Store officiel.
- Vérifier les applications. Permet de recevoir une alerte si le système juge que l'application que vous souhaitez installer n'est pas fiable.
- Niveau de sécurité. Pour régler la force du niveau de contrôle.
Les bonnes mauvaises habitudes à oublier
- 62% des utilisateurs (j'en fais partie) ne protègent pas l'accès à leur appareil via un mot de passe
- 32% des utilisateurs (j'en fais partie) ont leurs mots de passe préenregistrés sur leur navigateur Internet mobile
- 156 millions d'e-mails phishing sont envoyés quotidiennement et contiennent des liens frauduleux
- 52% des utilisateurs se connectent à des réseaux WiFi non sécurisés
Pour en savoir plus : http://venturebeat.com
Autorisations sollicitées
Peu d'utilisateurs vérifient les autorisations qui sont sollicitées par les applications qu'ils installent. Même si il est parfois difficile de bien les comprendre, demandez-vous par exemple pour quelle raison une application destinée uniquement à vous réveiller sollicite un accès à votre liste de contacts ou encore vos messages SMS...
Contrôle des autorisations
Si vous souhaitez un peu plus d'informations concernant les autorisations demandées par vos applications déjà installées et à installer dans le futur, différentes solutions existent.
Vous pourrez par exemple utiliser Permission Friendly (https://www.android-logiciels.fr/permission-friendly).
Solutions anti-virus
Comme je l'indique au début de ce billet, plusieurs milliers d'applications ont transité sur mes différents appareils mobiles Android depuis 2009. Et je n'ai jamais utilisé une quelconque application anti-virus.
Nettoyage, optimisation et vérifications
Clean Master (https://www.android-logiciels.fr/clean-master) est une application que je vous recommande. Elle fait partie de ma sélection (https://www.android-logiciels.fr/la-selection-android-logiciels-fr) car efficace sur plusieurs points.
Non seulement c'est un outil très efficace pour l'optimisation des appareils Android, un peu dans le style de CCleaner pour les ordinateurs, cette application lancera une analyse rapide lors de chaque nouvelle installation et vous avertira en cas de risques reconnus.
Protection contre le vol
Enfin, et pour terminer cet article sur la sécurité, n'oubliez pas d'aller jeter un coup d'oeil sur Cerberus (https://www.android-logiciels.fr/cerberus-antivol), une solution ulta complète conte le vol ou la perte de votre Smartphone/Tablettes Android. Pour un prix très modique, vous aurez la possibilité de protéger les données stockées sur 5 appareils différents.
:hello:
wpDiscuz
