Cyber Shelf

// Comparaison

Android Security Internals vs iOS Application Security : lequel lire ?

Deux livres de cybersécurité sur Mobile, comparés honnêtement : à qui s'adresse chacun, ce que chacun fait de mieux, et lequel lire en premier.

Avancé
4/52014
Android Security Internals

An In-Depth Guide to Android's Security Architecture

Nikolay Elenkov

Nikolay Elenkov sur l'implémentation réelle du modèle de sécurité Android : internals du package manager, permissions, keystore, intégration SELinux, verified boot.

Intermédiaire
3/52016
iOS Application Security

The Definitive Guide for Hackers and Developers

David Thiel

David Thiel sur attaquer et défendre les apps iOS : sandbox plateforme, surfaces IPC, sémantique keychain, sécurité du transport et les patterns qui introduisent de vrais bugs.

À lire si

Chercheurs sécurité mobile et pentesters Android qui ont besoin de comprendre la plateforme à profondeur architecture. Elenkov couvre le framework de sécurité, le signing, les permissions, le keystore et le stack de chiffrement. Le livre de référence sur l'architecture sécurité Android.
Pentesters sécurité mobile et développeurs iOS qui ont besoin d'un guide pratique sur la surface de sécurité de la plateforme. Thiel couvre le sandbox, le Keychain, le runtime, le code signing et la classe typique d'erreurs que les apps iOS expédient.

À éviter si

Pentesters app-only qui ne se soucient pas des internals plateforme, ou quiconque voulant les spécificités Android actuelles (post-2014). Les principes se transfèrent, les spécificités non.
Lecteurs voulant les spécificités iOS actuelles (post-2018). Le livre précède des changements significatifs de la plateforme Apple (App Tracking Transparency, modèle d'entitlement moderne, modern keychain access groups) ; les principes se transfèrent, les spécificités non.

Points clés

  • Le modèle de sécurité Android est un système en couches (kernel Linux + framework + signing) qui casse de manière non évidente aux jointures entre couches ; le livre vous apprend à voir les jointures.
  • Les chapitres keystore et SELinux sont encore le meilleur traitement pour comprendre comment les secrets niveau device et les frontières de processus fonctionnent réellement.
  • Signing et verified boot sont les racines de confiance dont dépend la sécurité subséquente couche app ; les chapitres du livre là-dessus restent fondamentaux.
  • La plupart des vulnérabilités d'apps iOS sont au niveau app, pas au niveau plateforme ; le cadrage du livre s'aligne avec ce que les vrais pentests trouvent.
  • L'usage incorrect de keychain et le stockage non sécurisé sont encore les findings dominants sur les vrais engagements ; le chapitre du livre là-dessus est le cœur pratique.
  • Frida et Objection ont largement remplacé le tooling d'introspection runtime plus ancien décrit ici ; le workflow se traduit, les outils ont évolué.

Comment ils se comparent

Nous notons Android Security Internals plus haut (4/5 contre 3/5 pour iOS Application Security). Pour la plupart des lecteurs, Android Security Internals est le choix principal et iOS Application Security un complément utile.

Android Security Internals vise le niveau avancé. iOS Application Security vise le niveau intermédiaire. Lisez le plus accessible d'abord si la thématique ne vous est pas familière.

Android Security Internals et iOS Application Security couvrent tous les deux Mobile : les lire dans l'ordre renforce les mêmes notions sous des angles différents.

Continuer la lecture

Android Security Internals

→ Alternatives à Android Security Internals→ Que lire après Android Security Internals

iOS Application Security

→ Alternatives à iOS Application Security→ Que lire après iOS Application Security

Thématiques liées

Mobile