Cyber Shelf

// Comparaison

The Mobile Application Hacker's Handbook vs Threat Modeling : lequel lire ?

Deux livres de cybersécurité sur AppSec, comparés honnêtement : à qui s'adresse chacun, ce que chacun fait de mieux, et lequel lire en premier.

Intermédiaire
3/52015
The Mobile Application Hacker's Handbook

Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse

La référence de Chell, Erasmus, Colley et Whitehouse sur la sécurité applicative iOS et Android du début-mi 2010s — runtime hooking, sécurité du transport, abus IPC et la surface plateforme-spécifique du pentest mobile.

Intermédiaire
5/52014
Threat Modeling

Designing for Security

Adam Shostack

L'introduction de praticien d'Adam Shostack à la modélisation des menaces : STRIDE, arbres d'attaque, et comment intégrer la pratique au cycle de vie logiciel réel.

À lire si

Pentesters mobiles qui veulent les fondations structurelles de la discipline — quelle surface existe, où vivent typiquement les bugs, comment les plateformes diffèrent dans leurs défauts. Les chapitres taxonomie et méthodologie vieillissent plus lentement que le tooling spécifique.
Quiconque conçoit des systèmes et veut livrer moins de bugs en production. La modélisation de menaces est la pratique de sécurité à plus fort levier pour les développeurs ; ce livre l'a enfin rendue enseignable.

À éviter si

Lecteurs ayant besoin de la technique actuelle sur App Attest, DeviceCheck, clés liées biométrie, contournement pinning moderne, instrumentation runtime récente (classe Frida) ou la réalité cross-plateforme (React Native, Flutter, Capacitor). La publication 2015 se voit dans chaque chapitre.
Lecteurs qui veulent une checklist rapide ou un one-pager. Shostack est exhaustif : STRIDE, arbres d'attaque, diagrammes de flux de données, kill chain, le tout avec des exemples filés. Survoler le livre est un gâchis.

Points clés

  • La structure défauts-et-pièges-par-plateforme est durable : le modèle de sécurité de chaque plateforme se comprend encore le mieux à travers le même prisme que le livre utilise.
  • IPC, deep-link et surface inter-app restent les surfaces d'attaque mobile au plus haut rendement, même si les APIs spécifiques ont changé.
  • Couplez chaque chapitre avec du matériel OWASP MASTG / MASVS actuel ; la carte conceptuelle est la valeur du livre, le tooling spécifique non.
  • STRIDE est une fonction de forçage pour la pensée systématique, pas un modèle complet ; le livre apprend quand l'utiliser et quand changer de cadre (arbres d'attaque, personas attaquants, kill chains).
  • La plupart des « outils de threat modeling » sont du tableur-avec-diagrammes ; le vrai bénéfice est la conversation que ces outils structurent, pas le document.
  • Le threat modeling tient dans agile et fonctionne au tempo de la revue de PR une fois pratiqué trois ou quatre fois ; le livre l'argumente à coups d'exemples.

Comment ils se comparent

Nous notons Threat Modeling plus haut (5/5 contre 3/5 pour The Mobile Application Hacker's Handbook). Pour la plupart des lecteurs, Threat Modeling est le choix principal et The Mobile Application Hacker's Handbook un complément utile.

Les deux livres ciblent un public de niveau intermédiaire : le choix se fait sur la thématique, pas la difficulté.

The Mobile Application Hacker's Handbook et Threat Modeling couvrent tous les deux AppSec : les lire dans l'ordre renforce les mêmes notions sous des angles différents.

Continuer la lecture

The Mobile Application Hacker's Handbook

→ Alternatives à The Mobile Application Hacker's Handbook→ Que lire après The Mobile Application Hacker's Handbook

Threat Modeling

→ Alternatives à Threat Modeling→ Que lire après Threat Modeling

Thématiques liées

AppSec