Aller au contenu principal

Semaine 12 — Sécurité cloud, mobile et IoT

Objectifs pédagogiques​

  • Positionner un pentest cloud dans le modèle de responsabilité partagée.
  • Identifier les vecteurs propres aux applications mobiles.
  • Comprendre les surfaces IoT et pourquoi elles sont souvent plus vulnérables que le reste.

Cloud — Le vrai risque, c'est la configuration​

Les vulnérabilités logicielles restent, mais l'écrasante majorité des incidents cloud viennent de configurations IAM trop permissives, de stockages exposés et de secrets en clair dans des dépôts Git.

Ce qu'on regarde en priorité :

  • Politiques IAM avec Action: "*" ou Resource: "*".
  • Buckets S3 / conteneurs blob accessibles anonymement.
  • Clés d'accès à longue durée de vie, sans rotation.
  • Métadonnées d'instance accessibles depuis les applications (SSRF → vol de rôle).

Outils : pacu, prowler (AWS), scoutsuite (multi-cloud), azure-hound (AAD).

Mobile​

Différence essentielle avec le web : le client tourne sur l'appareil de l'utilisateur, donc sur du matériel qu'un attaquant contrôle intégralement s'il le veut.

Vecteurs classiques :

  • Secrets en dur dans l'APK (clé API, jeton signé).
  • Stockage local non chiffré (SharedPreferences, plist).
  • Absence de certificate pinning → interception TLS triviale.
  • Composants Android exportés sans nécessité.

Outils : apktool, jadx, frida, objection.

IoT​

Les objets connectés cumulent : firmwares anciens, mises à jour rares, comptes par défaut, services non chiffrés. Un pentest IoT dépasse rarement les fondamentaux :

  • Comptes par défaut, mots de passe non modifiables.
  • Interfaces d'administration exposées en HTTP.
  • Firmware téléchargeable et déchiffrable, contenant des secrets.
  • Ports série accessibles physiquement.

Sur ce type de mission, le rapport insiste sur les remédiations organisationnelles : inventaire, segmentation réseau, cycle de mise à jour.