Enseigner la sécurité mobile Android et iOS : module pratique pour les formations cyber

La sécurité mobile est l'une des compétences les plus demandées dans les offres d'emploi en cybersécurité, et l'une des moins bien couvertes dans les curricula universitaires. Entre la fragmentation des plateformes Android et iOS, la spécificité des vecteurs d'attaque et le besoin d'environnements de lab adaptés, beaucoup de formateurs hésitent à se lancer. Ce guide propose un plan de module complet, opérationnel et pédagogiquement solide, pour intégrer la sécurité mobile dans vos formations cyber de manière structurée.

Pourquoi la sécurité mobile est incontournable dans les cursus 2026

Les smartphones et tablettes sont aujourd'hui le premier vecteur d'accès aux données d'entreprise. Applications métier, VPN, messageries professionnelles, authentification multi-facteurs : tout transite ou s'appuie sur un terminal mobile. Pourtant, la sécurité de ces appareils reste structurellement sous-enseignée dans la plupart des formations initiales, au profit d'une sécurité réseau et web qui occupe la quasi-totalité du volume pédagogique.

Les applications mobiles concentrent des classes de vulnérabilités distinctes de celles du web ou des réseaux traditionnels. Le stockage local de secrets dans des fichiers SharedPreferences non chiffrés, la misconfiguration des Intents Android, les faiblesses dans la vérification de certificats TLS, les traitements côté client contournables par instrumentation dynamique — autant de surfaces d'attaque que vos étudiants rencontreront en mission mais n'auront peut-être jamais manipulées en formation.

Du côté de la réglementation, la directive NIS2 et les évolutions du RGPD imposent aux organisations de prendre en compte les risques liés aux terminaux mobiles dans leurs programmes de sécurité. Les auditeurs et consultants qui opèrent dans ces contextes doivent maîtriser les spécificités de chaque plateforme. La demande de compétences mobiles dans les recrutements cyber en France ne se dément pas : les offres de missions de pentest mobile constituent une part croissante des mandats des cabinets spécialisés.

Le référentiel OWASP Mobile Top 10, révisé en 2024, structure les risques en dix catégories qui forment une base pédagogique naturelle pour un module. Parmi les vulnérabilités récurrentes : les credentials insuffisamment protégés, les communications non sécurisées, l'authentification défaillante et les mauvaises configurations de composants exposés. Ce référentiel garantit que le contenu enseigné reste aligné sur ce que les équipes de sécurité cherchent effectivement dans leurs audits.

Le cours dédié à la sécurité mobile de Cyberteachers offre un approfondissement technique sur ces thématiques, utile comme complément de cours ou référence pour les étudiants qui souhaitent aller plus loin entre les séances.

Prérequis techniques et positionnement du module

Ce module n'est pas un module introductif. Il s'adresse à des étudiants disposant déjà d'une pratique des fondamentaux de la sécurité offensive et applicative. Les prérequis doivent être vérifiés avant d'intégrer des étudiants dans ce module, car une lacune sur l'un d'eux ralentira l'ensemble du groupe lors des travaux pratiques, en particulier lors des blocs réseau et instrumentation.

Prérequis indispensables :

• Maîtrise de Burp Suite (proxy, interception, répéteur) — les labs réseau mobile en sont directement dérivés
• Compréhension des flux HTTP/HTTPS, TLS et du fonctionnement des API REST
• Pratique de la ligne de commande Linux (Bash, ADB pour Android)
• Bases en Java ou Kotlin pour la lecture de code Android décompilé
• Compréhension du modèle de sécurité des permissions mobiles (Android et iOS)

Prérequis souhaitables :

• Expérience des vulnérabilités web courantes — injection SQL, XSS, IDOR — pour établir des analogies avec les vulnérabilités mobiles équivalentes, qui en sont souvent des transpositions côté client
• Niveau cours de sécurité web ou équivalent, notamment pour la compréhension des mécanismes d'authentification et de gestion de sessions
• Notions de développement iOS (Swift ou Objective-C) pour les parties d'analyse statique sur les applications Apple

Positionnement dans le cursus :

Ce module se positionne naturellement en M1 ou en 4e année d'école d'ingénieurs, après un semestre de sécurité applicative web. Il peut également constituer un module d'approfondissement dans un master spécialisé cybersécurité ou une formation continue à destination de pentesteurs souhaitant élargir leur périmètre de compétences vers le mobile.

Durée recommandée : 4 blocs de 4 heures, soit 16 heures de formation. Ce volume permet d'aborder Android et iOS avec une profondeur suffisante sur chaque plateforme, tout en consacrant le temps nécessaire aux travaux pratiques sans sacrifier les apports théoriques sur les mécanismes sous-jacents.

Plan de cours en 4 blocs progressifs

La progression proposée suit une logique d'escalade : de la compréhension de l'écosystème vers les attaques pratiques, puis vers la remédiation. Chaque bloc est conçu pour être autonome sur le plan de la compréhension, mais les blocs 3 et 4 supposent la maîtrise des blocs précédents.

Bloc 1 — Fondamentaux et environnement

La première séance est consacrée à l'environnement de lab et à la compréhension des modèles de sécurité des deux plateformes. L'objectif n'est pas d'avancer vite, mais d'établir des bases solides : les étudiants qui ne comprennent pas la différence entre un Intent implicite et explicite, ou qui ignorent le modèle d'entitlements iOS, auront du mal à interpréter les résultats des analyses suivantes. Le temps investi à configurer correctement les émulateurs et le proxy dès le Bloc 1 économise une heure de débogage lors de chaque TP suivant. Prévoir une checklist de vérification d'environnement que les étudiants valident en binômes avant de passer à la suite.

Bloc 2 — Analyse statique

L'analyse statique est le point d'entrée le plus accessible : aucun device physique n'est requis, les outils sont stables et les résultats sont concrets et immédiatement lisibles. Les étudiants décompilent une APK fournie par l'enseignant et cherchent systématiquement : clés API codées en dur, fichiers de configuration lisibles, permissions non justifiées, activities et services exportés sans restriction d'accès.

MobSF permet une première analyse automatisée en quelques minutes, utile pour enseigner la méthodologie de triage avant d'entrer dans l'analyse manuelle. La règle pédagogique à inculquer dès ce bloc : un outil automatisé détecte des symptômes, l'analyste interprète les causes et évalue l'impact réel. Cette distinction est fondamentale pour former des professionnels capables de raisonner, pas seulement d'exécuter des outils.

Bloc 3 — Analyse dynamique et interception réseau

L'interception TLS sur mobile requiert l'installation d'un certificat CA personnalisé dans le magasin de confiance système — procédure qui diffère entre Android 7+, Android 14+ et iOS, et qui varie encore selon que l'application implémente du certificate pinning. Ce bloc est souvent le plus complexe techniquement pour les étudiants, et le plus riche en enseignements sur la sécurité des communications.

Le contournement du certificate pinning avec Frida/Objection est un exercice emblématique : il illustre la limite fondamentale des contrôles de sécurité implémentés côté client. Un attaquant avec accès au device et les bons outils peut contourner ces contrôles. Cette leçon dépasse le mobile et s'applique à toute logique de sécurité positionnée du mauvais côté de la frontière de confiance.

Bloc 4 — Authentification et remédiation

La vérification d'authentification côté client — du type "si le champ isAdmin == true, autoriser l'accès" — est encore rencontrée en production. Ce bloc met les étudiants en situation de trouver et d'exploiter ces failles, puis de rédiger des recommandations concrètes. L'objectif pédagogique final est de produire un étudiant capable de rédiger une section "Résultats et recommandations" dans un rapport de pentest mobile, pas seulement d'exécuter des commandes.

TP clés : analyse d'APK, tests réseau et contournement d'authentification

Les trois TP structurants du module correspondent aux trois capacités fondamentales d'un auditeur mobile en situation professionnelle.

TP 1 — Analyse statique d'une application intentionnellement vulnérable

L'application cible recommandée pour ce TP est une application délibérément vulnérable, comme DIVA (Damn Insecure and Vulnerable App) ou InsecureBankv2. Ces projets open source présentent l'ensemble des vulnérabilités OWASP Mobile Top 10 dans un environnement contrôlé. L'enseignant peut également développer une application maison avec des vulnérabilités ciblées sur les objectifs du module — cette option permet un contrôle total sur la difficulté et les techniques à enseigner, et garantit l'originalité des cas d'analyse d'une session à l'autre.

Le livrable attendu est un rapport d'analyse statique documentant chaque vulnérabilité trouvée, la localisation précise dans le code (classe, méthode), l'impact potentiel et la correction recommandée avec un extrait de code corrigé.

TP 2 — Interception et manipulation de trafic réseau

L'objectif est d'intercepter les communications entre l'application mobile et son API backend, puis de manipuler les requêtes pour compromettre la logique applicative. Ce TP suppose un environnement complet et fonctionnel : émulateur configuré avec proxy, Burp Suite opérationnel, certificat installé dans le magasin de confiance.

La variante avancée inclut le contournement d'un certificate pinning via Frida : les étudiants modifient le comportement SSL de l'application à l'exécution, sans toucher au code source. Ce TP est un excellent exercice de compréhension des mécanismes de confiance TLS et de leurs limites en environnement mobile.

TP 3 — Contournement d'authentification par instrumentation dynamique

Avec Frida ou Objection, les étudiants instrumentent une application pour contourner une vérification d'authentification implémentée côté client. L'exercice type : intercepter l'appel à une méthode checkBiometric() ou verifyPin() et forcer son retour à true. Ce TP démontre de manière concrète que toute logique de sécurité doit être validée côté serveur, jamais uniquement côté client — une règle de conception fondamentale que les étudiants retiendront d'autant mieux qu'ils l'ont violée eux-mêmes.

Matériel recommandé selon la plateforme :

Note sur iOS : l'analyse complète d'iOS sans device physique jailbreaké est contrainte par les protections de la plateforme. Le simulateur Xcode permet les analyses statiques et une partie de l'analyse dynamique de base, mais le certificate pinning et l'instrumentation profonde nécessitent soit un device jailbreaké, soit une solution SaaS comme Corellium. Pour les formations avec budget limité, centrer l'essentiel des TP sur Android et réserver iOS aux aspects théoriques et à l'analyse statique est une option raisonnable qui ne sacrifie pas les objectifs pédagogiques fondamentaux.

La certification eWPT couvre les tests d'applications web incluant les interfaces mobiles et constitue une progression naturelle pour les étudiants souhaitant valider leurs compétences de manière formelle après ce module.

Évaluation et livrables attendus

L'évaluation d'un module de sécurité mobile doit refléter la réalité du métier. Un professionnel mandaté pour un audit mobile ne remplit pas de QCM : il produit un rapport, défend ses conclusions et propose des corrections réalistes. L'évaluation doit reproduire ce format autant que possible dans le temps imparti.

Le livrable principal : rapport de pentest mobile

L'application cible de l'évaluation finale doit être différente de celles utilisées en TP, et idéalement variante pour chaque binôme — vulnérabilités légèrement différentes, noms de classes modifiés — pour prévenir le copier-coller de résultats.

Le rapport doit structurer :

1. Méthodologie : outils utilisés, approche statique puis dynamique, périmètre et limites de l'analyse
2. Inventaire des vulnérabilités : chaque vulnérabilité documentée avec sa localisation précise, sa classification OWASP Mobile Top 10, sa criticité et ses conditions d'exploitation réelles
3. Preuves : captures d'écran, extraits de code décompilé, logs d'interception Burp Suite annotés
4. Recommandations : pour chaque vulnérabilité, une correction concrète illustrée par quelques lignes de code ou de configuration

La grille d'évaluation critériée :

L'oral de restitution de 15 minutes est indispensable. Les questions à poser sont délibérément simples mais révélatrices : "Pourquoi cette vérification côté client peut-elle être contournée ?" ou "Qu'est-ce qui empêcherait votre attaque dans une application bien conçue côté serveur ?" Ces questions séparent immédiatement la compréhension de la reproduction mécanique.

Dispositif anti-copier-coller : les applications cibles utilisées en évaluation sont générées depuis un template avec des variations aléatoires sur les noms de classes et les logiques vulnérables. Chaque binôme reçoit une version distincte, ce qui rend tout copier-coller de résultats immédiatement détectable à la correction.

Ce qu'il faut retenir

Concevoir un module de sécurité mobile solide repose sur cinq points essentiels :

1. Un positionnement clair dans le cursus : ce n'est pas un module pour débutants. Les prérequis web et réseau doivent être vérifiés, sous peine d'un bloc 3 transformé en séance de débogage d'environnement au lieu d'apprentissage des techniques d'analyse dynamique.

2. Un lab opérationnel dès le Bloc 1 : la configuration de l'environnement (émulateur, proxy, certificat) est elle-même un exercice pédagogique. Les étudiants qui ont monté leur lab comprennent mieux pourquoi chaque couche compte dans la chaîne d'interception.

3. Android d'abord, iOS en complément : l'écosystème ouvert d'Android est plus accessible pour l'enseignement pratique. iOS reste incontournable sur le plan théorique et pour la partie statique, mais les contraintes liées au jailbreak imposent des ajustements selon le budget et le matériel disponibles dans votre établissement.

4. OWASP Mobile Top 10 comme fil conducteur : ce référentiel donne une structure reconnue au module, facilite l'alignement avec les certifications professionnelles et prépare les étudiants au vocabulaire qu'ils retrouveront en entreprise et dans les normes sectorielles.

5. L'évaluation par rapport de pentest : c'est la seule modalité qui mesure vraiment les compétences mobilisées. L'oral de restitution est indispensable pour vérifier que les étudiants comprennent ce qu'ils ont exploité — la différence entre un professionnel et un exécutant se fait précisément à ce niveau.

Vous souhaitez structurer l'ensemble de votre programme de formation en cybersécurité ? Retrouvez l'ensemble de nos ressources pédagogiques, plans de cours et guides pratiques sur cyberteachers.org.