Technique de codage sécurisé : parlons du Tapjacking

Le « tapjacking », contraction de « tap » (appuyer) et « hijacking » (détournement), porte bien son nom. Il s'agit d'une attaque où le pirate détourne les interactions de l'utilisateur pour le pousser à effectuer une action non intentionnelle. Comment cela fonctionne-t-il et comment s'en protéger ?

Commençons par les superpositions d'écran (screen overlays), ou ce que Google appelle des fenêtres de type TYPE_APPLICATION_OVERLAY. Il s'agit de fenêtres affichées par-dessus d'autres applications, masquant généralement seulement une partie de l'écran. Elles sont souvent utilisées (comme dans l'exemple ci-dessous) lorsqu'une application demande de nouvelles autorisations.

C'est une fonctionnalité intéressante et ludique que de plus en plus d'applications adoptent, comme les bulles de discussion de Facebook ou la navigation Google Maps dans un coin de l'écran, illustrée ci-dessous.

Cependant, ces superpositions présentent des risques de sécurité. Toute superposition active peut intercepter les interactions tactiles ; comment Facebook saurait-il sinon que vous avez appuyé sur une bulle ? Cela permet à des applications de vous espionner et potentiellement de dérober vos mots de passe ou vos données bancaires.

En allant plus loin, ce qui donne son nom au « tapjacking », les superpositions peuvent afficher des éléments par-dessus d'autres applications pour tromper l'utilisateur. Celui-ci pense interagir avec la superposition, alors que ses actions sont répercutées sur l'application sous-jacente. Ainsi, une application malveillante peut vous inciter à accorder des permissions ou à modifier des paramètres sensibles, comme le montre cette vieille vidéo YouTube.

La vidéo de démonstration ci-dessus date de 2010 et a été réalisée sur une ancienne version d'Android. Mais l'attaque reste pertinente aujourd'hui, car des vulnérabilités ont été découvertes, permettant le tapjacking sur des versions plus récentes comme Nougat et Marshmallow.

Que pouvez-vous faire ? En tant qu'utilisateur, il est crucial de comprendre les risques liés à ces superpositions et de rester vigilant. Depuis l'API 23 (Android 6.0 Marshmallow), cette fonctionnalité nécessite l'autorisation explicite de l'utilisateur. Cela laisse toutefois 50 % des utilisateurs d'Android vulnérables. Vous pouvez vérifier quelles applications utilisent cette autorisation dans vos paramètres, sous « Affichage par-dessus d'autres applications ».

En tant que développeurs, il nous appartient de garantir que les actions des utilisateurs sont effectuées en toute connaissance de cause. Android propose un paramètre pour vos vues appelé filterTouchesWhenObscured. Lorsqu'il est activé, le système ignore les interactions tactiles si la fenêtre de la vue est masquée par une autre fenêtre visible. C'est aussi simple que cela : définissez filterTouchesWhenObscured sur « true » et votre application sera protégée contre le tapjacking.

Bonne chance et à la semaine prochaine !

Il est parfois essentiel qu'une application puisse vérifier qu'une action est effectuée en toute connaissance de cause et avec le consentement de l'utilisateur, comme pour accorder une permission, effectuer un achat ou cliquer sur une publicité. Malheureusement, une application malveillante pourrait tenter de tromper l'utilisateur en masquant l'objectif réel de la vue.

https://developer.android.com/reference/android/view/View.html