Analyses des applications:

Gestionnaires de mots de passe

Présenté par:
-Manal Bennouf
-Hajar Sabri
Encadreur:
-Monsieur Koulali
Mohammed Amine
PLAN:
❖C’est quoi un gestionnaire de mot de passe?

❖Analyse Statique :
✓ Reverse engineering

❖Analyse dynamique:
✓ Bypass Android Certificate pinning
• Frida
✓ Intercept SSL trafic
• Burp Suit
Un gestionnaire de mot de passe:
-Un gestionnaire de mots de passe est l’un des
moyens les plus efficaces pour vous protéger en
ligne : il vous évite d’avoir à mémoriser vos mots
de passe et contribue à la sécurité de vos
données.

-Les gestionnaires de mots de passe stockent

vos informations de connexion pour tous les
sites Web que vous utilisez et vous aident à
vous y connecter automatiquement. Ils cryptent
votre mot de passe avec un mot de passe
principal - le mot de passe principal est le seul
dont vous devez vous souvenir.
Analyse Statique:
Reverse engineering:
La reverse engineering logicielle consiste à inverser le code d’un
programme, il est effectuée pour récupérer le code source d’un
programme, pour étudier la manière dont le programme effectue
certaines opérations, pour améliorer les performances d’un
programme, pour corriger un bug (corriger une erreur dans le
programme lorsque le code source n’est pas disponible), pour
identifier le contenu malveillant d’un programme tel qu’un virus
 1)L’ Application Keepass2Android:
-C’est un gestionnaire de mot de passe qui a l’avantage d’être
gratuit et de pouvoir vous proposer de créer une base de
données où vous pouvez d’enregistrer la totalité de vos mot
de passe. Cette basse de donnée est sécurisé et chiffré par un
mot de passe que vous aurez choisi (un mot de passe maitre).

-Aussi cette application vous permet de ne pas avoir à

chercher par vous-même des mots de passe compliqué, c’est
lui qui va trouver lui-même les mots de passe .

-Cette application est basé sur le remplissage automatique

par le clavier KP2A ,C’est un clavier intégré lors de la saisie de
votre mot de passe. On utilise si ne faites pas confiance à
votre fournisseur de clavier standard.
AndroidManifest.xml:
 Quelles autorisations Keepass2Android sont
requises ?
➔D’après l’analyse de fichier manifest de cette
application on obtient:
Android.permission.FOREGROUND_SERVICE
C’est une autorisation normale permet à une application standard d'utiliser
android.app.Service .startForeground,qui permet au système
d’accorder automatiquement à l’application demandeuse.
Android.permission.GET_ACCOUNTS➔(dangereux)
Permet d'accéder à la liste des comptes dans le service des comptes.
Android.permission.INTERNET➔(normal)
Permet aux applications d'ouvrir des sockets réseau.
Android.permission.MANAGE_ACCOUNTS➔(normal)
Permet de restaurer l’accès expiré à un compte connecté.
android.permission.READ_EXTERNAL_STORAGE➔(dangereux)
Permet à une application de lire à partir d'un stockage externe. Toute application qui déclare
l'autorisation WRITE_EXTERNAL_STORAGE se voit implicitement accorder cette autorisation.
Android.permission.USE_CREDENTIALS➔(normal)
Permet de demander des auth-tokens (des authentifications)à l’AccountManager
Android.permission.USE_FINGERPRINT➔(normal)
Permet à une application d'utiliser l’autorisation d'empreinte digitale. Niveau de protection :
normal .
Les applications doivent demander USE_BIOMETRIC à la place.
Android.permission.VIBRATE➔(normal)
Permet d'accéder au vibrateur. Niveau de protection : normal
Faire vibrer l’appareil lorsqu’une certaine action se produit.
Android.permission.WRITE_EXTERNAL_STORAGE➔(dangereux)
Permet à une application d'écrire sur un stockage externe.
com.samsung.android.providers.context.permission.WRITE_USE_APP_FEATURE_SURVEY➔(inconnue)
Pas encore de description, cela pourrait être une faute d'orthographe ou une autorisation créée par
l'application elle-même.
 2)L’ Application Dashlane:
-Dashlane est le meilleur gestionnaire de mots de
passe en 2021,payant, qui permet de gérer les
données personnelles(identifiants ,mots de
passe)de son utilisateur afin d’éviter les problèmes
liés à l’oubli d’un mot de passe.
-Dashlane est également le seul gestionnaire de
mots de passe à inclure un réseau privé
virtuel(VPN) qui chiffre votre trafic et garantit que
vos activités en ligne restent privées.
 Quelles autorisation Dashlane sont requises?
➔D’après l’analyse de fichier manifest de cette application on obtient:
Android.permission.ACCESS_NETWORK_STATE➔(normal)
Permet aux applications d'accéder aux informations sur les réseaux.
Niveau de protection : normal
Android.permission.ACCESS_WIFI_STATE➔(normal)
Permet aux applications d'accéder aux informations sur les réseaux Wi-Fi.
Niveau de protection : normal
Android.permission.BROADCAST_STICKY ➔(normal)
Permet à une application de diffuser des intentions persistantes. Il s'agit de diffusions dont les données sont
conservées par le système une fois terminées, afin que les clients puissent rapidement récupérer ces
données sans avoir à attendre la prochaine diffusion. Niveau de protection : normal
Android.permission.CAMERA➔(dangereux)
Nécessaire pour pouvoir accéder à l'appareil photo. Cela appliquera automatiquement les
fonctionnalités de l'appareil photo.
Android.permission.FOREGROUND_SERVICE➔(normal)
Permet à une application standard d'utiliser android.app.
Android.permission.GET_ACCOUNTS ➔(dangereux)
Permet d'accéder à la liste des comptes dans le service des comptes
Android.permission.INTERNET➔(normal)
Permet aux applications d'ouvrir des sockets réseau. Niveau de protection : normal
Android.permission.MANAGE_ACCOUNTS➔(normal)
Permet de restaurer l’accès expiré à un compte connecté.
Android.permission.NFC➔(normal)
Niveau de protection : normal
Android.permission.READ_CONTACTS➔(dangereux)
Permet à une application de lire les données de contacts de l'utilisateur. Niveau de protection : dangereux
Android.permission.READ_EXTERNAL_STORAGE➔(dangereux)
Permet à une application de lire à partir d'un stockage externe
Android.permission.RECEIVE_BOOT_COMPLETED(normal)
Permet à une application de recevoir le ACTION_BOOT_COMPLETED qui est diffusé une fois le
démarrage du système terminé. Si vous ne demandez pas cette autorisation, vous ne recevrez
pas la diffusion à ce moment-là. Bien que le fait de détenir cette autorisation n'ait aucune
incidence sur la sécurité, cela peut avoir un impact négatif sur l'expérience utilisateur en
augmentant le temps nécessaire au démarrage du système et en permettant aux applications de
s'exécuter sans que l'utilisateur en soit conscient.
Android.permission.REORDER_TASKS➔(normal)
Permet à une application de modifier l'ordre Z des tâches. Niveau de protection : normal
Android.permission.SYSTEM.ALERT_WINDOW
Permet à une application de créer des fenêtres , Niveau de protection : signature
Android.permission.USE_CREDENTIALS➔(normal)
Android.permission.USE_FINGERPRINT➔(normal)
Permet à une application d'utiliser l’autorisation d'empreinte digitale. Niveau de
protection : normal .
Android.permission.WAKE_LOCK➔(normal)
Permet d'utiliser PowerManager WakeLocks pour empêcher le processeur de dormir ou l'écran de
s’assombrir. Niveau de protection : normal
Android.permission.WRITE_EXTERNAL_STORAGE➔(dangereux)
Permet à une application d'écrire sur un stockage externe.
com.android.alarm.permission.SET_ALARM➔(normal)
Permet à une application de diffuser une intention pour définir une alarme pour l'utilisateur. Niveau de
protection : normal
• com.dashlane.permission.vpn.VPN_COMMAND
• (inconnue)
une autorisation créée par l'application elle-même

• com.dashlane.permission.vpn.VPN_STATUS
• (inconnue)
une autorisation créée par l'application elle-même

• com.google.android.c2dm.permission.RECEIVE
• (inconnue)
une autorisation créée par l'application elle-même

• com.google.android.finsky.permission.BIND_GET_INSTALL_REFERRER_SERVICE
• (inconnue)
une autorisation créée par l'application elle-même