OWASP MASVS

MASVS signifie Mobile Application Security Verification Standard. Il fait partie du projet Mobile Application Security (MAS) de l’OWASP, qui publie aussi le guide de test MASTG, une énumération de faiblesses (MASWE) et des profils qui indiquent le niveau de contrôle à viser selon le risque. Le MASVS dit ce qu’il faut vérifier ; le MASTG dit comment le faire, avec des procédures et des exemples sur les deux plateformes.

Les huit familles couvrent le cycle de vie des données et du code sur l’appareil : où sont stockées les données sensibles (MASVS-STORAGE), comment elles sont chiffrées (CRYPTO), comment l’utilisateur est identifié et autorisé (AUTH), comment le trafic est protégé (NETWORK), comment l’application interagit avec le système et les autres applications (PLATFORM), la qualité du code (CODE), la résistance à l’analyse et à l’altération (RESILIENCE) et la protection de la vie privée (PRIVACY).

Pour un commanditaire, le MASVS donne un langage commun avec le prestataire. Un test peut être rattaché à des contrôles précis, et un rapport qui indique les exigences vérifiées et leur résultat se compare d’une version à l’autre. Il ne remplace pas le test des API que l’application appelle, où se trouvent souvent les défauts les plus coûteux, et qui relèvent plutôt d’un référentiel de test d’API.