owasp/android-security-masterclassAtelier de formation pratique à la sécurité Android OWASP avec 78 modules MASVS/MASTG associant des applications vulnérables, sécurisées et d'attaquant pour démontrer les faiblesses mobiles et leurs correctifs.
Projet officiel OWASP — Un laboratoire de formation pratique à la sécurité OWASP MASVS/MASTG pour les développeurs Android et les pentesters — Architecture Miroir : Vulnérable ↔ Sécurisé ↔ Attaquant
L'Android Security Masterclass est un projet officiel OWASP conçu avec une Architecture Miroir pour enseigner aux développeurs Android et aux chercheurs en sécurité exactement à quoi ressemblent les vulnérabilités et exactement comment les corriger en utilisant les pratiques modernes de développement Android.
Au lieu de chercher des bugs dans des bases de code Java obsolètes, ce projet utilise une pile technologique de pointe (Kotlin, Jetpack Compose, MVVM, Material 3) et est structuré autour d'un système « Package-by-Feature » massivement évolutif.
🌐 Portail du projet OWASP et documentation :
- Page du projet OWASP : https://owasp.org/projects/android-security-masterclass
- Portail de documentation : https://owasp.github.io/Android-Security-Masterclass/
- Livre blanc et matrice de correspondance des 78 modules : Disponibles dans le portail de documentation.
graph TD
COMMON("🧱 :common<br/>Shared Data · Theme<br/>Dashboard Metadata")
subgraph FEATURES ["📦 Package-by-Feature (78 Isolated MASWE Modules)"]
direction LR
M1(":features:maswe0001<br/>Private Storage")
M2(":features:maswe0002<br/>External Storage")
M5(":features:maswe0005<br/>Logging Leaks")
MDOT("...<br/>... ")
M78(":features:maswe0078<br/>Privacy")
end
VULN("❌ :app-vulnerable<br/>Thin Shell Orchestrator")
SEC("✅ :app-secure<br/>Thin Shell Orchestrator")
ATK("😈 :app-attacker<br/>Simulated Malware")
COMMON --> FEATURES
FEATURES -- "Insecure Implementation" --> VULN
FEATURES -- "Hardened Implementation" --> SEC
VULN -. "Active Exploit<br/>IPC / Logcat" .-> ATK
classDef common fill:#4A90D9,stroke:#2C5F8A,color:#fff,stroke-width:2px,font-weight:bold
classDef feat fill:#F39C12,stroke:#D35400,color:#fff,stroke-width:2px,font-weight:bold
classDef vuln fill:#E74C3C,stroke:#C0392B,color:#fff,stroke-width:2px,font-weight:bold
classDef secure fill:#27AE60,stroke:#1E8449,color:#fff,stroke-width:2px,font-weight:bold
classDef attacker fill:#8E44AD,stroke:#6C3483,color:#fff,stroke-width:2px,font-weight:bold
class COMMON common
class M1,M2,M5,MDOT,M78 feat
class VULN vuln
class SEC secure
class ATK attacker
Le projet utilise une architecture Hyper-Modulaire s'étendant sur plus de 80 modules au total :
| Couche de module | Rôle | Statut |
|---|---|---|
:common | La fondation. Contient le générateur de charges utiles haute fidélité MasterclassData, les métadonnées du tableau de bord, le thème UI principal et les composants de navigation génériques. | Fondation ✅ |
:features:masweXXXX | 78 modules Gradle entièrement isolés (0001 à 0078). Chaque module contient à la fois la logique vulnérable et sécurisée pour une faiblesse spécifique, empêchant complètement toute fuite de code entre modules. | 78 modules générés ✅ |
:app-vulnerable | Une application orchestratrice « Thin Shell ». Elle assemble les composants UI non sécurisés des 78 modules de fonctionnalités pour démontrer la conséquence exacte des violations OWASP. | Actif ✅ |
:app-secure | Une application orchestratrice « Thin Shell ». Assemble les implémentations sécurisées utilisant des standards modernes (Jetpack Security, Tink, SQLCipher, ProGuard). | Actif ✅ |
:app-attacker | Une application tierce malveillante simulée. Démontre des exploits IPC en direct via un processus secondaire s'exécutant simultanément sur l'appareil. | Actif ✅ |
MasterclassDataContrairement à d'autres projets éducatifs qui utilisent des données triviales (« admin:password »), nos simulations de fuite utilisent des charges utiles conformes aux réglementations :
💡 Astuce : Vous pouvez visualiser toutes ces données simulées en direct sur votre appareil en cliquant sur le bouton « Data Vault » du tableau de bord de l'application vulnérable ou sécurisée.
Nous avons cartographié l'intégralité du standard OWASP MASVS en 78 modules distincts répartis sur 8 domaines :
Les modules suivants ont leur logique métier, leur architecture MVI, leurs tests unitaires et leurs simulations d'attaque/défense entièrement implémentés :