\nJ’ai pris sciemment le risque d’utiliser cet APK tr\u00e8s populaire, tout en sachant que tout fichier APK disponible sur une source autre que le Play Store est un risque potentiel en terme de cyber s\u00e9curit\u00e9. Je voulais v\u00e9rifier le fichier le plus populaire, le plus t\u00e9l\u00e9charg\u00e9 depuis notre pays.
\nLe fichier APK est une archive simple. Vous pouvez l’ouvrir avec Winzip ou Winrar et constater l’arborescence suivante \u00e0 l’interieur du APK :
\n[icon name=”folder-open-o” class=”” unprefixed_class=””] META-INF : Il s’agit d’un dossier contenant les donn\u00e9es META de l’application
\n[icon name=”folder-open-o” class=”” unprefixed_class=””] RES : Il s’agit du dossier contenant les ressources du projet.
\n[icon name=”folder-open-o” class=”” unprefixed_class=””] ASSETS : Il s’agit du dossier contenant les ASSETS de l’application.
\n[icon name=”folder-open-o” class=”” unprefixed_class=””] LIB : Il s’agit du dossier contenant les librairies natives du projet.
\n[icon name=”file-text-o” class=”” unprefixed_class=””] RESOURCES.ARSC : C’est la version compil\u00e9e du fichier R.JAVA qui permet aux applications android de manipuler les ressources.
\n[icon name=”file-text-o” class=”” unprefixed_class=””] MANIFEST : Le fichier manifest de l’application qui comprend plusieurs informations comme : le nom de l’application, l’icone, la version, les permissions..
\n[icon name=”file-text-o” class=”” unprefixed_class=””] CLASSES.DEX : C’est la version compil\u00e9e du code Java de l’application, et c’est sur ce fichier qu’on va s’atteler sur le prochain chapitre pour comprendre le fonctionnement.<\/p>\n
D\u00e9compiler le DEX<\/h3>\n
DEX est le format “Dalvik Executable”. Il s’agit donc de l’executable qui d\u00e9marre dans la machine virtuelle de Android. On remarque sur le code d\u00e9compil\u00e9e, que le nom des librairies n’est pas masqu\u00e9 ou crypt\u00e9, on peut les voir clairement sur le code : A travers cette premi\u00e8re analyse, nous connaissons maintenant la structure de l’application et ses d\u00e9pendances. Le prochain article traitera d’une analyse du code, et notamment des communications r\u00e9seaux, nous allons lister l’ensemble des serveurs avec qui l’application communique et nous allons ensuite faire une petite installation MITM (Man in the middle) pour pouvoir voir les interactions en clair de l’application avec les serveurs en question et confirmer si oui ou non, les informations communiqu\u00e9es sont relatives \u00e0 votre vie priv\u00e9e ! A bientot !<\/p>\n","protected":false},"excerpt":{"rendered":" A part si vous habitez dans une grotte, o\u00f9 que vous sortez d’une longue sieste de un mois, vous devez connaitre “POKEMON GO”, le jeu incroyablement populaire de Niantic Labs. Cette vague a deferl\u00e9, “out of nowhere”, sur la plan\u00e8te gaming des initi\u00e9s et non initi\u00e9s. M\u00e9lant R\u00e9alit\u00e9 augment\u00e9e, et le monde d\u00e9j\u00e0 riche des […]<\/p>\n","protected":false},"author":1,"featured_media":545,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_publicize_message":"","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":true,"jetpack_social_options":{"image_generator_settings":{"template":"highway","enabled":false},"version":2}},"categories":[9],"tags":[],"class_list":["post-220","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technique"],"jetpack_publicize_connections":[],"jetpack_featured_media_url":"https:\/\/www.erroussafi.com\/wp-content\/uploads\/2016\/07\/pokemongo2.jpg","jetpack_sharing_enabled":true,"_links":{"self":[{"href":"https:\/\/www.erroussafi.com\/index.php\/wp-json\/wp\/v2\/posts\/220","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.erroussafi.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.erroussafi.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.erroussafi.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.erroussafi.com\/index.php\/wp-json\/wp\/v2\/comments?post=220"}],"version-history":[{"count":0,"href":"https:\/\/www.erroussafi.com\/index.php\/wp-json\/wp\/v2\/posts\/220\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.erroussafi.com\/index.php\/wp-json\/wp\/v2\/media\/545"}],"wp:attachment":[{"href":"https:\/\/www.erroussafi.com\/index.php\/wp-json\/wp\/v2\/media?parent=220"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.erroussafi.com\/index.php\/wp-json\/wp\/v2\/categories?post=220"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.erroussafi.com\/index.php\/wp-json\/wp\/v2\/tags?post=220"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\nIl existe plusieurs techniques pour d\u00e9compiler un DEX, nous allons utiliser la plus simple \u00e0 travers DEX2JAR, un outil qui va nous permettre de convertir l’executable en un JAR, autrement, en une archive comprenant les classes en bytecode Java. Ensuite nous allons utiliser un decompiler pour avoir le code JAVA depuis le .CLASS. Cet outil s’appelle JADX.
\nT\u00e9l\u00e9charger DEX2JAR :\u00a0https:\/\/sourceforge.net\/projects\/dex2jar\/<\/a>
\nT\u00e9l\u00e9charger JADX :\u00a0https:\/\/github.com\/skylot\/jadx<\/a>
\n![\"capture_code\"](\"https:\/\/www.erroussafi.com\/wp-content\/uploads\/2016\/07\/capture_code.png\")
<\/a>
\nTr\u00e8s important : Ce process ne nous permet pas d’avoir le code source tel qu’il a \u00e9t\u00e9 \u00e9crit par le d\u00e9veloppeur ! Il s’agit plus ou moins d’une interpr\u00e9tation du moteur de d\u00e9compilation de l’execution, et une d\u00e9cision sur le meilleur code qui execute la fonction en question. ce process donc cause beaucoup de pertes depuis le code original, notemment sur le nom des m\u00e9thodes, des variables et le commentaire des d\u00e9veloppeurs …etc. Ceci ne nous posera pas de probl\u00e8me, on a pas besoin de savoir avec exactitude ce que fait l’application, et mes limitations en Java commencent \u00e0 me poser de s\u00e9rieux probl\u00e8mes. Je vais essayer de comprendre les interactions de l’application \u00e0 travers les librairies utilis\u00e9es, comme je cherche \u00e0 r\u00e9pondre \u00e0 la question : Que fait l’application sur internet et sur le t\u00e9l\u00e9phone ?<\/p>\nListe des librairies identifi\u00e9es :<\/h3>\n
\nJACKSON (Parser JSON)
\nOTTO ( event bus, plus d’explications ici\u00a0http:\/\/square.github.io\/otto\/<\/a>)
\nDAGGER (optimisation de dependances, plus d’infos ici :\u00a0http:\/\/square.github.io\/dagger\/<\/a>)
\nGSON (un autre Parser JSON !)
\nAPACHE COMMONS IO (pour les I\/O)
\nFIREBASE-ADS (AdMob)
\nUPSIGHT (Analytics)
\nRXJAVA \/ RXANDROID (librairies de reactive programming)
\nCRITTERISM (log et monitoring de crash de l’appli)
\nUNITY (librairie et frameword de jeux video)
\nLUNAR MOBILE CONSOLE (log et monitoring des usages unity)
\nVOXELBUSTER CPNP (pour partager depuis unity)
\nGOOGLE VR SDK (fameuse librairie pour la r\u00e9alit\u00e9 virtuelle de google !)
\nCel\u00e0 fait beaucoup de librairies ! Pour une application qui a mis 10 ans \u00e0 \u00eatre con\u00e7ue, il est anormal d’utiliser deux librairies de parsing JSON par exemple sur le m\u00eame code. Il s’agit donc de l’ensemble des librairies et des d\u00e9pendances des librairies utilis\u00e9es. Une lecture du code permet de conclure que les seules librairies utilis\u00e9es directement par le code de Pokemon GO sont :
\nGSON
\nCRITTERISM
\nUPSIGHT
\nFIREBASE-ADS
\nGOOGLE VR SDK
\nUNITY
\nEn effet, UPSIGHT est la librairie qui necessite le reste des librairies d\u00e9pendantes. A elle seule UPSIGHT rassemble 3000 methodes propres, et les m\u00e9thodes des d\u00e9pendances : 4000 RxAndroid, 200 Dagger, 1000 Commons I\/O, 10000 JACKSON, 50 OTTO, 12000 Play Service ! Et tout ca pour les analytics ! Big DATA quand tu nous tiens. Ca nous donner une id\u00e9e sur le business mod\u00e8le de Pokemon GO, il est \u00e0 pr\u00e9sent certains que les donn\u00e9es d’usage de l’application sont pr\u00e9cieuses.
\nMaintenant que la liste de d\u00e9pendance est claire, on voit que la premi\u00e8re d\u00e9pendance est UNITY.
\nCeci explique pourquoi le logo de niantic et autre \u00e9cran “loading” sont affich\u00e9s au d\u00e9marrage de l’application. Le Moteur UNITY a besoin de temps et de ressources pour d\u00e9marrer en background. L’ensemble de l’application est donc \u00e0 l’int\u00e9rieur de Unity, il n’y pas d’element natif android de l’interface du jeu.
\nEn terme de s\u00e9curit\u00e9 donc, Pokemon GO souffrirait des m\u00eames vuln\u00e9rabilit\u00e9s que le moteur de jeu UNITY. Il y a lieu donc de se renseigner sur les limitations, les bugs et les travers de s\u00e9curit\u00e9 de ce moteur.
\nUne autre d\u00e9pendance m’interesse, il s’agit du VR Google. Ceci laisserait pr\u00e9sager que l’application serait dans le futur peut etre compatible avec les lunettes de r\u00e9alit\u00e9 virtuelle VR Google. Malheureusement, sur le code, je vois que la librairie est utilis\u00e9e seulement pour faire communiquer Unity avec la framework Android. Il n’y a aucun appel des m\u00e9thodes ou des classes servant \u00e0 adapter l’application \u00e0 l’affichage du VR Cardboard Google. Donc \u00e0 date, pas de code VR fonctionnel encore sur l’application. On devra encore utiliser nos t\u00e9l\u00e9phones !
\nUn troisi\u00e8me constat est que Google VR qui est la biblioth\u00e8que qui requiert le niveau d’android le plus \u00e9lev\u00e9, requiert API Level 16 pour Android Jellybeans 4.1. Or sur le playstore, l’application a un requierement minimum de Android KitKat 4.4 Api LEVEL 19 ! Je ne sais pas pourquoi c’est le cas. D’apr\u00e8s les chiffres de Google (https:\/\/developer.android.com\/about\/dashboards\/index.html<\/a>), 20% des utilisateurs donc ne peuvent utiliser l’application. Peut \u00eatre une feature \u00e0 venir qui requiert ce niveau minimum de Android.<\/p>\nConclusion<\/h3>\n