Cryptum Labs
Cryptum Labs
Sécurité offensive pour macOS et iOS
Services

Mandats de sécurité pour macOS et iOS

Trois types de mandats — applications macOS, applications iOS et chemins d'attaque post-compromission sur un poste macOS géré.

Service

Test d'intrusion d'application macOS

Test d'intrusion d'applications et de composants système macOS, poussé au-delà des listes de contrôle par les mécanismes internes de la plateforme et la rétro-ingénierie. Les constats sont dictés par le comportement réel de l'application sur le système, et non par un plan de test générique.

Limites de confiance applicatives, entitlements et profil de sandbox
Surfaces de communication interprocessus — XPC, services Mach, Apple Events
Chemins d'exécution privilégiés — launchd, helper tools, SMJobBless et SMAppService, extensions système
Mécanismes d'installation et de mise à jour affectant l'intégrité du système
Surfaces d'attaque locales et conditions d'élévation de privilèges
Rétro-ingénierie de binaires natifs, de frameworks et de protocoles propriétaires
Validation de l'exploitabilité et de l'impact réel
Service

Test d'intrusion d'application iOS

Test d'intrusion d'applications iOS avec une profondeur qui dépasse la couverture MASVS standard. Le mandat porte sur le comportement à l'exécution, l'analyse des binaires natifs et la limite de confiance entre l'application et ses services backend.

Protections applicatives et comportement à l'exécution — détections de jailbreak et d'intégrité, anti-débogage, obfuscation
Flux d'authentification, sessions et hypothèses de confiance
Stockage local, utilisation du Keychain et exposition de données sensibles
Interactions avec les API backend et tests de la limite de confiance côté serveur
Liens profonds, schémas d'URL, liens universels et surfaces interapplicatives
Rétro-ingénierie de binaires Objective-C et Swift et de frameworks embarqués
Validation de l'exploitabilité et de l'impact réel
Service

Test d'intrusion macOS — Assumed Breach

Test d'intrusion de type Assumed Breach contre un poste de travail, partant d'un attaquant ayant obtenu l'exécution de code en tant qu'utilisateur standard. Le mandat cartographie les chemins d'attaque accessibles et répond à la question : si un poste de travail est compromis, que peut réellement accomplir l'attaquant ?

Possibilités d'élévation de privilèges locale sur l'image standard
Chemins de contournement de TCC et accès aux données utilisateur sensibles
Extraction d'identifiants depuis le Keychain, les navigateurs, les composants SSO et les éléments gérés par MDM
Détournement de profils MDM et exposition de la surface de gestion
Amorces de mouvement latéral — clés SSH, jetons infonuagiques en cache, configurations VPN, sessions enregistrées
Chemins d'exfiltration de données sous les contrôles de poste et de réseau existants
Possibilités de persistance accessibles à un utilisateur standard
Forfait

Validation continue de la sécurité

Un forfait mensuel qui s'intègre au cycle de livraison plutôt que de s'y greffer. Une capacité réservée chaque mois couvre les nouvelles fonctionnalités, les tests de régression et l'évolution de la surface d'attaque.

Ce que couvre le forfait
  • Revues ciblées de nouvelles fonctionnalités, d'intégrations et de changements d'architecture
  • Tests de régression pour vérifier que les problèmes précédemment identifiés ne réapparaissent pas
  • Validation des corrections issues de mandats antérieurs
  • Mise à jour trimestrielle du modèle de menace couvrant l'évolution des plateformes — nouvelles versions de macOS et d'iOS, nouveaux comportements des frameworks Apple, nouvelles capacités MDM
  • Traitement prioritaire des revues sensibles au temps, aligné sur la cadence de livraison
Fonctionnement
  • Capacité mensuelle fixe, réservée à l'avance
  • Les heures non utilisées sont reportées d'un mois
  • La portée est convenue en début de mois selon la feuille de route
  • Délai de réponse aux nouvelles demandes : deux jours ouvrables pour confirmer la portée, cinq jours ouvrables pour entamer les travaux
  • Revue trimestrielle pour ajuster le palier si la capacité est systématiquement dépassée ou sous-utilisée
Paliers
Essentiel
20 heures / mois

Convient aux équipes livrant mensuellement, avec une surface produit stable et quelques nouvelles fonctionnalités ponctuelles.

Standard
40 heures / mois

Convient aux équipes à cadence bimensuelle ou plus rapide, ou comptant plusieurs applications en développement actif.

Sur mesure
Capacité dédiée

Pour les mandats nécessitant une capacité dédiée au-delà de Standard, ou couvrant plusieurs produits sous une même entente.

Les forfaits sont souscrits pour une durée minimale de six mois et se renouvellent à la suite d'une entente de service.