Une application mobile conçue avec la sécurité comme exigence

Je développe une application Android de suivi de musculation, d’abord pour mon usage. Ce projet me sert surtout à appliquer la sécurité dès la conception, sur un logiciel réel.

L’application n’a pas encore de nom. Elle porte mon pseudonyme, KYOSHIRO, en attendant. Je la développe avec l’aide d’un assistant IA. Je fixe le besoin et les exigences, et je valide chaque étape sur mon téléphone.

Protection des données

• Aucun accès réseau. Les données restent sur le téléphone.
• Base de données chiffrée en AES-256, avec une clé protégée par le composant matériel du téléphone.
• Sauvegarde exportée chiffrée, protégée par une phrase de passe.
• Autorisations réduites au nécessaire : notifications, vibration et alarme, pour le minuteur de repos.

Chaîne de développement

• Dépendances verrouillées, à l’intégrité vérifiée par empreinte.
• Recherche de secrets et analyse statique à chaque commit. Un échec bloque le commit.
• Avant chaque livraison, un contrôle complet : tests, inventaire des composants, recherche de vulnérabilités connues.
• Démarche alignée sur le guide de cybersécurité de l’ANSSI pour les start-up du numérique.

Ce qui reste à faire

• Signature des commits.
• Signature de l’application avant toute distribution.
• Intégration continue sur un serveur.

Une version en ligne est prévue. L’objectif est d’y atteindre l’état de l’art des recommandations de l’ANSSI, niveau renforcé compris.

Technique

• Kotlin Multiplatform : la logique est dans un module partagé, réutilisable pour une version iOS. L’interface Android est écrite avec Jetpack Compose.
• Le code est rangé par fonctionnalité. Les règles d’architecture sont vérifiées à chaque compilation, qui échoue si l’une d’elles est enfreinte.