Google Play, la boutique d’applications officielle d’Android, attribue désormais aux applications VPN un badge « examens de sécurité indépendants » si elles ont effectué un audit de sécurité indépendant de leur logiciel et de leur plate-forme.
Plus précisément, cette norme est MASA (Mobile App Security Assessment), qui a été introduite l’année dernière comme une initiative de l’App Defense Alliance (ADA) visant à définir un ensemble concret d’exigences pour la sécurité des applications mobiles.
Le exigences concernent les pratiques de stockage et de confidentialité des données, la cryptographie, l’authentification et la gestion de session, la communication réseau, l’interaction avec la plateforme et la qualité du code.
En commençant par les applications VPN, que Google considère comme essentielles à la confidentialité et à la sécurité des utilisateurs en raison du traitement des données sensibles, le Play Store affichera le badge « Examen de sécurité indépendant » dans la section Sécurité des données.
Ce badge indique que la conformité des applications à la norme MASA a été vérifiée de manière indépendante, améliorant ainsi la transparence et renforçant la confiance des utilisateurs.
Comme les fournisseurs VPN sont utilisés pour assurer l’anonymat lors de la navigation sur le Web, beaucoup affirment qu’ils ne conservent aucun journal et ne révèlent pas l’adresse IP réelle de l’utilisateur, que ce soit à cause de bugs ou pour d’autres raisons.
Pour prouver ces affirmations, certains fournisseurs VPN effectuent des audits tiers qui examinent le code source, les configurations du serveur et tentent de trouver des bogues susceptibles de rendre les utilisateurs moins sécurisés lors de l’utilisation de l’application.
Pour cette nouvelle balise Google Play, les fournisseurs de VPN doivent également effectuer l’audit MASA à partir d’un partenaire cybersécurité agréé.
Les fournisseurs de VPN qui ont choisi de passer l’audit de sécurité MASA et affichent actuellement le nouveau badge Google Play sont NordVPN, Google One et ExpressVPN.
Les autres applications VPN qui détiennent un certificat MASA valide mais n’ont pas encore reçu de badge Google Play sont Aloha Browser + Private VPN, Private Internet Access VPN, SkyVPN – Fast Secure VPN, Tomato VPN et vpnify – Unlimited VPN Proxy.
Des détails techniques supplémentaires sur l’évaluation MASA pour ces applications peuvent être trouvés dans ce répertoirecontenant les certifications MASA pour les applications VPN mentionnées.
Il est prévu qu’un nombre croissant d’applications VPN rejoignent prochainement cette initiative, contribuant ainsi à favoriser une plus grande transparence sur Google Play.
Google encourage Développeurs et éditeurs VPN à participer à ce mouvement en complétant ce formulaire de soumettre leur demande à un examen de sécurité indépendant.
Il est prévu que le programme « Examen indépendant de la sécurité » s’étende à d’autres types d’applications au-delà des VPN, mais Google n’a pas encore fourni de calendrier pour cela.
