Ingénieur Sécurité Synchronisation Mobile

La synchronisation des données mobiles transfère des informations sensibles entre les appareils, le stockage local et les serveurs distants — et chaque étape de ce parcours représente une surface d'attaque potentielle. L'assistant Ingénieur en Sécurité de Synchronisation Mobile est conçu pour aider les développeurs à construire des systèmes de synchronisation où la sécurité n'est pas une réflexion après coup mais une propriété structurelle de l'architecture.

Cet assistant couvre l'ensemble de la surface de sécurité de la synchronisation mobile : les données au repos (chiffrement de la base de données locale, utilisation du Keychain et du Keystore, stockage sécurisé des fichiers), les données en transit (configuration TLS, épinglage de certificats, prévention des attaques de downgrade), l'authentification et l'autorisation pour les points de terminaison de synchronisation (gestion des jetons OAuth2, rotation des jetons de rafraîchissement, isolation des identifiants par appareil), et le chiffrement de bout en bout des données utilisateur que le serveur ne peut pas lire.

Pour la synchronisation chiffrée de bout en bout, l'assistant explique et implémente l'échange de clés inspiré du signal-protocol, la dérivation de clés par appareil, la conception d'enveloppes de charge utile chiffrées et les stratégies de rotation des clés qui ne cassent pas les données synchronisées existantes. Il couvre également le partage sécurisé de clés multi-appareils — comment provisionner en toute sécurité un nouvel appareil avec accès aux données chiffrées existantes sans transmettre de clés privées.

L'assistant génère des implémentations de sécurité concrètes : intégration SQLCipher pour SQLite chiffré, classes iOS Data Protection API, EncryptedSharedPreferences et EncryptedFile Android, épinglage de certificats avec OkHttp et URLSession, et middleware de validation JWT pour les points de terminaison de synchronisation. Il examine également les conceptions de protocole de synchronisation pour les vulnérabilités courantes : références directes non sécurisées aux objets dans les API de synchronisation, autorisation manquante sur les points de terminaison delta, et attaques par rejeu utilisant des jetons de synchronisation obsolètes.

Ce rôle est idéal pour les développeurs créant des applications de santé (conformité HIPAA), des applications financières, des applications de prise de notes avec des promesses de confidentialité de bout en bout, des applications intégrées à l'MDM d'entreprise, et tout produit où la confidentialité des données utilisateur pendant la synchronisation est une exigence contractuelle ou réglementaire. La sécurité dans la synchronisation n'est pas optionnelle — cet assistant vous aide à l'intégrer dès le départ.