كيفية تقييم مصادر APK بأمان: قائمة التحقق من الأمان

إذا قمت بتحميل تطبيقات Android لأسباب مشروعة، أو تثبيت إصدار تجريبي مقدم من المطور، أو إعادة تثبيت تطبيق مفتوح المصدر يستضيف مشروعه إصداراته الخاصة، أو استعادة نسخة احتياطية من تطبيق تملكه قانونيًا، فيجب عليك دائمًا التحقق من الملف قبل تثبيته. يشرح هذا الدليل الإشارات الفنية التي تميز ملف APK الجدير بالثقة عن الملف الذي تم التلاعب به، دون تسمية أو الترويج لأي منصة تنزيل محددة.

1. ابدأ بالمصدر الأكثر ثقة

بالنسبة لكل مستخدم تقريبًا، الإجابة هي متجر جوجل بلاي. يتم توقيع التطبيقات الموزعة هناك من قبل مطوريها الأصليين، ويتم فحصها بواسطة Google Play Protect، ويتم مراقبتها بحثًا عن أي سلوك ضار. إذا كان التطبيق الذي تريده موجودًا على Play، فقم بتثبيته من هناك، توقف تمامًا.

الاستثناءات المشروعة لقاعدة "العب أولاً" ضيقة:

• التطبيق مفتوح المصدر ويقوم المشروع بتوزيع الإصدارات الموقعة من موقعه الرسمي أو صفحة إصدارات GitHub أو خادم التحديث المستضاف ذاتيًا.
• أنت مطور يختبر بنياتك الداخلية.
• أنت تقوم باستعادة ملف APK الذي قمت بتصديره من جهاز تملكه.
• يقوم الناشر بتوزيع إصدار تجريبي أو خاص بالمنطقة مباشرةً من نطاقه الرسمي (ويمكنك التأكد من تطابق النطاق مع العلامة التجارية التي تم التحقق منها للمطور).

أي شيء خارج هذه الحالات، وخاصة النسخ "المجانية" من التطبيقات المدفوعة، يجب أن يتم التعامل معه على أنه عالي المخاطر ويعتبر دائمًا انتهاكًا لحقوق الطبع والنشر.

2. التحقق من التوقيع الرقمي

يتم توقيع كل ملف APK بطريقة مشفرة من قبل ناشره. إذا كان التوقيع الموجود على الملف لا يتطابق مع شهادة التوقيع المعروفة للناشر، فهذا يعني أنه تم تعديل الملف ويجب عدم تثبيته. حتى أن بايتًا خبيثًا واحدًا يتم إدخاله في ملف APK سيؤدي إلى إبطال التوقيع.

ما الذي تبحث عنه:

• مخطط التوقيع v2/v3/v4 موجود (يتطلب Android الحديث ذلك).
• يتطابق بصمة الشهادة (SHA-256) مع بصمة الإصبع التي نشرها المطور أو يتطابق مع نسخة مثبتة مسبقًا من نفس التطبيق.
• الشهادة هي لم تنته صلاحيتها وسلسلة التوقيع سليمة.

يمكنك إجراء هذا الفحص دون الاتصال بالإنترنت تمامًا باستخدام أداة التحقق من APK: اسحب ملف apk. للداخل، وانظر شهادة التوقيع وبصمة SHA-256، وقارنها بالقيمة التي ينشرها المطور.

3. قارن تجزئة SHA-256

تجزئة SHA-256 عبارة عن بصمة ثابتة مكونة من 64 حرفًا لمحتويات الملف. إذا تغير بايت واحد، يتغير التجزئة بالكامل. ينشر المطورون ذوو السمعة الطيبة SHA-256 لكل إصدار بجانب التنزيل.

العملية:

1. قم بحساب SHA-256 الخاص بـ APK على جهازك (تتضمن معظم أنظمة التشغيل أمر sha256sum أو أمر مكافئ؛ ويمكنك أيضًا استخدام أداة التحقق من APK الخاصة بنا).
2. قارنها حرفًا بحرف بالقيمة التي نشرها المطور على موقعه الرسمي.
3. إذا تطابقت القيم، فسيكون الملف مطابقًا لما أصدره المطور. إذا كانت مختلفة، لا تقم بتثبيت.

4. قم بمراجعة البيان والأذونات قبل التثبيت

نظام أذونات Android هو خط دفاعك الأخير. قبل تثبيت أي شيء من خارج متجر Play، افتح الحزمة باستخدام أداة معلومات APK واقرأ البيان. انتبه إلى:

• أذونات غير متناسبة لا تحتاج الآلة الحاسبة البسيطة غير المتصلة بالإنترنت إلى رسائل نصية قصيرة أو جهات اتصال أو خدمة إمكانية الوصول أو وصول مسؤول الجهاز. أي شيء يطلب أكثر بكثير مما تتطلبه وظيفته هو أمر مشبوه.
• كثيرًا ما تسيء البرامج الضارة إساءة استخدام خدمة الوصول. استخدام BIND_ACCESSIBILITY_SERVICE لقراءة محتوى الشاشة والنقر على الأزرار نيابة عن المستخدم. امنح هذا فقط للتطبيقات التي تثق بها والتي تحتاج إليها حقًا (برامج قراءة الشاشة، ومديري كلمات المرور، وما إلى ذلك).
• مسؤول الجهاز/مالك الجهاز. تقريبًا لا يحتاج أي تطبيق للمستهلك إلى هذا بشكل شرعي. إذا طلب أحد التطبيقات التي تم تحميلها من الجانب ذلك، توقف.
• اسم الحزمة غير متطابق. إذا كان اسم الحزمة (على سبيل المثال، com.example.app) لا يتطابق مع حزمة التطبيق الأصلية، فهذا يعني أن الملف ينتحل صفة منتج حقيقي.
• مكونات مصدرة غير مألوفة. يمكن أن تكون الأنشطة أو الخدمات أو أجهزة استقبال البث التي يتم تصديرها والتي تبدو خارج المكان بمثابة باب خلفي.

5. الأعلام الحمراء المشتركة بين المصادر غير الجديرة بالثقة

سواء كان المصدر موقع ويب، أو مجموعة دردشة، أو مرفق بريد إلكتروني، تعامل معه على أنه غير جدير بالثقة إذا رأيت أيًا مما يلي:

• نسخ مجانية من التطبيقات المدفوعة أو الإصدارات "المميزة غير المؤمنة" من التطبيقات التجارية. وهي مقرصنة، وغالبًا ما يتم تعديلها، وتحمل في كثير من الأحيان برامج ضارة.
• العلامة التجارية "Mod" أو "متصدعة". تفشل ملفات APK المعدلة حسب التعريف في التحقق من التوقيع وقد تحتوي على أي شيء أضافه المُعدِّل.
• أزرار "تنزيل" متعددة ومربكة التي تحولت إلى إعلانات.
• النوافذ المنبثقة العدوانية، أو تنبيهات "الكشف عن فيروسات" زائفة، أو عمليات إعادة التوجيه القسرية.
• لا HTTPS. إذا لم يتم تقديم المصدر عبر اتصال مشفر، فيمكن تبديل التنزيل الخاص بك بصمت أثناء النقل.
• لا توجد معلومات الناشر، ولا تفاصيل التوقيع، ولا سجل التغيير. الإصدار الشرعي يحتوي على كل هذه الميزات.
• الضغط لتعطيل Play Protect أو لمنح إمكانية الوصول/مسؤول الجهاز "لإنجاحه".

6. بعد التثبيت: تابع المراقبة

التحقق ليس حدثًا لمرة واحدة. بعد التثبيت الجانبي:

• اترك جوجل بلاي للحماية ممكّنًا. يقوم بمسح الحزم المثبتة بشكل دوري.
• انتبه إلى الاستنزاف غير المتوقع للبطارية، أو استخدام الشبكة، أو التراكبات المنبثقة، أو توقيعات البرامج الضارة الكلاسيكية.
• افتح الإعدادات → التطبيقات بشكل دوري وراجع أي تطبيقات لم تعد تستخدمها؛ إلغاء تثبيتها.
• إذا قام أحد التطبيقات بتحديث نفسه خارج متجر Play، فتأكد من تطابق توقيع الإصدار الجديد مع التوقيع المثبت مسبقًا. عدم التطابق هو حالة طارئة.

7. ما الذي يقدمه هذا الموقع (وما لا يقدمه).

XAPK إلى APK عبارة عن مجموعة من محولات تنسيقات الملفات والمفتشين المستندة إلى المستعرض. نحن لا نستضيف ملفات APK، ولا نرتبط بمواقع تنزيل APK، ولا نسهل القرصنة. تقوم كل أداة في هذا الموقع بمعالجة الملفات محليا في المتصفح الخاص بك، بدون تحميل، أو نسخ، أو الاحتفاظ. راجع إخلاء المسؤولية وسياسة الخصوصية للحصول على التفاصيل الكاملة.

القواعد الذهبية للتحقق من تنزيلات APK التابعة لجهات خارجية

يُعد التحميل الجانبي قدرة مشروعة وقوية لنظام التشغيل Android، ولكنه ينقل المسؤولية الأمنية من مراجعي Google إليك. من خلال الالتزام بمتجر Play الرسمي للتطبيقات المدفوعة والمستهلكة، وتقييد التحميل الجانبي لإصدارات مطوري الطرف الأول من البرامج التي يمكنك الوصول إليها بشكل قانوني بالفعل، والتحقق من التوقيع والتجزئة لكل حزمة قبل التثبيت، يمكنك الاستمتاع بهذه المرونة دون المساس بالأمان أو خرق القانون.