Как да оцените безопасно APK източниците: Контролен списък за сигурност

Ако зареждате приложения за Android отстрани по основателни причини, като инсталирате бета компилация, предоставена от разработчика, преинсталирате приложение с отворен код, чийто проект хоства свои собствени издания, или възстановявате резервно копие на приложение, което законно притежавате, винаги трябва да проверявате файла, преди да го инсталирате. Това ръководство обяснява техническите сигнали, които отличават надежден APK от подправен, без да назовава или популяризира конкретна платформа за изтегляне.

1. Започнете с най-доверения източник

За почти всеки потребител отговорът е Google Play Store. Приложенията, разпространявани там, са подписани от първоначалните си разработчици, сканирани от Google Play Protect и контролирани за злонамерено поведение. Ако приложение, което искате, е в Play, инсталирайте го от там, точка.

Законните изключения от правилото „Играй първи“ са тесни:

• Приложението е с отворен код и проектът разпространява подписани компилации от собствения си официален сайт, страницата GitHub Releases или самостоятелно хостван сървър за актуализиране.
• Вие сте разработчик, тестващ вашите собствени вътрешни компилации.
• Възстановявате APK, който сте експортирали от устройство, което притежавате.
• Издателят разпространява специфична за региона или бета версия директно от своя официален домейн (и можете да потвърдите, че домейнът съответства на проверената марка на разработчика).

Всичко извън тези случаи, и особено „безплатните“ копия на платени приложения, трябва да се третира като високорисково и почти винаги е нарушение на авторски права.

2. Проверете цифровия подпис

Всеки APK е криптографски подписан от своя издател. Ако подписът на файл не съответства на известния сертификат за подпис на издателя, файлът е променен и не трябва да се инсталира. Дори един злонамерен байт, инжектиран в APK, ще обезсили подписа.

Какво да търсите:

• v2/v3/v4 схема на подписване присъства (модерният Android го изисква).
• Пръстов отпечатък на сертификат (SHA-256) съответства на пръстов отпечатък, публикуван от разработчика, или съответства на предварително инсталирано копие на същото приложение.
• Сертификатът е не е изтекъл и веригата за подписване е непокътната.

Можете да изпълните тази проверка изцяло офлайн, като използвате нашия APK верификатор: плъзнете .apk вътре, вижте сертификата за подписване и SHA-256 пръстов отпечатък и го сравнете със стойността, публикувана от разработчика.

3. Сравнете SHA-256 Hash

Хешът SHA-256 е фиксиран пръстов отпечатък от 64 знака на съдържанието на файла. Ако дори един байт се промени, хешът се променя напълно. Реномирани разработчици публикуват SHA-256 на всяка версия заедно с изтеглянето.

Процес:

1. Изчислете SHA-256 на APK на вашата машина (повечето операционни системи включват sha256sum или еквивалентна команда; можете също да използвате нашия APK Verifier).
2. Сравнете го символ по знак със стойността, публикувана от разработчика на техния официален сайт.
3. Ако стойностите съвпадат, файлът е байтово идентичен с това, което разработчикът е пуснал. Ако се различават, не инсталирайте.

4. Прегледайте манифеста и разрешенията преди инсталиране

Системата за разрешения на Android е последната ви линия на защита. Преди да инсталирате нещо извън Play Store, отворете пакета с нашия инструмент Информация за APK и прочетете манифеста. Следете за:

• Непропорционални разрешения. Един прост офлайн калкулатор не се нуждае от SMS, контакти, услуга за достъпност или администраторски достъп на устройството. Всичко, което иска много повече, отколкото изисква работата му, е подозрително.
• Злоупотреба с услугата за достъпност. Зловреден софтуер често злоупотребява с BIND_ACCESSIBILITY_SERVICE, за да чете съдържанието на екрана и да кликва върху бутони от името на потребителя. Предоставяйте това само на приложения, на които имате доверие и които наистина се нуждаят от него (екранни четци, мениджъри на пароли и т.н.).
• Администратор на устройството / собственик на устройството. Почти никое потребителско приложение не се нуждае законно от това. Ако странично заредено приложение го поиска, спрете.
• Несъответстващо име на пакет. Ако името на пакета (напр. com.example.app) не съвпада с оригиналния пакет на приложението, файлът се представя за истински продукт.
• Непознати експортирани компоненти. Дейности, услуги или излъчващи приемници, които се експортират и изглеждат не на място, могат да бъдат задна врата.

5. Червени знамена, общи за ненадеждни източници

Независимо дали източникът е уебсайт, група за чат или прикачен файл към имейл, третирайте го като ненадежден, ако видите някое от следните:

• Безплатни копия на платени приложения или "премиум отключени" версии на търговски приложения. Те са пиратски, често модифицирани и често носят зловреден софтуер.
• „Mod“ или „cracked“ марка. Модифицираните APK файлове по дефиниция не подлежат на проверка на подписа и може да съдържат всичко, добавено от модера.
• Множество объркващи бутони „Изтегляне“., които се оказват реклами.
• Агресивни изскачащи прозорци, фалшиви предупреждения за „открит вирус“ или принудителни пренасочвания.
• Няма HTTPS. Ако източникът не се обслужва през криптирана връзка, вашето изтегляне може да бъде тихо разменено при пренасяне.
• Няма информация за издателя, няма подробности за подписване, няма регистър на промените. Едно законно издание има всичко това.
• Натиск за деактивиране на Play Protect или за предоставяне на достъпност / администратор на устройство, "за да работи."

6. След инсталиране: Продължавайте да гледате

Проверката не е еднократно събитие. След странично инсталиране:

• Оставете Google Play Protect активиран. Периодично сканира инсталираните пакети.
• Внимавайте за неочаквано изтощаване на батерията, използване на мрежата или изскачащи наслагвания, класически злонамерен софтуер.
• Периодично отваряйте Настройки → Приложения и преглеждайте всички приложения, които вече не използвате; деинсталирайте ги.
• Ако приложение се актуализира извън Play Store, проверете дали подписът на новата компилация съвпада с предварително инсталирания. Несъответствието е спешен случай.

7. Какво прави (и не) предоставя този сайт

XAPK към APK е набор от базирани на браузър конвертори и инспектори на файлови формати. Ние не хостваме APK файлове, не правим връзки към сайтове за изтегляне на APK и не улесняваме пиратството. Всеки инструмент на този сайт обработва файлове локално във вашия браузър, без качване, без копиране, без задържане. Вижте нашите Отказ от отговорност и Политика за поверителност за пълни подробности.

Златни правила за проверка на изтеглянията на APK от трети страни

Страничното зареждане е легитимна и мощна възможност на платформата Android, но прехвърля отговорността за сигурността от рецензентите на Google върху вас. Като се придържате към официалния Play Store за платени и потребителски приложения, ограничавайки страничното зареждане до издания на разработчици от първа страна на софтуер, до който вече имате законен достъп, и проверявате подписа и хеша на всеки пакет преди инсталиране, можете да се насладите на тази гъвкавост, без да компрометирате сигурността или да нарушавате закона.