কীভাবে নিরাপদে APK উত্সগুলি মূল্যায়ন করবেন: একটি সুরক্ষা চেকলিস্ট৷

আপনি যদি বৈধ কারণে Android অ্যাপগুলিকে সাইডলোড করেন, বিকাশকারীর দ্বারা সরবরাহ করা একটি বিটা বিল্ড ইনস্টল করা, একটি ওপেন-সোর্স অ্যাপ পুনরায় ইনস্টল করা যার প্রোজেক্টের নিজস্ব রিলিজ হোস্ট করা হয়, বা আপনার আইনত মালিকানাধীন একটি অ্যাপের ব্যাকআপ পুনরুদ্ধার করা হয়, তাহলে এটি ইনস্টল করার আগে আপনার সর্বদা ফাইলটি যাচাই করা উচিত। এই নির্দেশিকাটি প্রযুক্তিগত সংকেতগুলি ব্যাখ্যা করে যা কোনও নির্দিষ্ট ডাউনলোড প্ল্যাটফর্মের নামকরণ বা প্রচার না করে একটি টেম্পার করা থেকে একটি বিশ্বস্ত APKকে আলাদা করে৷

1. সবচেয়ে বিশ্বস্ত উৎস দিয়ে শুরু করুন

প্রায় প্রতিটি ব্যবহারকারীর জন্য, উত্তর হল গুগল প্লে স্টোর। সেখানে বিতরণ করা অ্যাপগুলি তাদের আসল বিকাশকারীদের দ্বারা স্বাক্ষরিত, Google Play Protect দ্বারা স্ক্যান করা এবং দূষিত আচরণের জন্য পুলিশ করা হয়েছে। আপনার পছন্দের একটি অ্যাপ যদি Play-তে থাকে, তাহলে সেখান থেকে এটি ইনস্টল করুন, ফুলস্টপ।

"প্রথমে খেলুন" নিয়মের বৈধ ব্যতিক্রমগুলি সংকীর্ণ:

• অ্যাপ্লিকেশনটি ওপেন সোর্স এবং প্রকল্পটি তার নিজস্ব অফিসিয়াল সাইট, গিটহাব রিলিজ পৃষ্ঠা বা স্ব-হোস্টেড আপডেট সার্ভার থেকে স্বাক্ষরিত বিল্ডগুলি বিতরণ করে।
• আপনি একজন বিকাশকারী আপনার নিজের অভ্যন্তরীণ বিল্ডগুলি পরীক্ষা করছেন৷
• আপনি আপনার নিজের একটি ডিভাইস থেকে এক্সপোর্ট করা APK পুনরুদ্ধার করছেন।
• প্রকাশক তাদের অফিসিয়াল ডোমেন থেকে সরাসরি একটি অঞ্চল-নির্দিষ্ট বা বিটা বিল্ড বিতরণ করে (এবং আপনি নিশ্চিত করতে পারেন যে ডোমেনটি বিকাশকারীর যাচাইকৃত ব্র্যান্ডিংয়ের সাথে মেলে)।

এই ক্ষেত্রের বাইরের যেকোন কিছু, এবং বিশেষ করে অর্থপ্রদত্ত অ্যাপগুলির "বিনামূল্যে" কপিগুলিকে উচ্চ-ঝুঁকি হিসাবে বিবেচনা করা উচিত এবং এটি প্রায় সর্বদা কপিরাইট লঙ্ঘন।

2. ডিজিটাল স্বাক্ষর যাচাই করুন

প্রতিটি APK তার প্রকাশকের দ্বারা ক্রিপ্টোগ্রাফিকভাবে স্বাক্ষরিত। যদি একটি ফাইলের স্বাক্ষর প্রকাশকের পরিচিত স্বাক্ষর শংসাপত্রের সাথে মেলে না, তাহলে ফাইলটি পরিবর্তন করা হয়েছে এবং ইনস্টল করা উচিত নয়৷ এমনকি একটি APK এ ইনজেক্ট করা একটি একক দূষিত বাইট স্বাক্ষরকে বাতিল করে দেবে।

কি দেখতে হবে:

• v2/v3/v4 স্বাক্ষর স্কিম বর্তমান (আধুনিক Android-এর জন্য এটি প্রয়োজন)।
• শংসাপত্র আঙ্গুলের ছাপ (SHA-256) ডেভেলপার দ্বারা প্রকাশিত একটি আঙ্গুলের ছাপের সাথে মেলে বা একই অ্যাপের পূর্বে ইনস্টল করা অনুলিপির সাথে মেলে।
• শংসাপত্রটি মেয়াদ শেষ হয়নি এবং সাইনিং চেইন অক্ষত।

আপনি আমাদের APK যাচাইকারী ব্যবহার করে এই চেকটি সম্পূর্ণ অফলাইনে চালাতে পারেন: .apk-কে টেনে আনুন, সাইনিং সার্টিফিকেট এবং SHA-256 ফিঙ্গারপ্রিন্ট দেখুন এবং ডেভেলপার প্রকাশ করা মানের সাথে এটির তুলনা করুন।

3. SHA-256 হ্যাশ তুলনা করুন

একটি SHA-256 হ্যাশ হল ফাইলের বিষয়বস্তুর একটি নির্দিষ্ট 64-অক্ষরের ফিঙ্গারপ্রিন্ট। এমনকি একটি বাইট পরিবর্তন হলে, হ্যাশ সম্পূর্ণরূপে পরিবর্তিত হয়। স্বনামধন্য বিকাশকারীরা ডাউনলোডের পাশাপাশি প্রতিটি রিলিজের SHA-256 প্রকাশ করে।

প্রক্রিয়া:

1. আপনার মেশিনে APK-এর SHA-256 গণনা করুন (বেশিরভাগ অপারেটিং সিস্টেমে একটি sha256sum বা সমতুল্য কমান্ড রয়েছে; আপনি আমাদের APK যাচাইকারীও ব্যবহার করতে পারেন)।
2. বিকাশকারীর দ্বারা তাদের অফিসিয়াল সাইটে প্রকাশিত মানের সাথে অক্ষর অনুসারে এটির তুলনা করুন।
3. মান মিলে গেলে, ফাইলটি ডেভেলপার যা প্রকাশ করেছে তার সাথে বাইট-অনুরূপ। যদি তারা ভিন্ন, ইনস্টল করবেন না.

4. ইনস্টল করার আগে ম্যানিফেস্ট এবং অনুমতি পর্যালোচনা করুন

Android-এর অনুমতি সিস্টেম আপনার প্রতিরক্ষার শেষ লাইন। আপনি প্লে স্টোরের বাইরে থেকে কিছু ইনস্টল করার আগে, আমাদের APK তথ্য টুল দিয়ে প্যাকেজটি খুলুন এবং ম্যানিফেস্টটি পড়ুন। জন্য দেখুন:

• অসামঞ্জস্যপূর্ণ অনুমতি. একটি সাধারণ অফলাইন ক্যালকুলেটরের এসএমএস, পরিচিতি, অ্যাক্সেসিবিলিটি-পরিষেবা বা ডিভাইস-প্রশাসক অ্যাক্সেসের প্রয়োজন নেই। যেকোন কিছু যা তার কাজের প্রয়োজনের চেয়ে অনেক বেশি চায় তা সন্দেহজনক।
• অ্যাক্সেসিবিলিটি পরিষেবার অপব্যবহার। ম্যালওয়্যার প্রায়ই BIND_ACCESSIBILITY_SERVICE-এর অপব্যবহার করে স্ক্রীনের বিষয়বস্তু পড়তে এবং ব্যবহারকারীর পক্ষে বোতামে ক্লিক করে। এটি শুধুমাত্র আপনার বিশ্বাসযোগ্য অ্যাপগুলির জন্যই মঞ্জুর করুন এবং এটির প্রকৃত প্রয়োজন (স্ক্রিন রিডার, পাসওয়ার্ড ম্যানেজার ইত্যাদি)।
• ডিভাইস প্রশাসক / ডিভাইস মালিক। প্রায় কোনও ভোক্তা অ্যাপের বৈধভাবে এটির প্রয়োজন নেই৷ যদি একটি সাইডলোডেড অ্যাপ এটির অনুরোধ করে, তাহলে বন্ধ করুন।
• অমিল প্যাকেজের নাম। যদি প্যাকেজের নাম (যেমন, com.example.app) প্রকৃত অ্যাপের প্যাকেজের সাথে মেলে না, তাহলে ফাইলটি একটি বাস্তব পণ্যের ছদ্মবেশ ধারণ করছে৷
• অপরিচিত রপ্তানি উপাদান. ক্রিয়াকলাপ, পরিষেবা বা সম্প্রচার রিসিভার যা রপ্তানি করা হয় এবং স্থানের বাইরে দেখা যায় তা একটি পিছনের দরজা হতে পারে।

5. লাল পতাকা অবিশ্বস্ত উৎসের কাছে সাধারণ

একটি উত্স একটি ওয়েবসাইট, একটি চ্যাট গ্রুপ, বা একটি ইমেল সংযুক্তি হোক না কেন, আপনি যদি নিম্নলিখিতগুলির মধ্যে কোনটি দেখতে পান তবে এটিকে অবিশ্বস্ত হিসাবে বিবেচনা করুন:

• প্রদত্ত অ্যাপের বিনামূল্যের কপি বা বাণিজ্যিক অ্যাপ্লিকেশনের "প্রিমিয়াম আনলকড" সংস্করণ। এগুলি পাইরেটেড, প্রায়শই পরিবর্তিত হয় এবং প্রায়শই ম্যালওয়্যার বহন করে৷
• "মোড" বা "ক্র্যাকড" ব্র্যান্ডিং। সংজ্ঞা অনুসারে সংশোধিত APKগুলি স্বাক্ষর যাচাইকরণে ব্যর্থ হয় এবং এতে মোডার যোগ করা কিছু থাকতে পারে।
• একাধিক বিভ্রান্তিকর "ডাউনলোড" বোতাম যে বিজ্ঞাপন হতে চালু আউট.
• আক্রমনাত্মক পপআপ, জাল "ভাইরাস সনাক্ত" সতর্কতা, বা জোরপূর্বক পুনঃনির্দেশ।
• কোনো HTTPS নেই। যদি উৎসটি একটি এনক্রিপ্ট করা সংযোগের মাধ্যমে পরিবেশিত না হয়, তাহলে আপনার ডাউনলোডটি নীরবে ট্রানজিটে অদলবদল করা যেতে পারে।
• কোন প্রকাশক তথ্য, কোন স্বাক্ষর বিবরণ, কোন চেঞ্জলগ. একটি বৈধ রিলিজ এই সব আছে.
• Play Protect অক্ষম করার জন্য চাপ বা অ্যাক্সেসিবিলিটি/ডিভাইস-প্রশাসক মঞ্জুর করতে "এটি কাজ করতে।"

6. ইনস্টল করার পরে: দেখুন

যাচাইকরণ একটি এককালীন ইভেন্ট নয়। একটি সাইডলোড ইনস্টল করার পরে:

• Google Play Protect সক্ষম রাখুন। এটি পর্যায়ক্রমে ইনস্টল করা প্যাকেজ স্ক্যান করে।
• অপ্রত্যাশিত ব্যাটারি ড্রেন, নেটওয়ার্ক ব্যবহার, বা পপ-আপ ওভারলে, ক্লাসিক ম্যালওয়্যার স্বাক্ষরের জন্য দেখুন।
• পর্যায়ক্রমে সেটিংস → অ্যাপস খুলুন এবং আপনি আর ব্যবহার করেন না এমন কোনো অ্যাপ পর্যালোচনা করুন; তাদের আনইনস্টল করুন।
• প্লে স্টোরের বাইরে কোনো অ্যাপ আপডেট হলে, নতুন বিল্ডের স্বাক্ষর পূর্বে ইনস্টল করা অ্যাপটির সাথে মেলে কিনা তা পরীক্ষা করে দেখুন। একটি অমিল একটি জরুরি অবস্থা।

7. এই সাইটটি কি প্রদান করে (এবং দেয় না)

XAPK থেকে APK হল ব্রাউজার-ভিত্তিক ফাইল-ফরম্যাট রূপান্তরকারী এবং পরিদর্শক এর একটি সেট৷ আমরা APK ফাইলগুলি হোস্ট করি না, আমরা APK ডাউনলোড সাইটগুলির সাথে লিঙ্ক করি না এবং আমরা পাইরেসিকে সহজতর করি না৷ এই সাইটের প্রতিটি টুল স্থানীয়ভাবে আপনার ব্রাউজারে ফাইলগুলি প্রক্রিয়া করে, কোন আপলোড নেই, কোন অনুলিপি নেই, কোন ধারণ নেই৷ সম্পূর্ণ বিবরণের জন্য আমাদের দাবিত্যাগ এবং গোপনীয়তা নীতি দেখুন।

তৃতীয় পক্ষের APK ডাউনলোডগুলি যাচাই করার জন্য সুবর্ণ নিয়ম

সাইডলোডিং Android প্ল্যাটফর্মের একটি বৈধ এবং শক্তিশালী ক্ষমতা, কিন্তু এটি Google-এর পর্যালোচকদের থেকে নিরাপত্তার দায়িত্ব আপনার উপর স্থানান্তর করে। প্রদত্ত এবং ভোক্তা অ্যাপের জন্য অফিসিয়াল প্লে স্টোরে লেগে থাকা, আপনার ইতিমধ্যেই আইনত অ্যাক্সেস রয়েছে এমন সফ্টওয়্যারটির প্রথম-পক্ষের বিকাশকারী রিলিজগুলিতে সাইডলোডিং সীমাবদ্ধ করে এবং ইনস্টল করার আগে প্রতিটি প্যাকেজের স্বাক্ষর এবং হ্যাশ যাচাই করে, আপনি নিরাপত্তার সাথে আপস না করে বা আইন ভঙ্গ না করে সেই নমনীয়তা উপভোগ করতে পারেন।