Jak bezpečně vyhodnotit zdroje APK: Kontrolní seznam zabezpečení

Pokud z legitimních důvodů stáhnete aplikace pro Android, nainstalujete beta verzi dodanou vývojářem, přeinstalujete aplikaci s otevřeným zdrojovým kódem, jejíž projekt hostuje vlastní vydání, nebo obnovíte zálohu aplikace, kterou legálně vlastníte, měli byste soubor před instalací vždy ověřit. Tato příručka vysvětluje technické signály, které odlišují důvěryhodný soubor APK od neoprávněného, ​​aniž by jmenovala nebo propagovala jakoukoli konkrétní platformu pro stahování.

1. Začněte s nejdůvěryhodnějším zdrojem

Pro téměř každého uživatele je odpovědí Obchod Google Play. Aplikace distribuované tam jsou podepsány jejich původními vývojáři, skenovány službou Google Play Protect a kontrolovány kvůli škodlivému chování. Pokud je požadovaná aplikace ve službě Play, nainstalujte ji odtud, tečka.

Legitimní výjimky z pravidla „Hrát jako první“ jsou úzké:

• Aplikace je open-source a projekt distribuuje podepsaná sestavení ze svého vlastního oficiálního webu, stránky GitHub Releases nebo vlastního aktualizačního serveru.
• Jste vývojář, který testuje své vlastní interní sestavení.
• Obnovujete soubor APK, který jste exportovali ze zařízení, které vlastníte.
• Vydavatel distribuuje konkrétní region nebo sestavení beta přímo ze své oficiální domény (a můžete potvrdit, že doména odpovídá ověřené značce vývojáře).

Cokoli mimo tyto případy, a zejména „bezplatné“ kopie placených aplikací, by mělo být považováno za vysoce rizikové a téměř vždy jde o porušení autorských práv.

2. Ověřte digitální podpis

Každý soubor APK je kryptograficky podepsán jeho vydavatelem. Pokud podpis na souboru neodpovídá známému podpisovému certifikátu vydavatele, soubor byl změněn a nesmí být instalován. I jediný škodlivý bajt vložený do souboru APK zneplatní podpis.

Co hledat:

• Přítomen podpisové schéma v2/v3/v4 (moderní Android to vyžaduje).
• Otisk certifikátu (SHA-256) odpovídá otisku prstu zveřejněnému vývojářem nebo se shoduje s dříve nainstalovanou kopií stejné aplikace.
• Certifikát je nevypršela a podepisovací řetězec je neporušený.

Tuto kontrolu můžete spustit zcela offline pomocí našeho Ověřovač APK: přetáhněte soubor .apk dovnitř, podívejte se na podpisový certifikát a otisk SHA-256 a porovnejte je s hodnotou, kterou vývojář publikuje.

3. Porovnejte hash SHA-256

Hash SHA-256 je pevný otisk obsahu souboru o délce 64 znaků. Pokud se změní byť jen jeden bajt, změní se hash úplně. Renomovaní vývojáři publikují SHA-256 každého vydání spolu se stažením.

proces:

1. Vypočítejte SHA-256 souboru APK na vašem počítači (většina operačních systémů obsahuje příkaz sha256sum nebo ekvivalentní; můžete také použít náš ověřovač APK).
2. Porovnejte jej znak po znaku s hodnotou zveřejněnou vývojářem na jeho oficiálních stránkách.
3. Pokud se hodnoty shodují, je soubor bajtově identický s tím, co vývojář vydal. Pokud se liší, neinstalujte.

4. Před instalací si přečtěte Manifest a oprávnění

Systém povolení Androidu je vaší poslední linií obrany. Než nainstalujete cokoli mimo Obchod Play, otevřete balíček pomocí našeho nástroje Informace o souboru APK a přečtěte si manifest. Sledujte:

• Nepřiměřená oprávnění. Jednoduchá offline kalkulačka nepotřebuje SMS, kontakty, službu usnadnění přístupu ani přístup správce zařízení. Cokoli, co požaduje mnohem víc, než jeho práce vyžaduje, je podezřelé.
• Zneužívání služby usnadnění. Malware často zneužívá BIND_ACCESSIBILITY_SERVICE ke čtení obsahu obrazovky a klikání na tlačítka jménem uživatele. Toto udělujte pouze aplikacím, kterým důvěřujete a které to skutečně potřebují (čtečky obrazovky, správci hesel atd.).
• Správce zařízení / Vlastník zařízení. Téměř žádná spotřebitelská aplikace to legitimně nepotřebuje. Pokud si to vyžádá aplikace stažená ze strany, zastavte se.
• Neodpovídající název balíčku. Pokud název balíčku (např). com.example.app neodpovídá originálnímu balíčku aplikace, soubor se vydává za skutečný produkt.
• Neznámé exportované komponenty. Činnosti, služby nebo přijímače vysílání, které jsou exportovány a vypadají nepatřičně, mohou být zadními vrátky.

5. Červené vlajky společné pro nedůvěryhodné zdroje

Ať už je zdrojem webová stránka, chatovací skupina nebo příloha e-mailu, zacházejte s ním jako s nedůvěryhodným, pokud uvidíte některou z následujících věcí:

• Bezplatné kopie placených aplikací nebo „prémiové odemčené“ verze komerčních aplikací. Ty jsou pirátské, často upravené a často obsahují malware.
• „Mod“ nebo „prasklý“ branding. Upravené soubory APK podle definice selhávají při ověřování podpisu a mohou obsahovat cokoli, co přidal modder.
• Více matoucích tlačítek "Stáhnout"., které se ukázaly jako reklamy.
• Agresivní vyskakovací okna, falešná upozornění „detekován virus“ nebo nucená přesměrování.
• Žádný HTTPS. Pokud není zdroj poskytován prostřednictvím šifrovaného připojení, vaše stahování může být při přenosu tiše zaměněno.
• Žádné informace o vydavateli, žádné podrobnosti o podpisu, žádný changelog. Legální vydání má všechny tyto vlastnosti.
• Tlak pro deaktivaci funkce Play Protect nebo udělit přístupnost / správce zařízení "aby to fungovalo."

6. Po instalaci: Keep Watch

Ověření není jednorázová událost. Po instalaci s bočním zatížením:

• Nechte Google Play Protect povoleno. Pravidelně kontroluje nainstalované balíčky.
• Sledujte neočekávané vybití baterie, využití sítě nebo překryvná vyskakovací okna, klasické signatury malwaru.
• Pravidelně otevírejte Nastavení → Aplikace a kontrolujte všechny aplikace, které již nepoužíváte; odinstalovat je.
• Pokud se aplikace aktualizuje mimo Obchod Play, zkontrolujte, zda podpis nového sestavení odpovídá dříve nainstalovanému. Nesoulad je nouzový.

7. Co tato stránka nabízí (a neposkytuje).

XAPK to APK je sada převaděče a inspektory formátů souborů založené na prohlížeči. Nehostujeme soubory APK, neodkazujeme na stránky pro stahování souborů APK a nenapomáháme pirátství. Každý nástroj na tomto webu zpracovává soubory lokálně ve vašem prohlížeči, žádné nahrávání, žádné kopírování, žádné uchovávání. Úplné podrobnosti najdete v našich Zřeknutí se odpovědnosti a Zásady ochrany osobních údajů.

Zlatá pravidla pro ověřování stahování souborů APK třetích stran

Sideloading je legitimní a výkonná funkce platformy Android, ale přesouvá odpovědnost za bezpečnost z kontrolorů Google na vás. Budete-li se držet oficiálního obchodu Play pro placené a spotřebitelské aplikace, omezíte načítání softwaru první strany na verze softwaru, ke kterému již máte legálně přístup, a před instalací ověříte podpis a hash každého balíčku, můžete si užít tuto flexibilitu, aniž byste ohrozili zabezpečení nebo porušili zákon.