Πώς να αξιολογήσετε τις πηγές APK με ασφάλεια: Μια λίστα ελέγχου ασφαλείας

Εάν φορτώνετε εφαρμογές Android για νόμιμους λόγους, εγκαθιστάτε μια έκδοση beta που παρέχεται από τον προγραμματιστή, επανεγκαθιστάτε μια εφαρμογή ανοιχτού κώδικα της οποίας το έργο φιλοξενεί τις δικές της εκδόσεις ή επαναφέρετε ένα αντίγραφο ασφαλείας μιας εφαρμογής που σας ανήκει νόμιμα, θα πρέπει πάντα να επαληθεύετε το αρχείο πριν την εγκαταστήσετε. Αυτός ο οδηγός εξηγεί τα τεχνικά σήματα που διακρίνουν ένα αξιόπιστο APK από ένα παραποιημένο, χωρίς να κατονομάζει ή να προωθεί κάποια συγκεκριμένη πλατφόρμα λήψης.

1. Ξεκινήστε με την πιο αξιόπιστη πηγή

Για σχεδόν κάθε χρήστη, η απάντηση είναι το Google Play Store. Οι εφαρμογές που διανέμονται εκεί υπογράφονται από τους αρχικούς προγραμματιστές τους, σαρώνονται από το Google Play Protect και ελέγχονται για κακόβουλη συμπεριφορά. Εάν μια εφαρμογή που θέλετε είναι στο Play, εγκαταστήστε την από εκεί, τελεία.

Οι νόμιμες εξαιρέσεις στον κανόνα "Παίξε πρώτα" είναι περιορισμένες:

• Η εφαρμογή είναι ανοιχτού κώδικα και το έργο διανέμει υπογεγραμμένες εκδόσεις από τον δικό του επίσημο ιστότοπο, τη σελίδα εκδόσεων GitHub ή τον αυτο-φιλοξενούμενο διακομιστή ενημέρωσης.
• Είστε προγραμματιστής που δοκιμάζει τις δικές σας εσωτερικές εκδόσεις.
• Επαναφέρετε ένα APK που εξαγάξατε από μια συσκευή που σας ανήκει.
• Ο εκδότης διανέμει μια έκδοση για συγκεκριμένη περιοχή ή beta απευθείας από τον επίσημο τομέα του (και μπορείτε να επιβεβαιώσετε ότι ο τομέας ταιριάζει με την επαληθευμένη επωνυμία του προγραμματιστή).

Οτιδήποτε εκτός αυτών των περιπτώσεων, και ειδικά τα «δωρεάν» αντίγραφα εφαρμογών επί πληρωμή, θα πρέπει να αντιμετωπίζονται ως υψηλού κινδύνου και είναι σχεδόν πάντα παραβίαση πνευματικών δικαιωμάτων.

2. Επαληθεύστε την Ψηφιακή Υπογραφή

Κάθε APK υπογράφεται κρυπτογραφικά από τον εκδότη του. Εάν η υπογραφή σε ένα αρχείο δεν ταιριάζει με το γνωστό πιστοποιητικό υπογραφής του εκδότη, το αρχείο έχει τροποποιηθεί και δεν πρέπει να εγκατασταθεί. Ακόμη και ένα κακόβουλο byte που εισάγεται σε ένα APK θα ακυρώσει την υπογραφή.

Τι να ψάξετε:

• Το v2/v3/v4 σχήμα υπογραφής είναι παρόν (το σύγχρονο Android το απαιτεί).
• Το Δακτυλικό αποτύπωμα πιστοποιητικού (SHA-256) ταιριάζει με ένα δακτυλικό αποτύπωμα που δημοσιεύτηκε από τον προγραμματιστή ή ταιριάζει με ένα αντίγραφο της ίδιας εφαρμογής που είχε εγκατασταθεί προηγουμένως.
• Το πιστοποιητικό είναι δεν έχει λήξει και η αλυσίδα υπογραφής είναι άθικτη.

Μπορείτε να εκτελέσετε αυτόν τον έλεγχο εντελώς εκτός σύνδεσης χρησιμοποιώντας το Επαληθευτής APK: σύρετε το .apk μέσα, δείτε το πιστοποιητικό υπογραφής και το δακτυλικό αποτύπωμα SHA-256 και συγκρίνετε το με την τιμή που δημοσιεύει ο προγραμματιστής.

3. Συγκρίνετε το SHA-256 Hash

Ο κατακερματισμός SHA-256 είναι ένα σταθερό δακτυλικό αποτύπωμα 64 χαρακτήρων του περιεχομένου του αρχείου. Εάν αλλάξει έστω και ένα byte, ο κατακερματισμός αλλάζει εντελώς. Οι αξιόπιστοι προγραμματιστές δημοσιεύουν το SHA-256 κάθε έκδοσης μαζί με τη λήψη.

Διαδικασία:

1. Υπολογίστε το SHA-256 του APK στο μηχάνημά σας (τα περισσότερα λειτουργικά συστήματα περιλαμβάνουν μια εντολή sha256sum ή αντίστοιχη εντολή. μπορείτε επίσης να χρησιμοποιήσετε τον Επαληθευτή APK).
2. Συγκρίνετε το χαρακτήρα προς χαρακτήρα με την τιμή που δημοσιεύει ο προγραμματιστής στον επίσημο ιστότοπο του.
3. Εάν οι τιμές ταιριάζουν, το αρχείο είναι ίδιο byte με αυτό που κυκλοφόρησε ο προγραμματιστής. Εάν διαφέρουν, μην το εγκαταστήσετε.

4. Ελέγξτε τη δήλωση και τα δικαιώματα πριν από την εγκατάσταση

Το σύστημα αδειών του Android είναι η τελευταία σας γραμμή άμυνας. Προτού εγκαταστήσετε οτιδήποτε εκτός του Play Store, ανοίξτε το πακέτο με το εργαλείο Πληροφορίες APK και διαβάστε το μανιφέστο. Παρακολουθήστε για:

• Δυσανάλογες άδειες. Μια απλή αριθμομηχανή εκτός σύνδεσης δεν χρειάζεται SMS, επαφές, υπηρεσία προσβασιμότητας ή πρόσβαση διαχειριστή συσκευής. Οτιδήποτε ζητά πολύ περισσότερα από όσα απαιτεί η δουλειά του είναι ύποπτο.
• Το κακόβουλο λογισμικό Κατάχρηση υπηρεσίας προσβασιμότητας. καταχράται συχνά το BIND_ACCESSIBILITY_SERVICE για να διαβάσει το περιεχόμενο της οθόνης και να κάνει κλικ σε κουμπιά εκ μέρους του χρήστη. Παραχωρήστε αυτό μόνο σε εφαρμογές που εμπιστεύεστε και που το χρειάζονται πραγματικά (αναγνώστες οθόνης, διαχειριστές κωδικών πρόσβασης κ.λπ.).
• Διαχειριστής συσκευής / Κάτοχος συσκευής. Σχεδόν καμία εφαρμογή καταναλωτών δεν το χρειάζεται νόμιμα. Εάν το ζητήσει μια πλευρική εφαρμογή, σταματήστε.
• Αναντιστοιχία ονόματος πακέτου. Εάν το όνομα πακέτου (π.χ. com.example.app) δεν ταιριάζει με το γνήσιο πακέτο της εφαρμογής, το αρχείο υποδύεται ένα πραγματικό προϊόν.
• Άγνωστα εξαγόμενα εξαρτήματα. Οι δραστηριότητες, οι υπηρεσίες ή οι δέκτες εκπομπής που εξάγονται και φαίνονται παράταιρα μπορεί να είναι μια κερκόπορτα.

5. Κόκκινες σημαίες κοινές σε αναξιόπιστες πηγές

Είτε μια πηγή είναι ένας ιστότοπος, μια ομάδα συνομιλίας ή ένα συνημμένο email, θεωρήστε το ως αναξιόπιστο εάν δείτε οποιοδήποτε από τα ακόλουθα:

• Δωρεάν αντίγραφα εφαρμογών επί πληρωμή ή "premium ξεκλείδωτες" εκδόσεις εμπορικών εφαρμογών. Αυτά είναι πειρατικά, συχνά τροποποιούνται και συχνά μεταφέρουν κακόβουλο λογισμικό.
• Τα τροποποιημένα APK "Mod" ή "σπασμένο" branding. εξ ορισμού αποτυγχάνουν στην επαλήθευση υπογραφής και ενδέχεται να περιέχουν οτιδήποτε έχει προσθέσει ο modder.
• Πολλά μπερδεμένα κουμπιά "Λήψη". που αποδεικνύεται ότι είναι διαφημίσεις.
• Επιθετικά αναδυόμενα παράθυρα, ψεύτικες ειδοποιήσεις "ανιχνεύσεως ιού" ή αναγκαστικές ανακατευθύνσεις.
• Χωρίς HTTPS. Εάν η πηγή δεν εξυπηρετείται μέσω κρυπτογραφημένης σύνδεσης, η λήψη σας μπορεί να αντικατασταθεί αθόρυβα κατά τη μεταφορά.
• Χωρίς πληροφορίες εκδότη, χωρίς λεπτομέρειες υπογραφής, χωρίς αρχείο καταγραφής αλλαγών. Μια νόμιμη έκδοση έχει όλα αυτά.
• Πίεση για απενεργοποίηση του Play Protect ή για να παραχωρήσετε προσβασιμότητα / διαχειριστή συσκευής "για να λειτουργήσει".

6. Μετά την εγκατάσταση: Keep Watch

Η επαλήθευση δεν είναι συμβάν μίας χρήσης. Μετά από μια παράπλευρη εγκατάσταση:

• Αφήστε το Google Play Protect ενεργοποιημένο. Σαρώνει τα εγκατεστημένα πακέτα περιοδικά.
• Παρακολουθήστε για απροσδόκητη εξάντληση της μπαταρίας, χρήση δικτύου ή επικαλύψεις αναδυόμενων παραθύρων, κλασικές υπογραφές κακόβουλου λογισμικού.
• Ανοίξτε περιοδικά το Ρυθμίσεις → Εφαρμογές και ελέγξτε τυχόν εφαρμογές που δεν χρησιμοποιείτε πλέον. απεγκαταστήστε τα.
• Εάν μια εφαρμογή ενημερώνεται εκτός του Play Store, ελέγξτε ότι η υπογραφή της νέας έκδοσης ταιριάζει με την προηγουμένως εγκατεστημένη. Η αναντιστοιχία είναι έκτακτη ανάγκη.

7. Τι παρέχει (και όχι) αυτός ο ιστότοπος

Το XAPK σε APK είναι ένα σύνολο Μετατροπείς και επιθεωρητές μορφής αρχείου που βασίζονται σε πρόγραμμα περιήγησης. Δεν φιλοξενούμε αρχεία APK, δεν κάνουμε συνδέσμους σε ιστότοπους λήψης APK και δεν διευκολύνουμε την πειρατεία. Κάθε εργαλείο σε αυτόν τον ιστότοπο επεξεργάζεται αρχεία τοπικά στο πρόγραμμα περιήγησής σας, χωρίς μεταφόρτωση, χωρίς αντίγραφο, χωρίς διατήρηση. Δείτε τα Αρνηση και Πολιτική Απορρήτου για πλήρεις λεπτομέρειες.

Χρυσοί κανόνες για την επαλήθευση λήψεων APK τρίτων

Το Sideloading είναι μια νόμιμη και ισχυρή δυνατότητα της πλατφόρμας Android, αλλά μεταθέτει την ευθύνη ασφάλειας από τους αναθεωρητές της Google σε εσάς. Παραμένοντας στο επίσημο Play Store για εφαρμογές επί πληρωμή και καταναλωτικές εφαρμογές, περιορίζοντας την παράπλευρη φόρτωση σε εκδόσεις λογισμικού πρώτου κατασκευαστή στο οποίο έχετε ήδη νόμιμη πρόσβαση και επαληθεύοντας την υπογραφή και το κατακερματισμό κάθε πακέτου πριν από την εγκατάσταση, μπορείτε να απολαύσετε αυτήν την ευελιξία χωρίς συμβιβασμούς στην ασφάλεια ή παραβίαση του νόμου.