نحوه ارزیابی ایمن منابع APK: یک چک لیست امنیتی

اگر برنامه‌های Android را به دلایل قانونی، نصب نسخه بتا ارائه شده توسط توسعه‌دهنده، نصب مجدد یک برنامه منبع باز که پروژه آن میزبان نسخه‌های خودش است، یا بازیابی نسخه پشتیبان از برنامه‌ای که به طور قانونی مالک آن هستید، نصب کنید، همیشه باید فایل را قبل از نصب آن تأیید کنید. این راهنما سیگنال‌های فنی را توضیح می‌دهد که یک APK قابل اعتماد را از یک APK دستکاری شده، بدون نام‌گذاری یا تبلیغ پلتفرم دانلود خاصی، متمایز می‌کند.

1. با معتبرترین منبع شروع کنید

تقریباً برای هر کاربر، پاسخ فروشگاه Google Play است. برنامه‌هایی که در آنجا توزیع می‌شوند توسط توسعه‌دهندگان اصلی خود امضا می‌شوند، توسط Google Play Protect اسکن می‌شوند و برای رفتارهای مخرب کنترل می‌شوند. اگر برنامه‌ای که می‌خواهید در Play است، آن را از آنجا نصب کنید.

استثناهای قانونی برای قانون "اول بازی" محدود است:

• این برنامه منبع باز است و پروژه ساخت های امضا شده را از سایت رسمی خود، صفحه انتشارات GitHub یا سرور به روز رسانی خود میزبانی شده توزیع می کند.
• شما یک توسعه دهنده هستید که ساخت های داخلی خود را آزمایش می کنید.
• شما در حال بازیابی یک APK هستید که از دستگاهی که متعلق به شماست صادر کرده اید.
• ناشر یک بیلد مخصوص منطقه یا نسخه بتا را مستقیماً از دامنه رسمی خود توزیع می کند (و می توانید تأیید کنید که دامنه با مارک تأیید شده توسعه دهنده مطابقت دارد).

هر چیزی خارج از این موارد، و به ویژه کپی‌های «رایگان» برنامه‌های پولی، باید به عنوان پرخطر تلقی شود و تقریباً همیشه نقض حق نسخه‌برداری است.

2. امضای دیجیتال را تأیید کنید

هر APK به صورت رمزنگاری توسط ناشر آن امضا شده است. اگر امضای روی یک فایل با گواهی امضای شناخته شده ناشر مطابقت نداشته باشد، فایل تغییر کرده است و نباید نصب شود. حتی یک بایت مخرب که به یک APK تزریق شود، امضا را باطل می کند.

به دنبال چه چیزی باشید:

• طرح امضای v2/v3/v4 موجود است (Android مدرن به آن نیاز دارد).
• اثر انگشت گواهی (SHA-256) با اثر انگشت منتشر شده توسط توسعه‌دهنده مطابقت دارد یا با نسخه‌ای که قبلاً نصب شده از همان برنامه مطابقت دارد.
• گواهی منقضی نشده است است و زنجیره امضا دست نخورده است.

می‌توانید این بررسی را کاملاً آفلاین با استفاده از تأیید کننده APK اجرا کنید: apk. را به داخل بکشید، گواهی امضا و اثر انگشت SHA-256 را ببینید و آن را با مقداری که توسعه‌دهنده منتشر می‌کند مقایسه کنید.

3. SHA-256 Hash را مقایسه کنید

هش SHA-256 یک اثر انگشت 64 کاراکتری ثابت از محتویات فایل است. اگر حتی یک بایت تغییر کند، هش کاملاً تغییر می کند. توسعه دهندگان معتبر SHA-256 هر نسخه را در کنار دانلود منتشر می کنند.

فرآیند:

1. SHA-256 APK را روی دستگاه خود محاسبه کنید (بیشتر سیستم عامل ها شامل یک دستور sha256sum یا معادل آن هستند؛ همچنین می توانید از تأیید کننده APK ما استفاده کنید).
2. کاراکتر به کاراکتر آن را با مقدار منتشر شده توسط توسعه دهنده در سایت رسمی خود مقایسه کنید.
3. اگر مقادیر مطابقت داشته باشند، فایل مشابه بایتی است که توسعه دهنده منتشر کرده است. اگر تفاوت دارند، نصب نکنید.

4. قبل از نصب، مانیفست و مجوزها را بررسی کنید

سیستم مجوز Android آخرین خط دفاع شماست. قبل از اینکه چیزی را از خارج از Play Store نصب کنید، بسته را با ابزار اطلاعات APK باز کنید و مانیفست را بخوانید. تماشا کنید برای:

• مجوزهای نامتناسب یک ماشین حساب آفلاین ساده نیازی به پیامک، مخاطبین، سرویس دسترسی یا دسترسی به دستگاه- سرپرست ندارد. هر چیزی که خیلی بیشتر از چیزی که کارش نیاز دارد بخواهد مشکوک است.
• بدافزار سوء استفاده از سرویس دسترسی اغلب از BIND_ACCESSIBILITY_SERVICE برای خواندن محتوای صفحه و کلیک روی دکمه‌ها از طرف کاربر سوء استفاده می‌کند. این را فقط به برنامه‌هایی بدهید که به آن‌ها اعتماد دارید و واقعاً به آن نیاز دارند (صفحه‌خوان‌ها، مدیران رمز عبور و غیره).
• مدیر دستگاه / صاحب دستگاه. تقریباً هیچ برنامه مصرف کننده ای به طور قانونی به این نیاز ندارد. اگر یک برنامه جانبی آن را درخواست کرد، آن را متوقف کنید.
• نام بسته مطابقت ندارد. اگر نام بسته (به عنوان مثال، com.example.app) با بسته برنامه اصلی مطابقت نداشته باشد، فایل جعل هویت یک محصول واقعی است.
• اجزای صادر شده ناآشنا. فعالیت‌ها، سرویس‌ها یا گیرنده‌های پخشی که صادر می‌شوند و نامناسب به نظر می‌رسند می‌توانند یک درب پشتی باشند.

5. پرچم های قرمز مشترک در منابع غیرقابل اعتماد

خواه یک منبع یک وب سایت، یک گروه چت یا یک پیوست ایمیل باشد، در صورت مشاهده هر یک از موارد زیر، آن را غیرقابل اعتماد تلقی کنید:

• کپی رایگان از برنامه های پولی یا نسخه‌های «قفل‌شده ممتاز» برنامه‌های تجاری. اینها دزدان دریایی هستند، اغلب اصلاح می شوند و اغلب بدافزارها را حمل می کنند.
• APKهای اصلاح شده نام تجاری "Mod" یا "کرک شده". طبق تعریف، تأیید امضا را انجام نمی دهند و ممکن است حاوی هر چیزی باشد که موددر اضافه کرده است.
• چندین دکمه گیج کننده "دانلود". که معلوم می شود تبلیغات هستند.
• پنجره های تهاجمی، هشدارهای جعلی "ویروس شناسایی شده" یا تغییر مسیرهای اجباری.
• بدون HTTPS. اگر منبع از طریق یک اتصال رمزگذاری شده ارائه نشود، دانلود شما می‌تواند بی‌صدا در حین انتقال تعویض شود.
• بدون اطلاعات ناشر، بدون جزئیات امضا، بدون تغییرات. یک نسخه قانونی همه اینها را دارد.
• فشار برای غیرفعال کردن Play Protect یا برای اعطای قابلیت دسترسی / دستگاه-مدیر "برای اینکه کار کند."

6. پس از نصب: Keep Watch

تأیید یک رویداد یک بار نیست. پس از نصب جانبی:

• Google Play Protect را فعال بگذارید. بسته های نصب شده را به صورت دوره ای اسکن می کند.
• مراقب تخلیه غیرمنتظره باتری، استفاده از شبکه، یا پوشش های بازشو، امضاهای بدافزار کلاسیک باشید.
• به صورت دوره‌ای تنظیمات → برنامه ها را باز کنید و برنامه‌هایی را که دیگر استفاده نمی‌کنید بررسی کنید. آنها را حذف کنید
• اگر برنامه‌ای در خارج از Play Store به‌روزرسانی می‌شود، بررسی کنید که امضای ساخت جدید با امضای نصب‌شده قبلی مطابقت داشته باشد. عدم تطابق یک اورژانس است.

7. آنچه این سایت ارائه می دهد (و نمی کند).

XAPK به APK مجموعه ای از مبدل ها و بازرسان فرمت فایل مبتنی بر مرورگر است. ما فایل‌های APK را میزبانی نمی‌کنیم، به سایت‌های دانلود APK پیوند نمی‌دهیم، و دزدی دریایی را تسهیل نمی‌کنیم. هر ابزاری در این سایت فایل‌های به صورت محلی در مرورگر شما را پردازش می‌کند، بدون آپلود، بدون کپی، بدون نگهداری. برای جزئیات کامل به سلب مسئولیت و سیاست حفظ حریم خصوصی ما مراجعه کنید.

قوانین طلایی برای تأیید بارگیری های APK شخص ثالث

Sideloading یک قابلیت قانونی و قدرتمند پلتفرم Android است، اما مسئولیت امنیتی را از بازبینان Google به شما منتقل می کند. با چسبیدن به فروشگاه رسمی Play برای برنامه‌های پولی و مصرفی، محدود کردن بارگذاری جانبی به نسخه‌های برنامه‌نویس شخص اول نرم‌افزاری که قبلاً به طور قانونی به آن دسترسی دارید، و تأیید امضا و هش هر بسته قبل از نصب، می‌توانید از این انعطاف‌پذیری بدون به خطر انداختن امنیت یا نقض قانون لذت ببرید.