APK स्रोतों का सुरक्षित मूल्यांकन कैसे करें: एक सुरक्षा जांच सूची
महत्वपूर्ण: अधिकांश उपयोगकर्ताओं के लिए Android एप्लिकेशन इंस्टॉल करने के लिए आधिकारिक Google Play Store सबसे सुरक्षित स्थान बना हुआ है। यह आलेख नहीं किसी तृतीय-पक्ष APK वितरण वेबसाइट की अनुशंसा, समर्थन या लिंक करता है। यह आपके पास पहले से ही कानूनी रूप से प्राप्त किया गया वाली APK फ़ाइल का मूल्यांकन करने के लिए एक विक्रेता-तटस्थ शैक्षणिक चेकलिस्ट है (उदाहरण के लिए, एक APK जिसे आपने अपने डिवाइस से निर्यात किया है, एक बिल्ड आर्टिफैक्ट जिसे आपने किसी प्रोजेक्ट के आधिकारिक रिलीज पेज से डाउनलोड किया है, या किसी प्रोजेक्ट की अपनी वेबसाइट से एक ओपन-सोर्स ऐप)। कभी भी अनौपचारिक स्रोतों से भुगतान किए गए या कॉपीराइट किए गए ऐप्स डाउनलोड न करें।
यदि आप वैध कारणों से Android ऐप्स को साइडलोड करते हैं, डेवलपर द्वारा आपूर्ति किए गए बीटा बिल्ड को इंस्टॉल करते हैं, एक ओपन-सोर्स ऐप को फिर से इंस्टॉल करते हैं जिसका प्रोजेक्ट अपनी रिलीज़ होस्ट करता है, या किसी ऐप का बैकअप पुनर्स्थापित करता है जो आपके पास कानूनी रूप से है, तो आपको इसे इंस्टॉल करने से पहले हमेशा फ़ाइल को सत्यापित करना चाहिए। यह मार्गदर्शिका उन तकनीकी संकेतों की व्याख्या करती है जो किसी विशिष्ट डाउनलोड प्लेटफ़ॉर्म का नाम या प्रचार किए बिना, एक भरोसेमंद APK को छेड़छाड़ किए गए APK से अलग करते हैं।
चाबी छीनना
- जब भी संभव हो आधिकारिक प्ले स्टोर या डेवलपर की अपनी वेबसाइट को प्राथमिकता दें।
- हमेशा सत्यापित करें कि APK हस्ताक्षर एक ज्ञात-अच्छे हस्ताक्षर प्रमाणपत्र से मेल खाता है।
- डेवलपर द्वारा प्रकाशित हैश के विरुद्ध SHA-256 हैश की तुलना करें।
- स्थापित करने से पहले अनुरोधित अनुमति की समीक्षा करें, विसंगतियाँ लाल झंडे हैं।
- अपने ब्राउज़र में स्थानीय रूप से किसी भी पैकेज का निरीक्षण करने के लिए हमारे निःशुल्क APK सत्यापनकर्ता और APK जानकारी टूल का उपयोग करें।
1. सबसे भरोसेमंद स्रोत से शुरुआत करें
लगभग हर उपयोगकर्ता के लिए, उत्तर गूगल प्ले स्टोर है। वहां वितरित ऐप्स पर उनके मूल डेवलपर्स द्वारा हस्ताक्षर किए जाते हैं, Google Play प्रोटेक्ट द्वारा स्कैन किए जाते हैं, और दुर्भावनापूर्ण व्यवहार के लिए जांच की जाती है। यदि आप जो ऐप चाहते हैं वह प्ले पर है, तो उसे वहां से इंस्टॉल करें, पूर्ण विराम।
"पहले खेलें" नियम के वैध अपवाद सीमित हैं:
- एप्लिकेशन ओपन-सोर्स है और प्रोजेक्ट अपनी आधिकारिक साइट, गिटहब रिलीज पेज, या स्वयं-होस्ट किए गए अपडेट सर्वर से हस्ताक्षरित बिल्ड वितरित करता है।
- आप एक डेवलपर हैं जो अपने स्वयं के आंतरिक निर्माण का परीक्षण कर रहे हैं।
- आप अपने स्वामित्व वाले डिवाइस से निर्यात किए गए APK को पुनर्स्थापित कर रहे हैं।
- प्रकाशक सीधे अपने आधिकारिक डोमेन से क्षेत्र-विशिष्ट या बीटा बिल्ड वितरित करता है (और आप पुष्टि कर सकते हैं कि डोमेन डेवलपर की सत्यापित ब्रांडिंग से मेल खाता है)।
उन मामलों के बाहर कुछ भी, और विशेष रूप से भुगतान किए गए ऐप्स की "मुफ़्त" प्रतियों को उच्च जोखिम के रूप में माना जाना चाहिए और लगभग हमेशा कॉपीराइट उल्लंघन होता है।
2. डिजिटल हस्ताक्षर सत्यापित करें
प्रत्येक APK पर उसके प्रकाशक द्वारा क्रिप्टोग्राफ़िक रूप से हस्ताक्षर किए जाते हैं। यदि किसी फ़ाइल पर हस्ताक्षर प्रकाशक के ज्ञात हस्ताक्षर प्रमाणपत्र से मेल नहीं खाता है, तो फ़ाइल बदल दी गई है और उसे स्थापित नहीं किया जाना चाहिए। यहां तक कि APK में डाला गया एक भी दुर्भावनापूर्ण बाइट हस्ताक्षर को अमान्य कर देगा।
किसकी तलाश है:
- v2/v3/v4 हस्ताक्षर योजना मौजूद है (आधुनिक Android को इसकी आवश्यकता है)।
- प्रमाणपत्र फ़िंगरप्रिंट (SHA-256) डेवलपर द्वारा प्रकाशित फिंगरप्रिंट से मेल खाता है या उसी ऐप की पहले से इंस्टॉल की गई कॉपी से मेल खाता है।
- प्रमाणपत्र समाप्त नहीं हुआ है और हस्ताक्षर श्रृंखला बरकरार है।
आप हमारे APK सत्यापनकर्ता का उपयोग करके इस चेक को पूरी तरह से ऑफ़लाइन चला सकते हैं: .apk को अंदर खींचें, हस्ताक्षर प्रमाणपत्र और SHA-256 फ़िंगरप्रिंट देखें, और इसकी तुलना डेवलपर द्वारा प्रकाशित मूल्य से करें।
3. SHA-256 हैश की तुलना करें
SHA-256 हैश फ़ाइल की सामग्री का एक निश्चित 64-वर्ण फ़िंगरप्रिंट है। यदि एक बाइट भी बदलती है, तो हैश पूरी तरह बदल जाता है। प्रतिष्ठित डेवलपर्स डाउनलोड के साथ-साथ प्रत्येक रिलीज़ का SHA-256 प्रकाशित करते हैं।
प्रक्रिया:
- अपनी मशीन पर APK के SHA-256 की गणना करें (अधिकांश ऑपरेटिंग सिस्टम में sha256sum या समकक्ष कमांड शामिल है; आप हमारे APK सत्यापनकर्ता का भी उपयोग कर सकते हैं)।
- इसकी तुलना डेवलपर द्वारा उनकी आधिकारिक साइट पर प्रकाशित मूल्य से चरित्र-दर-चरित्र करें।
- यदि मान मेल खाते हैं, तो फ़ाइल डेवलपर द्वारा जारी की गई फ़ाइल के समान बाइट है। यदि वे भिन्न हैं, तो इंस्टॉल न करें.
4. इंस्टॉल करने से पहले मेनिफेस्ट और अनुमतियों की समीक्षा करें
Android की अनुमति प्रणाली आपकी रक्षा की अंतिम पंक्ति है। इससे पहले कि आप Play Store के बाहर से कुछ भी इंस्टॉल करें, हमारे APK जानकारी टूल से पैकेज खोलें और मैनिफ़ेस्ट पढ़ें। के लिए देखें:
- अनुपातहीन अनुमतियाँ. एक साधारण ऑफ़लाइन कैलकुलेटर को एसएमएस, संपर्क, एक्सेसिबिलिटी-सेवा, या डिवाइस-एडमिन एक्सेस की आवश्यकता नहीं होती है। कोई भी चीज़ जो अपने काम की आवश्यकता से कहीं अधिक मांगती है वह संदिग्ध है।
- अभिगम्यता सेवा का दुरुपयोग. मैलवेयर अक्सर स्क्रीन सामग्री को पढ़ने और उपयोगकर्ता की ओर से बटन क्लिक करने के लिए BIND_ACCESSIBILITY_SERVICE का दुरुपयोग करता है। इसे केवल उन ऐप्स को प्रदान करें जिन पर आप भरोसा करते हैं और जिन्हें वास्तव में इसकी आवश्यकता है (स्क्रीन रीडर, पासवर्ड मैनेजर, आदि)।
- डिवाइस व्यवस्थापक/डिवाइस स्वामी. लगभग किसी भी उपभोक्ता ऐप को वैध रूप से इसकी आवश्यकता नहीं है। यदि कोई साइडलोडेड ऐप इसका अनुरोध करता है, तो रुकें।
- बेमेल पैकेज नाम. यदि पैकेज का नाम (उदाहरण के लिए, com.example.app) वास्तविक ऐप के पैकेज से मेल नहीं खाता है, तो फ़ाइल एक वास्तविक उत्पाद का प्रतिरूपण कर रही है।
- अपरिचित निर्यातित घटक. गतिविधियाँ, सेवाएँ, या प्रसारण रिसीवर जो निर्यात किए जाते हैं और जगह से बाहर दिखते हैं, एक पिछला दरवाजा हो सकते हैं।
5. लाल झंडे आम से अविश्वसनीय स्रोतों तक
चाहे कोई स्रोत कोई वेबसाइट हो, कोई चैट समूह हो, या कोई ईमेल अनुलग्नक हो, यदि आपको निम्नलिखित में से कोई भी दिखाई देता है तो उसे अविश्वसनीय मानें:
- व्यावसायिक अनुप्रयोगों के सशुल्क ऐप्स की निःशुल्क प्रतियां या "प्रीमियम अनलॉक" संस्करण। ये पायरेटेड हैं, अक्सर संशोधित होते हैं, और अक्सर मैलवेयर ले जाते हैं।
- परिभाषा के अनुसार "मॉड" या "क्रैक्ड" ब्रांडिंग। संशोधित APK हस्ताक्षर सत्यापन में विफल हो जाते हैं और उनमें मॉडर द्वारा जोड़ा गया कुछ भी शामिल हो सकता है।
- एकाधिक भ्रमित करने वाले "डाउनलोड" बटन जो विज्ञापन बन जाते हैं।
- आक्रामक पॉपअप, नकली "वायरस का पता चला" अलर्ट, या जबरन रीडायरेक्ट।
- कोई HTTPS नहीं. यदि स्रोत एन्क्रिप्टेड कनेक्शन पर प्रस्तुत नहीं किया गया है, तो आपके डाउनलोड को ट्रांज़िट में चुपचाप स्वैप किया जा सकता है।
- कोई प्रकाशक जानकारी नहीं, कोई हस्ताक्षर विवरण नहीं, कोई चेंजलॉग नहीं। एक वैध रिलीज़ में ये सभी होते हैं।
- प्ले प्रोटेक्ट को अक्षम करने का दबाव या एक्सेसिबिलिटी/डिवाइस-एडमिन प्रदान करने के लिए "इसे काम करने के लिए।"
6. इंस्टाल करने के बाद: नजर रखें
सत्यापन एक बार की घटना नहीं है. साइडलोडेड इंस्टॉल के बाद:
- गूगल प्ले प्रोटेक्ट को सक्षम छोड़ें। यह समय-समय पर स्थापित पैकेजों को स्कैन करता है।
- अप्रत्याशित बैटरी ख़त्म होने, नेटवर्क उपयोग, या पॉप-अप ओवरले, क्लासिक मैलवेयर हस्ताक्षरों पर नज़र रखें।
- समय-समय पर सेटिंग्स → ऐप्स खोलें और उन ऐप्स की समीक्षा करें जिनका आप अब उपयोग नहीं करते हैं; उन्हें अनइंस्टॉल करें.
- यदि कोई ऐप प्ले स्टोर के बाहर खुद को अपडेट करता है, तो जांच लें कि नए बिल्ड का हस्ताक्षर पहले से इंस्टॉल किए गए हस्ताक्षर से मेल खाता है। बेमेल एक आपातकालीन स्थिति है.
7. यह साइट क्या प्रदान करती है (और क्या नहीं)।
XAPKS से APK ब्राउज़र-आधारित फ़ाइल-प्रारूप कनवर्टर और निरीक्षक का एक सेट है। हम APK फ़ाइलों को होस्ट नहीं करते हैं, हम APK डाउनलोड साइटों से लिंक नहीं करते हैं, और हम चोरी की सुविधा नहीं देते हैं। इस साइट पर प्रत्येक उपकरण आपके ब्राउज़र में स्थानीय रूप से फ़ाइलों को संसाधित करता है, कोई अपलोड नहीं, कोई प्रतिलिपि नहीं, कोई प्रतिधारण नहीं। पूरी जानकारी के लिए हमारा अस्वीकरण और गोपनीयता नीति देखें।
किसी भी APK का निरीक्षण करें: अपने ब्राउज़र में
उस फ़ाइल को खींचें जिसमें आपको पहले से ही उसका मेनिफ़ेस्ट, हस्ताक्षर प्रमाणपत्र, SHA-256 हैश और अनुरोधित अनुमतियाँ पढ़नी हैं। कुछ भी अपलोड नहीं किया गया है.
APK इन्फो टूल खोलें APK सत्यापनकर्ता खोलेंतृतीय-पक्ष APK डाउनलोड सत्यापित करने के सुनहरे नियम
साइडलोडिंग Android प्लेटफ़ॉर्म की एक वैध और शक्तिशाली क्षमता है, लेकिन यह सुरक्षा जिम्मेदारी को Google के समीक्षकों से हटाकर आप पर डाल देती है। भुगतान किए गए और उपभोक्ता ऐप्स के लिए आधिकारिक प्ले स्टोर पर टिके रहकर, कानूनी रूप से आपके पास पहले से मौजूद सॉफ़्टवेयर के प्रथम-पक्ष डेवलपर रिलीज़ तक साइडलोडिंग को प्रतिबंधित करके, और इंस्टॉल करने से पहले प्रत्येक पैकेज के हस्ताक्षर और हैश को सत्यापित करके, आप सुरक्षा से समझौता किए बिना या कानून को तोड़े बिना उस लचीलेपन का आनंद ले सकते हैं।