Az APK-források biztonságos értékelése: Biztonsági ellenőrzőlista

Ha jogos okokból oldalra tölt Android-alkalmazásokat, telepíti a fejlesztő által biztosított béta buildet, újratelepít egy nyílt forráskódú alkalmazást, amelynek projektje saját kiadásokat tartalmaz, vagy visszaállítja a legálisan birtokolt alkalmazás biztonsági másolatát, mindig ellenőriznie kell a fájlt a telepítés előtt. Ez az útmutató elmagyarázza azokat a technikai jeleket, amelyek megkülönböztetik a megbízható APK-t a manipulált APK-tól, anélkül, hogy bármilyen konkrét letöltési platformot megnevezne vagy reklámozna.

1. Kezdje a legmegbízhatóbb forrással

Szinte minden felhasználó számára a válasz a Google Play Áruház. Az ott terjesztett alkalmazásokat eredeti fejlesztőik aláírták, a Google Play Protect ellenőrzi, és ellenőrzi a rosszindulatú viselkedést. Ha egy kívánt alkalmazás a Playen van, telepítse onnan, pont.

A „Játssz először” szabály alóli törvényes kivételek szűkek:

• Az alkalmazás nyílt forráskódú, és a projekt aláírt buildeket terjeszt a saját hivatalos webhelyéről, a GitHub Releases oldaláról vagy saját üzemeltetésű frissítési szerveréről.
• Ön egy fejlesztő, aki saját belső buildjeit teszteli.
• Ön egy saját eszközéről exportált APK-t állít vissza.
• A kiadó közvetlenül a hivatalos domainjéből terjeszt egy régióspecifikus vagy béta verziót (és Ön ellenőrizheti, hogy a domain egyezik-e a fejlesztő által ellenőrzött márkajelzéssel).

Bármi, ami ezeken az eseteken kívül esik, és különösen a fizetős alkalmazások „ingyenes” másolatai, magas kockázatúként kell kezelni, és szinte mindig a szerzői jog megsértésének minősül.

2. Ellenőrizze a digitális aláírást

Minden APK-t kriptográfiailag aláír a kiadója. Ha egy fájl aláírása nem egyezik a kiadó ismert aláíró tanúsítványával, akkor a fájl megváltozott, és nem szabad telepíteni. Még egyetlen rosszindulatú bájt is, amelyet egy APK-ba fecskendeznek, érvényteleníti az aláírást.

Mit kell keresni:

• A v2/v3/v4 aláírási séma jelen van (a modern Android igényli).
• A Tanúsítvány ujjlenyomata (SHA-256) megegyezik a fejlesztő által közzétett ujjlenyomattal, vagy megegyezik ugyanannak az alkalmazásnak egy korábban telepített példányával.
• A tanúsítvány nem járt le, és az aláírási lánc sértetlen.

Ezt az ellenőrzést teljesen offline is futtathatja a APK-ellenőrző használatával: húzza be az .apk fájlt, tekintse meg az aláíró tanúsítványt és az SHA-256 ujjlenyomatot, és hasonlítsa össze a fejlesztő által közzétett értékkel.

3. Hasonlítsa össze az SHA-256 hash-t

Az SHA-256 hash a fájl tartalmának rögzített 64 karakteres ujjlenyomata. Ha csak egy bájt is megváltozik, a hash teljesen megváltozik. A jó hírű fejlesztők minden kiadás SHA-256-ját közzéteszik a letöltés mellett.

Folyamat:

1. Számítsa ki az APK SHA-256 értékét a gépén (a legtöbb operációs rendszer tartalmaz sha256sum vagy azzal egyenértékű parancsot; használhatja az APK-ellenőrzőnket is).
2. Hasonlítsa össze karakterenként a fejlesztő által a hivatalos webhelyén közzétett értékkel.
3. Ha az értékek megegyeznek, a fájl bájtról bájtra azonos a fejlesztő által kiadott változattal. Ha eltérnek, ne telepítse.

4. Telepítés előtt tekintse át a jegyzéket és az engedélyeket

Az Android engedélyrendszere az utolsó védelmi vonal. Mielőtt bármit telepítene a Play Áruházon kívülről, nyissa meg a csomagot a APK információ eszközzel, és olvassa el a jegyzéket. Figyeld:

• Aránytalan engedélyek. Egy egyszerű offline számológépnek nincs szüksége SMS-re, névjegyekre, kisegítő szolgáltatásokra vagy eszközrendszergazdai hozzáférésre. Gyanús minden, ami sokkal többet kér, mint amennyit a munkája megkövetel.
• Kisegítő lehetőségek szolgáltatással való visszaélés. A rosszindulatú programok gyakran visszaélnek a BIND_ACCESSIBILITY_SERVICE-vel a képernyő tartalmának elolvasásához és a gombokra való kattintáshoz a felhasználó nevében. Ezt csak azoknak az alkalmazásoknak engedélyezze, amelyekben megbízik, és amelyeknek valóban szükségük van rá (képernyőolvasók, jelszókezelők stb.).
• Eszköz adminisztrátor / Eszköztulajdonos. Szinte egyetlen fogyasztói alkalmazásnak sincs jogosan szüksége erre. Ha egy oldalról letöltött alkalmazás kéri, állítsa le.
• Nem egyező csomagnév. Ha a csomag neve (pl). com.example.app nem egyezik az eredeti alkalmazás csomagjával, akkor a fájl valódi terméknek adja ki magát.
• Ismeretlen exportált alkatrészek. Az exportált tevékenységek, szolgáltatások vagy műsorszóró vevőkészülékek, amelyek nem látszanak a helyükön, hátsó ajtót jelenthetnek.

5. Vörös zászlók, amelyek a megbízhatatlan forrásokra jellemzőek

Függetlenül attól, hogy a forrás egy webhely, egy csevegőcsoport vagy egy e-mail melléklet, kezelje megbízhatatlannak, ha a következők bármelyikét látja:

• Fizetős alkalmazások ingyenes másolatai vagy kereskedelmi alkalmazások "prémium zárolás nélküli" verziói. Ezek kalózok, gyakran módosítottak, és gyakran tartalmaznak rosszindulatú programokat.
• „Mod” vagy „repedt” márkajelzés. A módosított APK-k definíció szerint nem sikerül az aláírás-ellenőrzés, és bármit tartalmazhatnak, amit a módosító adott hozzá.
• Több zavaró "Letöltés" gomb, amelyekről kiderül, hogy hirdetések.
• Agresszív előugró ablakok, hamis „vírus észlelt” riasztások vagy kényszerített átirányítások.
• Nincs HTTPS. Ha a forrást nem titkosított kapcsolaton keresztül szolgálják ki, a letöltés továbbítás közben csendben felcserélhető.
• Nincsenek kiadói információk, nincsenek aláírási adatok, nincs változásnapló. Egy törvényes kiadás mindezeket tartalmazza.
• Nyomás a Play Protect letiltásához vagy akadálymentesítést / device-admin "hogy működjön".

6. Telepítés után: Vigyázzon

Az ellenőrzés nem egyszeri esemény. Oldalról betöltött telepítés után:

• Hagyja engedélyezve a Google Play Protect beállítást. Rendszeresen ellenőrzi a telepített csomagokat.
• Figyelje az akkumulátor váratlan lemerülését, a hálózathasználatot vagy a felugró átfedéseket, a klasszikus rosszindulatú programok aláírását.
• Rendszeresen nyissa meg a Beállítások → Alkalmazások-t, és tekintse át a már nem használt alkalmazásokat; távolítsa el őket.
• Ha egy alkalmazás a Play Áruházon kívül frissíti önmagát, ellenőrizze, hogy az új kiadás aláírása megegyezik-e a korábban telepített verzióéval. Az eltérés komoly figyelmeztető jel.

7. Mit nyújt (és nem) ez a webhely

Az XAPK to APK a böngésző alapú fájlformátum konverterek és ellenőrök készlete. Nem tárolunk APK fájlokat, nem hivatkozunk APK letöltő oldalakra, és nem segítjük elő a kalózkodást. Ezen az oldalon minden eszköz feldolgozza a helyileg a böngészőjében fájlokat, nincs feltöltés, másolás, megőrzés. Tekintse meg Jogi nyilatkozat és Adatvédelmi szabályzat termékeinket a részletekért.

A harmadik féltől származó APK-letöltések ellenőrzésének aranyszabályai

Az oldalbetöltés az Android platform legitim és hatékony képessége, de a biztonsági felelősséget a Google értékelőiről Önre hárítja. Ha ragaszkodik a fizetős és fogyasztói alkalmazások hivatalos Play Áruházához, korlátozza az oldalbetöltést azokra a szoftverek belső fejlesztői kiadásaira, amelyekhez már legálisan hozzáfér, és minden csomag aláírását és kivonatát telepítés előtt ellenőrzi, élvezheti ezt a rugalmasságot a biztonság vagy a törvény megsértése nélkül.