Cara Mengevaluasi Sumber APK dengan Aman: Daftar Periksa Keamanan

Jika Anda melakukan sideload aplikasi Android karena alasan yang sah, menginstal versi beta yang disediakan oleh pengembang, menginstal ulang aplikasi sumber terbuka yang proyeknya menghosting rilisnya sendiri, atau memulihkan cadangan aplikasi yang Anda miliki secara sah, Anda harus selalu memverifikasi file tersebut sebelum menginstalnya. Panduan ini menjelaskan sinyal teknis yang membedakan APK tepercaya dari APK yang dirusak, tanpa menyebutkan nama atau mempromosikan platform unduhan tertentu.

1. Mulailah dengan Sumber Paling Tepercaya

Bagi hampir setiap pengguna, jawabannya adalah Google Play Toko. Aplikasi yang didistribusikan di sana ditandatangani oleh pengembang aslinya, dipindai oleh Google Play Protect, dan diawasi dari perilaku jahat. Jika aplikasi yang Anda inginkan ada di Play, instal aplikasi tersebut dari sana, titik.

Pengecualian yang sah terhadap aturan "Mainkan dulu" sangatlah sempit:

• Aplikasi ini bersumber terbuka dan proyek mendistribusikan bangunan yang ditandatangani dari situs resminya sendiri, halaman Rilis GitHub, atau server pembaruan yang dihosting sendiri.
• Anda adalah pengembang yang menguji build internal Anda sendiri.
• Anda memulihkan APK yang Anda ekspor dari perangkat yang Anda miliki.
• Penerbit mendistribusikan versi beta atau spesifik wilayah langsung dari domain resmi mereka (dan Anda dapat mengonfirmasi bahwa domain tersebut cocok dengan merek terverifikasi pengembang).

Apa pun di luar kasus tersebut, dan terutama salinan aplikasi berbayar yang "gratis", harus dianggap berisiko tinggi dan hampir selalu merupakan pelanggaran hak cipta.

2. Verifikasi Tanda Tangan Digital

Setiap APK ditandatangani secara kriptografis oleh penerbitnya. Jika tanda tangan pada file tidak cocok dengan sertifikat penandatanganan yang diketahui milik penerbit, file tersebut telah diubah dan tidak boleh diinstal. Bahkan satu byte berbahaya yang dimasukkan ke dalam APK akan membuat tanda tangan menjadi tidak valid.

Apa yang harus dicari:

• skema tanda tangan v2/v3/v4 hadir (Android modern memerlukannya).
• Sidik jari sertifikat (SHA-256) cocok dengan sidik jari yang dipublikasikan oleh pengembang atau cocok dengan salinan aplikasi yang sama yang diinstal sebelumnya.
• Sertifikatnya adalah belum kadaluwarsa dan rantai penandatanganannya masih utuh.

Anda dapat menjalankan pemeriksaan ini sepenuhnya secara offline menggunakan Pemverifikasi APK kami: seret .apk ke dalamnya, lihat sertifikat penandatanganan dan sidik jari SHA-256, dan bandingkan dengan nilai yang diterbitkan pengembang.

3. Bandingkan Hash SHA-256

Hash SHA-256 adalah sidik jari tetap 64 karakter dari konten file. Jika satu byte saja berubah, hashnya berubah sepenuhnya. Pengembang terkemuka menerbitkan SHA-256 dari setiap rilis bersamaan dengan pengunduhan.

Proses:

1. Hitung SHA-256 APK di mesin Anda (sebagian besar sistem operasi menyertakan perintah sha256sum atau yang setara; Anda juga dapat menggunakan Pemverifikasi APK kami).
2. Bandingkan karakter per karakter dengan nilai yang dipublikasikan pengembang di situs resminya.
3. Jika nilainya cocok, file tersebut identik dengan byte yang dirilis pengembang. If they differ, do not install.

4. Tinjau Manifes dan Izin Sebelum Menginstal

Sistem izin Android adalah garis pertahanan terakhir Anda. Sebelum Anda menginstal apa pun dari luar Play Store, buka paket dengan alat Informasi APK kami dan baca manifesnya. Perhatikan:

• Izin yang tidak proporsional. Kalkulator offline sederhana tidak memerlukan SMS, kontak, layanan aksesibilitas, atau akses admin perangkat. Apa pun yang meminta lebih dari yang dibutuhkan pekerjaannya adalah hal yang mencurigakan.
• Penyalahgunaan Layanan Aksesibilitas. Malware sering menyalahgunakan BIND_ACCESSIBILITY_SERVICE untuk membaca konten layar dan mengklik tombol atas nama pengguna. Berikan ini hanya kepada aplikasi yang Anda percayai dan yang benar-benar membutuhkannya (pembaca layar, pengelola kata sandi, dll.).
• Administrator perangkat / Pemilik perangkat. Hampir tidak ada aplikasi konsumen yang memerlukan ini. Jika aplikasi yang dipindahkan memintanya, hentikan.
• Nama paket tidak cocok. Jika nama paket (misalnya com.example.app tidak cocok dengan paket aplikasi asli, maka file tersebut meniru produk asli).
• Komponen ekspor yang tidak dikenal. Aktivitas, layanan, atau penerima siaran yang diekspor dan terlihat tidak pada tempatnya dapat menjadi pintu belakang.

5. Tanda Bahaya yang Umum terjadi pada Sumber yang Tidak Dapat Dipercaya

Baik sumber berupa situs web, grup obrolan, atau lampiran email, perlakukan sumber tersebut sebagai tidak dapat dipercaya jika Anda melihat salah satu hal berikut:

• Salinan gratis dari aplikasi berbayar atau versi aplikasi komersial "premium tidak terkunci". Ini adalah bajakan, sering dimodifikasi, dan sering kali membawa malware.
• Pencitraan merek "Mod" atau "retak". APK yang dimodifikasi menurut definisi gagal dalam verifikasi tanda tangan dan mungkin berisi apa pun yang ditambahkan oleh modder.
• Beberapa tombol "Unduh" yang membingungkan yang ternyata adalah iklan.
• Munculan agresif, peringatan "virus terdeteksi" palsu, atau pengalihan paksa.
• Tidak ada HTTPS. Jika sumber tidak disajikan melalui koneksi terenkripsi, unduhan Anda dapat ditukar secara diam-diam saat transit.
• Tidak ada informasi penerbit, tidak ada detail penandatanganan, tidak ada log perubahan. Rilis yang sah memiliki semua ini.
• Tekanan untuk menonaktifkan Play Protect atau untuk memberikan aksesibilitas/admin perangkat "agar berfungsi".

6. Setelah Menginstal: Awasi

Verifikasi bukanlah peristiwa yang dilakukan satu kali saja. Setelah instalasi yang dipindahkan:

• Biarkan Google Play Lindungi diaktifkan. It scans installed packages periodically.
• Perhatikan pengurasan baterai yang tidak terduga, penggunaan jaringan, atau hamparan pop-up, tanda tangan malware klasik.
• Buka Pengaturan → Aplikasi secara berkala dan tinjau aplikasi apa pun yang tidak lagi Anda gunakan; hapus instalasinya.
• Jika aplikasi memperbarui dirinya sendiri di luar Play Store, periksa apakah tanda tangan versi baru cocok dengan yang diinstal sebelumnya. Ketidakcocokan adalah keadaan darurat.

7. Apa yang Disediakan (dan Tidak) Situs Ini

XAPKS ke APK adalah kumpulan pengonversi dan pemeriksa format file berbasis browser. Kami tidak menghosting file APK, kami tidak menautkan ke situs pengunduhan APK, dan kami tidak memfasilitasi pembajakan. Setiap alat di situs ini memproses file secara lokal di browser Anda, tanpa unggahan, tanpa salinan, tanpa penyimpanan. Lihat Penafian dan Kebijakan Privasi kami untuk detail selengkapnya.

Aturan Emas untuk Memverifikasi Unduhan APK Pihak Ketiga

Sideloading adalah kemampuan platform Android yang sah dan kuat, namun hal ini mengalihkan tanggung jawab keamanan dari peninjau Google ke Anda. Dengan tetap menggunakan Play Store resmi untuk aplikasi berbayar dan konsumen, membatasi sideloading pada rilis perangkat lunak pengembang pihak pertama yang sudah Anda akses secara sah, dan memverifikasi tanda tangan dan hash setiap paket sebelum menginstal, Anda dapat menikmati fleksibilitas tersebut tanpa mengorbankan keamanan atau melanggar hukum.