Cara Menilai Sumber APK dengan Selamat: Senarai Semak Keselamatan

Jika anda sideload apl Android atas sebab yang sah, memasang binaan beta yang dibekalkan oleh pembangun, memasang semula apl sumber terbuka yang projeknya mengehos keluaran sendiri atau memulihkan sandaran apl yang anda miliki secara sah, anda hendaklah sentiasa mengesahkan fail tersebut sebelum memasangnya. Panduan ini menerangkan isyarat teknikal yang membezakan APK yang boleh dipercayai daripada APK yang diusik, tanpa menamakan atau mempromosikan mana-mana platform muat turun khusus.

1. Mulakan dengan Sumber Paling Dipercayai

Bagi hampir setiap pengguna, jawapannya ialah Gedung Google Play. Apl yang diedarkan di sana ditandatangani oleh pembangun asalnya, diimbas oleh Google Play Protect dan dikawal untuk tingkah laku berniat jahat. Jika apl yang anda mahukan ada di Play, pasang apl itu dari sana, noktah.

Pengecualian yang sah kepada peraturan "Main dahulu" adalah sempit:

• Aplikasi ini adalah sumber terbuka dan projek mengedarkan binaan yang ditandatangani dari tapak rasminya sendiri, halaman Keluaran GitHub, atau pelayan kemas kini yang dihoskan sendiri.
• Anda adalah pembangun yang menguji binaan dalaman anda sendiri.
• Anda sedang memulihkan APK yang anda eksport daripada peranti yang anda miliki.
• Penerbit mengedarkan binaan khusus wilayah atau beta terus daripada domain rasmi mereka (dan anda boleh mengesahkan domain itu sepadan dengan penjenamaan disahkan pembangun).

Apa-apa sahaja di luar kes tersebut, dan terutamanya salinan "percuma" apl berbayar, harus dianggap sebagai berisiko tinggi dan hampir selalu merupakan pelanggaran hak cipta.

2. Sahkan Tandatangan Digital

Setiap APK ditandatangani secara kriptografi oleh penerbitnya. Jika tandatangan pada fail tidak sepadan dengan sijil tandatangan penerbit yang diketahui, fail tersebut telah diubah dan tidak boleh dipasang. Malah satu bait berniat jahat yang disuntik ke dalam APK akan membatalkan tandatangan.

Apa yang perlu dicari:

• Skim tandatangan v2/v3/v4 hadir (Android moden memerlukannya).
• Cap jari sijil (SHA-256) sepadan dengan cap jari yang diterbitkan oleh pembangun atau sepadan dengan salinan apl yang sama yang dipasang sebelum ini.
• Sijil ialah tidak tamat tempoh dan rantaian tandatangan adalah utuh.

Anda boleh menjalankan semakan ini sepenuhnya di luar talian menggunakan Pengesah APK kami: seret .apk masuk, lihat sijil tandatangan dan cap jari SHA-256, dan bandingkannya dengan nilai yang diterbitkan oleh pembangun.

3. Bandingkan SHA-256 Hash

Cincang SHA-256 ialah cap jari 64 aksara tetap bagi kandungan fail. Jika walaupun satu bait berubah, cincang berubah sepenuhnya. Pembangun bereputasi menerbitkan SHA-256 bagi setiap keluaran bersama muat turun.

Proses:

1. Kira SHA-256 APK pada mesin anda (kebanyakan sistem pengendalian termasuk perintah sha256sum atau setara; anda juga boleh menggunakan Pengesah APK kami).
2. Bandingkannya aksara demi aksara dengan nilai yang diterbitkan oleh pembangun di tapak rasmi mereka.
3. Jika nilai sepadan, fail adalah sama bait dengan apa yang dikeluarkan oleh pembangun. Jika mereka berbeza, jangan pasang.

4. Semak Manifes dan Kebenaran Sebelum Memasang

Sistem kebenaran Android ialah barisan pertahanan terakhir anda. Sebelum anda memasang apa-apa dari luar Gedung Play, buka pakej dengan alat Maklumat APK kami dan baca manifes. Perhatikan:

• Keizinan yang tidak seimbang. Kalkulator luar talian yang ringkas tidak memerlukan SMS, kenalan, perkhidmatan kebolehaksesan atau akses pentadbir peranti. Apa-apa sahaja yang meminta lebih daripada yang diperlukan oleh tugasnya adalah mencurigakan.
• Penyalahgunaan Perkhidmatan Kebolehcapaian. Malware kerap menyalahgunakan BIND_ACCESSIBILITY_SERVICE untuk membaca kandungan skrin dan mengklik butang bagi pihak pengguna. Berikan ini hanya kepada apl yang anda percayai dan yang benar-benar memerlukannya (pembaca skrin, pengurus kata laluan, dsb.).
• Pentadbir peranti / Pemilik peranti. Hampir tiada apl pengguna yang memerlukannya secara sah. Jika apl yang dimuatkan sisi memintanya, hentikan.
• Nama pakej tidak sepadan. Jika nama pakej (cth., com.example.app tidak sepadan dengan pakej apl tulen, fail itu menyamar sebagai produk sebenar).
• Komponen eksport yang tidak dikenali. Aktiviti, perkhidmatan atau penerima siaran yang dieksport dan kelihatan di luar tempat boleh menjadi pintu belakang.

5. Bendera Merah Biasa Kepada Sumber Yang Tidak Boleh Dipercayai

Sama ada sumber ialah tapak web, kumpulan sembang atau lampiran e-mel, anggap ia sebagai tidak boleh dipercayai jika anda melihat mana-mana yang berikut:

• Salinan percuma apl berbayar atau versi aplikasi komersial "tidak berkunci premium". Ini adalah cetak rompak, sering diubah suai dan kerap membawa perisian hasad.
• Penjenamaan "Mod" atau "retak". APK yang diubah suai mengikut definisi gagal pengesahan tandatangan dan mungkin mengandungi apa-apa yang ditambahkan oleh pengubahsuai.
• Berbilang butang "Muat Turun" yang mengelirukan yang menjadi iklan.
• Pop timbul yang agresif, makluman "virus dikesan" palsu atau ubah hala paksa.
• Tiada HTTPS. Jika sumber tidak disampaikan melalui sambungan yang disulitkan, muat turun anda boleh ditukar secara senyap dalam transit.
• Tiada maklumat penerbit, tiada butiran tandatangan, tiada log perubahan. Keluaran yang sah mempunyai semua ini.
• Tekanan untuk melumpuhkan Play Protect atau untuk memberikan kebolehaksesan / pentadbir peranti "untuk menjadikannya berfungsi."

6. Selepas Memasang: Teruskan Berjaga-jaga

Pengesahan bukan acara sekali sahaja. Selepas pemasangan dimuat sisi:

• Biarkan Google Play Protect didayakan. Ia mengimbas pakej yang dipasang secara berkala.
• Perhatikan kekurangan bateri yang tidak dijangka, penggunaan rangkaian atau tindanan pop timbul, tandatangan perisian hasad klasik.
• Buka Tetapan → Apl secara berkala dan semak mana-mana apl yang tidak anda gunakan lagi; nyahpasangnya.
• Jika apl mengemas kini sendiri di luar Gedung Play, pastikan tandatangan binaan baharu sepadan dengan yang dipasang sebelum ini. Ketidakpadanan adalah kecemasan.

7. Perkara yang Diberikan (dan Tidak) Tapak Ini

XAPKS kepada APK ialah satu set penukar dan pemeriksa format fail berasaskan pelayar. Kami tidak mengehoskan fail APK, kami tidak memaut ke tapak muat turun APK dan kami tidak memudahkan cetak rompak. Setiap alat di tapak ini memproses fail setempat dalam penyemak imbas anda, tiada muat naik, tiada salinan, tiada pengekalan. Lihat Penafian dan Dasar Privasi kami untuk butiran penuh.

Peraturan Emas untuk Mengesahkan Muat Turun APK Pihak Ketiga

Pemuatan sisi ialah keupayaan platform Android yang sah dan berkuasa, tetapi ia mengalihkan tanggungjawab keselamatan daripada penyemak Google kepada anda. Dengan berpegang pada Gedung Play rasmi untuk apl berbayar dan pengguna, mengehadkan pemuatan sisi kepada keluaran pembangun pihak pertama bagi perisian yang anda sudah mempunyai akses secara sah, dan mengesahkan tandatangan dan cincang setiap pakej sebelum memasang, anda boleh menikmati fleksibiliti itu tanpa menjejaskan keselamatan atau melanggar undang-undang.