Hoe u APK-bronnen veilig kunt evalueren: een beveiligingschecklist

Als u Android-apps om legitieme redenen sideloadt, een door de ontwikkelaar geleverde bètaversie installeert, een open-sourceapp opnieuw installeert waarvan het project zijn eigen releases host, of een back-up herstelt van een app waarvan u de wettelijke eigenaar bent, moet u altijd het bestand verifiëren voordat u het installeert. In deze gids worden de technische signalen uitgelegd die een betrouwbare APK onderscheiden van een waarmee is geknoeid, zonder een specifiek downloadplatform te noemen of te promoten.

1. Begin met de meest vertrouwde bron

Voor bijna elke gebruiker is het antwoord de Google Play Store. Apps die daar worden verspreid, worden ondertekend door de oorspronkelijke ontwikkelaars, gescand door Google Play Protect en gecontroleerd op kwaadaardig gedrag. Als de gewenste app op Play staat, installeert u deze vanaf daar, punt.

De legitieme uitzonderingen op de ‘Speel eerst’-regel zijn beperkt:

• De applicatie is open-source en het project distribueert ondertekende builds vanaf zijn eigen officiële site, GitHub Releases-pagina of een zelfgehoste updateserver.
• Je bent een ontwikkelaar die je eigen interne builds test.
• U herstelt een APK die u heeft geëxporteerd vanaf een apparaat waarvan u de eigenaar bent.
• De uitgever distribueert een regiospecifieke of bètaversie rechtstreeks vanuit zijn officiële domein (en u kunt bevestigen dat het domein overeenkomt met de geverifieerde branding van de ontwikkelaar).

Alles buiten deze gevallen, en vooral 'gratis' kopieën van betaalde apps, moet als risicovol worden beschouwd en is bijna altijd een schending van het auteursrecht.

2. Controleer de digitale handtekening

Elke APK wordt cryptografisch ondertekend door de uitgever. Als de handtekening op een bestand niet overeenkomt met het bekende handtekeningcertificaat van de uitgever, is het bestand gewijzigd en mag het niet worden geïnstalleerd. Zelfs een enkele kwaadaardige byte die in een APK wordt geïnjecteerd, maakt de handtekening ongeldig.

Waar u op moet letten:

• v2/v3/v4 handtekeningschema aanwezig (modern Android vereist dit).
• Certificaatvingerafdruk (SHA-256) komt overeen met een vingerafdruk die is gepubliceerd door de ontwikkelaar of komt overeen met een eerder geïnstalleerde kopie van dezelfde app.
• Het certificaat is niet verlopen en de ondertekeningsketen is intact.

Je kunt deze controle volledig offline uitvoeren met onze APK-verificatie: sleep de .apk naar binnen, bekijk het ondertekeningscertificaat en de SHA-256-vingerafdruk en vergelijk deze met de waarde die de ontwikkelaar publiceert.

3. Vergelijk de SHA-256-hash

Een SHA-256-hash is een vaste vingerafdruk van 64 tekens van de inhoud van het bestand. Als er zelfs maar één byte verandert, verandert de hash volledig. Gerenommeerde ontwikkelaars publiceren de SHA-256 van elke release naast de download.

Proces:

1. Bereken de SHA-256 van de APK op uw machine (de meeste besturingssystemen bevatten een sha256sum of een gelijkwaardige opdracht; u kunt ook onze APK Verifier gebruiken).
2. Vergelijk het karakter voor karakter met de waarde die door de ontwikkelaar op hun officiële site is gepubliceerd.
3. Als de waarden overeenkomen, is het bestand byte-identiek aan wat de ontwikkelaar heeft vrijgegeven. Als ze verschillen, installeer ze dan niet.

4. Controleer het manifest en de machtigingen vóór de installatie

Het toestemmingssysteem van Android is je laatste verdedigingslinie. Voordat je iets van buiten de Play Store installeert, open je het pakket met onze APK-info-tool en lees je het manifest. Let op:

• Onevenredige toestemmingen. Een eenvoudige offline rekenmachine heeft geen toegang tot sms, contacten, toegankelijkheidsservice of apparaatbeheerder nodig. Alles wat veel meer vraagt ​​dan zijn werk vereist, is verdacht.
• Misbruik van de toegankelijkheidsservice. Malware maakt regelmatig misbruik van BIND_ACCESSIBILITY_SERVICE om de scherminhoud te lezen en namens de gebruiker op knoppen te klikken. Geef dit alleen aan apps die u vertrouwt en die dit echt nodig hebben (schermlezers, wachtwoordbeheerders, enz.).
• Apparaatbeheerder / Apparaateigenaar. Bijna geen enkele consumentenapp heeft dit legitiem nodig. Als een sideloaded app hierom vraagt, stop dan.
• Niet-overeenkomende pakketnaam. Als de pakketnaam (bijvoorbeeld com.example.app niet overeenkomt met het pakket van de authentieke app, imiteert het bestand een echt product).
• Onbekende geëxporteerde componenten. Activiteiten, services of uitzendingsontvangers die worden geëxporteerd en niet op hun plaats lijken, kunnen een achterdeur zijn.

5. Rode vlaggen die vaak voorkomen bij onbetrouwbare bronnen

Of een bron nu een website, een chatgroep of een e-mailbijlage is, beschouw deze als onbetrouwbaar als u een van de volgende zaken tegenkomt:

• Gratis exemplaren van betaalde apps of "premium unlocked" versies van commerciële applicaties. Deze zijn illegaal, vaak aangepast en bevatten vaak malware.
• 'Mod'- of 'cracked'-branding. Gewijzigde APK's mislukken per definitie handtekeningverificatie en kunnen alles bevatten wat de modder heeft toegevoegd.
• Meerdere verwarrende "Download"-knoppen die advertenties blijken te zijn.
• Agressieve pop-ups, valse 'virus gedetecteerd'-waarschuwingen of gedwongen omleidingen.
• Geen HTTPS. Als de bron niet via een gecodeerde verbinding wordt aangeboden, kan uw download onderweg stil worden gewisseld.
• Geen uitgeversinformatie, geen ondertekeningsgegevens, geen changelog. Een legitieme release heeft dit allemaal.
• Druk om Play Protect uit te schakelen of om toegankelijkheid / apparaatbeheerder te verlenen "om het te laten werken."

6. Na installatie: blijf in de gaten

Verificatie is geen eenmalige gebeurtenis. Na een sideloaded installatie:

• Laat Google Play-bescherming ingeschakeld. Het scant regelmatig geïnstalleerde pakketten.
• Let op onverwacht leeglopen van de batterij, netwerkgebruik of pop-up-overlays, klassieke malware-handtekeningen.
• Open periodiek Instellingen → Apps en bekijk alle apps die u niet langer gebruikt; verwijder ze.
• Als een app zichzelf updatet buiten de Play Store, controleer dan of de handtekening van de nieuwe build overeenkomt met de eerder geïnstalleerde versie. Een mismatch is een noodgeval.

7. Wat deze site wel (en niet) biedt

XAPK naar APK is een set van browsergebaseerde bestandsformaatconverters en -inspecteurs. We hosten geen APK-bestanden, we linken niet naar APK-downloadsites en we faciliteren geen piraterij. Elke tool op deze site verwerkt bestanden lokaal in uw browser, geen upload, geen kopie, geen retentie. Zie onze Vrijwaring en Privacybeleid voor volledige details.

Gouden regels voor het verifiëren van APK-downloads van derden

Sideloading is een legitieme en krachtige mogelijkheid van het Android-platform, maar verschuift de beveiligingsverantwoordelijkheid van de reviewers van Google naar u. Door vast te houden aan de officiële Play Store voor betaalde apps en consumentenapps, sideloading te beperken tot first-party ontwikkelaarsreleases van software waartoe je al legaal toegang hebt, en door de handtekening en hash van elk pakket te verifiëren voordat je het installeert, kun je van die flexibiliteit genieten zonder de veiligheid in gevaar te brengen of de wet te overtreden.