Jak bezpiecznie oceniać źródła APK: lista kontrolna bezpieczeństwa

Jeśli z uzasadnionych powodów pobierasz aplikacje na Androida, instalujesz wersję beta dostarczoną przez programistę, ponownie instalujesz aplikację typu open source, której projekt zawiera własne wersje, lub przywracasz kopię zapasową aplikacji, którą legalnie posiadasz, zawsze powinieneś zweryfikować plik przed jego zainstalowaniem. W tym przewodniku wyjaśniono sygnały techniczne odróżniające wiarygodny plik APK od zmodyfikowanego pliku APK, bez podawania nazwy ani promowania żadnej konkretnej platformy pobierania.

1. Zacznij od najbardziej zaufanego źródła

Dla prawie każdego użytkownika odpowiedzią jest Sklep Google Play. Dystrybuowane tam aplikacje są podpisywane przez ich oryginalnych twórców, skanowane przez Google Play Protect i sprawdzane pod kątem złośliwego zachowania. Jeśli żądana aplikacja znajduje się w Play, zainstaluj ją stamtąd i kropka.

Uzasadnione wyjątki od zasady „najpierw graj” są wąskie:

• Aplikacja jest aplikacją typu open source, a projekt rozpowszechnia podpisane kompilacje z własnej oficjalnej witryny, strony GitHub Releases lub samodzielnego serwera aktualizacji.
• Jesteś programistą testującym własne wewnętrzne kompilacje.
• Przywracasz plik APK wyeksportowany z posiadanego urządzenia.
• Wydawca dystrybuuje wersję specyficzną dla regionu lub wersję beta bezpośrednio ze swojej oficjalnej domeny (i możesz potwierdzić, że domena jest zgodna ze zweryfikowaną marką programisty).

Wszystko, co wykracza poza te przypadki, a zwłaszcza „bezpłatne” kopie płatnych aplikacji, należy traktować jako ryzykowne i prawie zawsze stanowi naruszenie praw autorskich.

2. Zweryfikuj podpis cyfrowy

Every APK is cryptographically signed by its publisher. Jeśli podpis na pliku nie jest zgodny ze znanym certyfikatem podpisywania wydawcy, plik został zmieniony i nie można go instalować. Nawet pojedynczy złośliwy bajt wstrzyknięty do pliku APK unieważni podpis.

Czego szukać:

• Schemat podpisu v2/v3/v4 obecny (wymaga tego nowoczesny Android).
• Odcisk palca certyfikatu (SHA-256) pasuje do odcisku palca opublikowanego przez programistę lub pasuje do wcześniej zainstalowanej kopii tej samej aplikacji.
• Certyfikat to nie wygasł, a łańcuch podpisów jest nienaruszony.

Możesz przeprowadzić tę kontrolę całkowicie offline, korzystając z naszego Weryfikator APK: przeciągnij plik .apk, zobacz certyfikat podpisu i odcisk palca SHA-256 i porównaj go z wartością opublikowaną przez programistę.

3. Porównaj skrót SHA-256

Hash SHA-256 to stały 64-znakowy odcisk palca zawartości pliku. Jeśli zmieni się choćby jeden bajt, skrót zmienia się całkowicie. Renomowani programiści publikują SHA-256 każdej wersji wraz z pobieraniem.

Proces:

1. Oblicz SHA-256 pakietu APK na swoim komputerze (większość systemów operacyjnych zawiera polecenie sha256sum lub jego odpowiednik; możesz także skorzystać z naszego weryfikatora APK).
2. Porównaj znak po znaku z wartością opublikowaną przez programistę na jego oficjalnej stronie.
3. Jeśli wartości są zgodne, plik jest identyczny pod względem bajtów z tym, co udostępnił programista. Jeśli się różnią, nie instaluj.

4. Przed instalacją przejrzyj manifest i uprawnienia

System uprawnień Androida to Twoja ostatnia linia obrony. Zanim zainstalujesz cokolwiek spoza Sklepu Play, otwórz paczkę za pomocą naszego narzędzia Informacje o APK i przeczytaj manifest. Uważaj na:

• Nieproporcjonalne uprawnienia. Prosty kalkulator offline nie wymaga SMS-ów, kontaktów, usługi ułatwień dostępu ani dostępu administratora urządzenia. Wszystko, co prosi o znacznie więcej, niż wymaga tego jego praca, jest podejrzane.
• Nadużycie usługi dostępności. Złośliwe oprogramowanie często wykorzystuje BIND_ACCESSIBILITY_SERVICE do odczytywania zawartości ekranu i klikania przycisków w imieniu użytkownika. Przyznawaj tę opcję tylko aplikacjom, którym ufasz i które naprawdę tego potrzebują (czytniki ekranu, menedżery haseł itp.).
• Administrator urządzenia / Właściciel urządzenia. Prawie żadna aplikacja konsumencka tego nie potrzebuje. Jeśli aplikacja pobrana z boku zażąda tego, zatrzymaj się.
• Niezgodna nazwa pakietu. Jeśli nazwa pakietu (np). com.example.app nie jest zgodna z nazwą pakietu oryginalnej aplikacji, plik podszywa się pod prawdziwy produkt.
• Nieznane eksportowane komponenty. Działania, usługi lub odbiorniki transmisji, które są eksportowane i wyglądają nie na miejscu, mogą być backdoorami.

5. Sygnały ostrzegawcze typowe dla niewiarygodnych źródeł

Niezależnie od tego, czy źródłem jest witryna internetowa, grupa czatów czy załącznik do wiadomości e-mail, potraktuj je jako niewiarygodne, jeśli zobaczysz którykolwiek z poniższych:

• Darmowe kopie płatnych aplikacji lub „odblokowane premium” wersje aplikacji komercyjnych. Są to pirackie, często modyfikowane i często zawierające złośliwe oprogramowanie.
• Branding „Mod” lub „cracked”. Zmodyfikowane pliki APK z definicji nie przechodzą weryfikacji podpisu i mogą zawierać wszystko, co dodał modder.
• Wiele mylących przycisków „Pobierz”., które okazują się reklamami.
• Agresywne wyskakujące okienka, fałszywe powiadomienia o wykryciu wirusa lub wymuszone przekierowania.
• Brak protokołu HTTPS. Jeśli źródło nie jest udostępniane za pośrednictwem szyfrowanego połączenia, pobrane pliki mogą zostać dyskretnie zamienione podczas przesyłania.
• Brak informacji o wydawcy, brak szczegółów podpisu, brak dziennika zmian. Legalna wersja zawiera to wszystko.
• Nacisk na wyłączenie Play Protect lub przyznać dostępność/administratora urządzenia „aby to działało”.

6. Po zainstalowaniu: Obserwuj

Weryfikacja nie jest wydarzeniem jednorazowym. Po instalacji załadowanej z boku:

• Pozostaw Ochrona Google Play włączony. Okresowo skanuje zainstalowane pakiety.
• Uważaj na nieoczekiwane zużycie baterii, użycie sieci lub wyskakujące nakładki, czyli klasyczne sygnatury złośliwego oprogramowania.
• Od czasu do czasu otwieraj Ustawienia → Aplikacje i przeglądaj aplikacje, których już nie używasz; odinstaluj je.
• Jeśli aplikacja aktualizuje się poza Sklepem Play, sprawdź, czy sygnatura nowej kompilacji jest zgodna z poprzednio zainstalowaną. Niedopasowanie jest sytuacją awaryjną.

7. Co ta witryna oferuje (a czego nie) zapewnia

XAPKS do APK to zestaw oparte na przeglądarce konwertery i inspektory formatów plików. Nie hostujemy plików APK, nie udostępniamy linków do witryn pobierania plików APK i nie ułatwiamy piractwa. Każde narzędzie na tej stronie przetwarza pliki lokalnie w Twojej przeglądarce, bez przesyłania, kopiowania i przechowywania. Aby uzyskać szczegółowe informacje, zobacz nasze modele Zastrzeżenie i Polityka prywatności.

Złote zasady weryfikacji plików APK pobieranych przez strony trzecie

Sideloading to uzasadniona i potężna funkcja platformy Android, ale powoduje przeniesienie odpowiedzialności za bezpieczeństwo z recenzentów Google na Ciebie. Trzymając się oficjalnego Sklepu Play w przypadku aplikacji płatnych i konsumenckich, ograniczając sideloading do własnych wersji oprogramowania, do którego już legalnie masz dostęp, oraz weryfikując podpis i skrót każdego pakietu przed instalacją, możesz cieszyć się tą elastycznością bez narażania bezpieczeństwa i łamania prawa.