Cum să evaluezi sursele APK în siguranță: o listă de verificare a securității

Dacă încărcați aplicații Android din motive legitime, instalând o versiune beta furnizată de dezvoltator, reinstalați o aplicație open-source al cărei proiect găzduiește propriile versiuni sau restaurați o copie de rezervă a unei aplicații pe care o dețineți în mod legal, ar trebui să verificați întotdeauna fișierul înainte de a o instala. Acest ghid explică semnalele tehnice care disting un APK de încredere de unul falsificat, fără a denumi sau promova vreo platformă de descărcare specifică.

1. Începeți cu Sursa cea mai de încredere

Pentru aproape fiecare utilizator, răspunsul este Magazin Google Play. Aplicațiile distribuite acolo sunt semnate de dezvoltatorii lor originali, scanate de Google Play Protect și supravegheate pentru comportament rău intenționat. Dacă o aplicație pe care o doriți este pe Play, instalați-o de acolo, punct.

Excepțiile legitime de la regula „Joacă mai întâi” sunt restrânse:

• Aplicația este open-source, iar proiectul distribuie versiuni semnate de pe propriul său site oficial, pagina GitHub Releases sau server de actualizare găzduit de sine.
• Sunteți un dezvoltator care vă testează propriile versiuni interne.
• Restabiliți un APK pe care l-ați exportat de pe un dispozitiv pe care îl dețineți.
• Editorul distribuie o versiune beta specifică regiunii direct din domeniul său oficial (și puteți confirma că domeniul se potrivește cu brandingul verificat al dezvoltatorului).

Orice lucru în afara acestor cazuri, și în special copiile „gratuite” ale aplicațiilor plătite, ar trebui tratate ca fiind cu risc ridicat și reprezintă aproape întotdeauna o încălcare a drepturilor de autor.

2. Verificați semnătura digitală

Fiecare APK este semnat criptografic de către editorul său. Dacă semnătura de pe un fișier nu se potrivește cu certificatul de semnare cunoscut al editorului, fișierul a fost modificat și nu trebuie instalat. Chiar și un singur octet rău intenționat injectat într-un APK va invalida semnătura.

Ce să cauți:

• schema de semnătură v2/v3/v4 prezent (Androidul modern o cere).
• Amprentă digitală certificat (SHA-256) se potrivește cu o amprentă publicată de dezvoltator sau se potrivește cu o copie instalată anterior a aceleiași aplicații.
• Certificatul este nu a expirat și lanțul de semnare este intact.

Puteți efectua această verificare complet offline folosind Verificator APK: trageți .apk-ul, vedeți certificatul de semnare și amprenta SHA-256 și comparați-l cu valoarea publicată de dezvoltator.

3. Comparați SHA-256 Hash

Un hash SHA-256 este o amprentă fixă ​​de 64 de caractere a conținutului fișierului. Dacă chiar și un octet se schimbă, hash-ul se schimbă complet. Dezvoltatorii de renume publică SHA-256 al fiecărei versiuni alături de descărcare.

Proces:

1. Calculați SHA-256 al APK-ului pe computerul dvs. (majoritatea sistemelor de operare includ o comandă sha256sum sau echivalentă; puteți utiliza și Verificatorul nostru APK).
2. Compară-l personaj cu caracter cu valoarea publicată de dezvoltator pe site-ul său oficial.
3. Dacă valorile se potrivesc, fișierul este identic în octet cu ceea ce a lansat dezvoltatorul. Dacă diferă, nu instalați.

4. Examinați manifestul și permisiunile înainte de instalare

Sistemul de permisiuni Android este ultima ta linie de apărare. Înainte de a instala ceva din afara Magazinului Play, deschideți pachetul cu instrumentul nostru Informații APK și citiți manifestul. Urmăriți:

• Permisiuni disproporționate. Un calculator simplu offline nu are nevoie de SMS-uri, contacte, servicii de accesibilitate sau acces de administrator al dispozitivului. Orice lucru care cere mult mai mult decât necesită munca sa este suspect.
• Abuz al serviciului de accesibilitate. Malware abuzează frecvent de BIND_ACCESSIBILITY_SERVICE pentru a citi conținutul ecranului și a face clic pe butoane în numele utilizatorului. Acordați acest lucru numai aplicațiilor în care aveți încredere și care au cu adevărat nevoie de el (cititoare de ecran, manageri de parole etc.).
• Administrator dispozitiv / Proprietar dispozitiv. Aproape nicio aplicație pentru consumatori nu are nevoie în mod legitim de acest lucru. Dacă o aplicație cu încărcare laterală o solicită, opriți.
• Numele pachetului nu se potrivește. Dacă numele pachetului (de ex., com.example.app nu se potrivește cu pachetul aplicației autentice, fișierul uzurpă identitatea unui produs real).
• Componente exportate necunoscute. Activitățile, serviciile sau receptoarele de difuzare care sunt exportate și par a fi deplasate pot fi o ușă în spate.

5. Steaguri roșii comune pentru sursele de neîncredere

Indiferent dacă o sursă este un site web, un grup de chat sau un atașament de e-mail, tratați-o ca nedemn de încredere dacă vedeți oricare dintre următoarele:

• Copii gratuite ale aplicațiilor plătite sau versiuni „premium deblocate” ale aplicațiilor comerciale. Acestea sunt piratate, adesea modificate și transportă frecvent programe malware.
• Branding „mod” sau „cracked”. APK-urile modificate nu reușesc, prin definiție, verificarea semnăturii și pot conține orice a adăugat modderul.
• Mai multe butoane „Descărcare” confuze care se dovedesc a fi reclame.
• Ferestre pop-up agresive, alerte false „detectat virus” sau redirecționări forțate.
• Fără HTTPS. Dacă sursa nu este difuzată printr-o conexiune criptată, descărcarea dvs. poate fi schimbată în mod silențios în timpul tranzitului.
• Fără informații despre editor, fără detalii de semnare, fără jurnal de modificări. O versiune legitimă are toate acestea.
• Apăsați pentru a dezactiva Play Protect sau pentru a acorda accesibilitate / dispozitiv-admin „pentru a-l face să funcționeze”.

6. După instalare: Țineți cont

Verificarea nu este un eveniment unic. După o instalare cu încărcare laterală:

• Lăsați Google Play Protect activat. It scans installed packages periodically.
• Urmăriți descărcarea neașteptată a bateriei, utilizarea rețelei sau suprapunerile pop-up, semnăturile clasice de malware.
• Deschideți periodic Setări → Aplicații și verificați aplicațiile pe care nu le mai folosiți; dezinstalați-le.
• Dacă o aplicație se actualizează în afara Magazinului Play, verificați dacă semnătura noii versiuni se potrivește cu cea instalată anterior. O nepotrivire este o urgență.

7. Ce oferă (și nu) acest site

XAPKS în APK este un set de convertoare și inspectori de format de fișiere bazate pe browser. Nu găzduim fișiere APK, nu facem linkuri către site-uri de descărcare APK și nu facilităm pirateria. Fiecare instrument de pe acest site procesează fișierele local în browserul dvs, fără încărcare, fără copiere, fără reținere. Consultați Declinarea responsabilității și Politica de confidențialitate pentru detalii complete.

Reguli de aur pentru verificarea descărcărilor APK-urilor de la terți

Încărcarea laterală este o capacitate legitimă și puternică a platformei Android, dar transferă responsabilitatea de securitate din partea recenzenților Google asupra dvs. Respectând Magazinul Play oficial pentru aplicații plătite și pentru consumatori, restricționând încărcarea secundară la versiunile de dezvoltator primar ale software-ului la care aveți deja acces legal și verificând semnătura și hash-ul fiecărui pachet înainte de instalare, vă puteți bucura de această flexibilitate fără a compromite securitatea sau a încălca legea.