Как безопасно оценить источники APK: контрольный список безопасности

Если вы загружаете неопубликованные приложения Android по законным причинам, устанавливаете бета-версию, предоставленную разработчиком, переустанавливаете приложение с открытым исходным кодом, в проекте которого размещены собственные выпуски, или восстанавливаете резервную копию приложения, которым вы законно владеете, вам всегда следует проверять файл перед его установкой. В этом руководстве объясняются технические сигналы, которые отличают надежный APK от подделанного, без указания или продвижения какой-либо конкретной платформы загрузки.

1. Начните с самого надежного источника

Почти для каждого пользователя ответом является Google Play Маркет. Распространяемые там приложения подписываются их первоначальными разработчиками, сканируются Google Play Protect и проверяются на предмет вредоносного поведения. Если нужное вам приложение есть в Play, установите его оттуда, и точка.

Законные исключения из правила «Играй первым» узки:

• Приложение имеет открытый исходный код, и проект распространяет подписанные сборки со своего официального сайта, страницы выпусков GitHub или собственного сервера обновлений.
• Вы разработчик, тестирующий свои собственные внутренние сборки.
• Вы восстанавливаете APK-файл, экспортированный с вашего устройства.
• Издатель распространяет региональную или бета-версию непосредственно со своего официального домена (и вы можете подтвердить, что домен соответствует проверенному бренду разработчика).

Все, что выходит за рамки этих случаев, и особенно «бесплатные» копии платных приложений, следует рассматривать как представляющее высокий риск и почти всегда является нарушением авторских прав.

2. Проверьте цифровую подпись.

Каждый APK имеет криптографическую подпись издателя. Если подпись файла не соответствует известному сертификату подписи издателя, файл был изменен и не подлежит установке. Даже один вредоносный байт, внедренный в APK, сделает подпись недействительной.

Что искать:

• Схема подписи v2/v3/v4 присутствует (его требует современный Android).
• Отпечаток сертификата (SHA-256) соответствует отпечатку пальца, опубликованному разработчиком, или соответствует ранее установленной копии того же приложения.
• Сертификат — не истек, цепочка подписи не повреждена.

Вы можете запустить эту проверку полностью в автономном режиме, используя наш APK-верификатор: перетащите .apk, посмотрите сертификат подписи и отпечаток SHA-256 и сравните его со значением, публикуемым разработчиком.

3. Сравните хеш SHA-256.

Хэш SHA-256 — это фиксированный 64-значный отпечаток содержимого файла. Если изменится хотя бы один байт, хеш изменится полностью. Авторитетные разработчики публикуют SHA-256 каждого выпуска вместе с загрузкой.

Процесс:

1. Вычислите SHA-256 APK на своем компьютере (большинство операционных систем включают sha256sum или эквивалентную команду; вы также можете использовать наш APK Verifier).
2. Сравните его посимвольно со значением, опубликованным разработчиком на официальном сайте.
3. Если значения совпадают, файл побайтно идентичен тому, что выпустил разработчик. Если они отличаются, не устанавливайте.

4. Перед установкой просмотрите манифест и разрешения.

Система разрешений Android — ваша последняя линия защиты. Прежде чем устанавливать что-либо извне Play Store, откройте пакет с помощью нашего инструмента Информация об APK и прочитайте манифест. Следите за:

• Непропорциональные разрешения. Простой автономный калькулятор не требует SMS, контактов, службы доступности или доступа администратора устройства. Все, что требует гораздо большего, чем требует его работа, является подозрительным.
• Злоупотребление службой доступности. Вредоносное ПО часто использует BIND_ACCESSIBILITY_SERVICE для чтения содержимого экрана и нажатия кнопок от имени пользователя. Предоставляйте это только тем приложениям, которым вы доверяете и которые действительно в этом нуждаются (программы чтения с экрана, менеджеры паролей и т. д.).
• Администратор устройства/Владелец устройства. Почти ни одно потребительское приложение не нуждается в этом. Если загруженное приложение запрашивает это, остановитесь.
• Несоответствующее имя пакета. Если имя пакета (например, com.example.app) не соответствует подлинному пакету приложения, файл выдает себя за реальный продукт.
• Незнакомые экспортированные компоненты. Действия, услуги или приемники вещания, которые экспортируются и выглядят неуместно, могут быть бэкдором.

5. Красные флажки, характерные для ненадежных источников

Независимо от того, является ли источником веб-сайт, группа чата или вложение к электронному письму, считайте его ненадежным, если вы видите что-либо из следующего:

• Бесплатные копии платных приложений или «премиум-разблокированные» версии коммерческих приложений. Они являются пиратскими, часто модифицированными и часто содержат вредоносное ПО.
• «Модный» или «взломанный» брендинг. Модифицированные APK-файлы по определению не проходят проверку подписи и могут содержать все, что добавил моддер.
• Несколько запутанных кнопок «Загрузить», которые оказались рекламой.
• Агрессивные всплывающие окна, ложные оповещения «обнаружен вирус» или принудительные перенаправления.
• Нет HTTPS. Если источник не передается по зашифрованному соединению, ваша загрузка может быть незаметно заменена при передаче.
• Никакой информации об издателе, никаких подробностей о подписи, никакого журнала изменений. Все это есть в законной версии.
• Давление с требованием отключить Play Protect или предоставить доступ/администратор устройства, «чтобы все заработало».

6. После установки: следите за

Проверка не является разовым мероприятием. После неопубликованной установки:

• Оставьте Google Play Защита включенным. Он периодически сканирует установленные пакеты.
• Следите за неожиданным разрядом батареи, использованием сети или всплывающими окнами — классическими сигнатурами вредоносного ПО.
• Периодически открывайте Настройки → Приложения и проверяйте все приложения, которые вы больше не используете; удалите их.
• Если приложение обновляется за пределами Play Store, убедитесь, что подпись новой сборки соответствует ранее установленной. Несоответствие – это чрезвычайная ситуация.

7. Что дает (и чего не дает) этот сайт

XAPK to APK представляет собой набор преобразователи и инспекторы форматов файлов на основе браузера. Мы не размещаем APK-файлы, не размещаем ссылки на сайты загрузки APK и не содействуем пиратству. Каждый инструмент на этом сайте обрабатывает файлы локально в вашем браузере без загрузки, копирования и хранения. Подробную информацию см. в наших Отказ от ответственности и политика конфиденциальности.

Золотые правила проверки сторонних загрузок APK

Неопубликованная загрузка — это законная и мощная возможность платформы Android, но она перекладывает ответственность за безопасность с рецензентов Google на вас. Придерживаясь официального магазина Play Store для платных и потребительских приложений, ограничивая загрузку неопубликованных версий программного обеспечения, к которым у вас уже есть законный доступ, и проверяя подпись и хеш каждого пакета перед установкой, вы можете наслаждаться этой гибкостью, не ставя под угрозу безопасность или нарушая закон.