Ako bezpečne vyhodnotiť zdroje APK: Kontrolný zoznam zabezpečenia

Ak načítate aplikácie pre Android z legitímnych dôvodov, nainštalujete beta zostavu dodanú vývojárom, preinštalujete aplikáciu s otvoreným zdrojovým kódom, ktorej projekt je hostiteľom jej vlastných vydaní, alebo obnovíte zálohu aplikácie, ktorú legálne vlastníte, vždy by ste mali súbor pred inštaláciou overiť. Táto príručka vysvetľuje technické signály, ktoré odlišujú dôveryhodný súbor APK od sfalšovaného, ​​bez toho, aby menovala alebo podporovala akúkoľvek konkrétnu platformu na sťahovanie.

1. Začnite s najdôveryhodnejším zdrojom

Pre takmer každého používateľa je odpoveďou Obchod Google Play. Aplikácie distribuované tam sú podpísané ich pôvodnými vývojármi, kontrolované službou Google Play Protect a kontrolované na škodlivé správanie. Ak je požadovaná aplikácia v službe Play, nainštalujte ju odtiaľ, bodka.

Legitímne výnimky z pravidla „Hrať ako prvé“ sú úzke:

• Aplikácia je open source a projekt distribuuje podpísané zostavy zo svojej vlastnej oficiálnej stránky, stránky GitHub Releases alebo vlastného aktualizačného servera.
• Ste vývojár, ktorý testuje svoje vlastné interné zostavy.
• Obnovujete súbor APK, ktorý ste exportovali zo zariadenia, ktoré vlastníte.
• Vydavateľ distribuuje špecifickú oblasť alebo zostavu beta priamo zo svojej oficiálnej domény (a môžete potvrdiť, že doména sa zhoduje s overenou značkou vývojára).

Čokoľvek mimo týchto prípadov, a najmä „bezplatné“ kópie platených aplikácií, by sa malo považovať za vysoko rizikové a takmer vždy ide o porušenie autorských práv.

2. Overte digitálny podpis

Každý súbor APK je kryptograficky podpísaný jeho vydavateľom. Ak sa podpis na súbore nezhoduje so známym podpisovým certifikátom vydavateľa, súbor bol pozmenený a nesmie sa inštalovať. Dokonca aj jeden škodlivý bajt vložený do súboru APK zruší platnosť podpisu.

Čo hľadať:

• Prítomný podpisová schéma v2/v3/v4 (moderný Android to vyžaduje).
• Odtlačok certifikátu (SHA-256) sa zhoduje s odtlačkom prsta zverejneným vývojárom alebo s predtým nainštalovanou kópiou tej istej aplikácie.
• Certifikát je nevypršala a reťazec podpisov je neporušený.

Túto kontrolu môžete spustiť úplne offline pomocou nášho Verifikátor súboru APK: presuňte súbor .apk dovnútra, pozrite si podpisový certifikát a odtlačok SHA-256 a porovnajte ho s hodnotou, ktorú vývojár publikuje.

3. Porovnajte hash SHA-256

Hash SHA-256 je pevný 64-znakový odtlačok obsahu súboru. Ak sa zmení čo i len jeden bajt, hash sa úplne zmení. Renomovaní vývojári zverejňujú SHA-256 každého vydania spolu so stiahnutím.

Proces:

1. Vypočítajte SHA-256 súboru APK na svojom počítači (väčšina operačných systémov obsahuje príkaz sha256sum alebo ekvivalentný príkaz; môžete tiež použiť náš overovač súborov APK).
2. Porovnajte to znak po znaku s hodnotou, ktorú vývojár zverejnil na svojej oficiálnej stránke.
3. Ak sa hodnoty zhodujú, súbor je bajtovo identický s tým, čo vývojár vydal. Ak sa líšia, neinštalujte ich.

4. Pred inštaláciou si prečítajte Manifest a povolenia

Systém povolení Androidu je vašou poslednou líniou obrany. Pred inštaláciou čohokoľvek mimo Obchod Play otvorte balík pomocou nášho nástroja Informácie o súbore APK a prečítajte si manifest. Sledujte:

• Neprimerané povolenia. Jednoduchá offline kalkulačka nepotrebuje SMS, kontakty, službu dostupnosti ani prístup správcu zariadenia. Čokoľvek, čo požaduje oveľa viac, ako si jeho práca vyžaduje, je podozrivé.
• Zneužívanie služby dostupnosti. Malvér často zneužíva BIND_ACCESSIBILITY_SERVICE na čítanie obsahu obrazovky a klikanie na tlačidlá v mene používateľa. Udeľte to iba aplikáciám, ktorým dôverujete a ktoré to skutočne potrebujú (čítačky obrazovky, správcovia hesiel atď.).
• Správca zariadenia / Vlastník zariadenia. Takmer žiadna spotrebiteľská aplikácia to zákonite nepotrebuje. Ak si to vyžiada aplikácia stiahnutá zo strany, zastavte sa.
• Nezhodný názov balíka. Ak sa názov balíka (napr). com.example.app nezhoduje s originálnym balíkom aplikácie, súbor sa vydáva za skutočný produkt.
• Neznáme exportované komponenty. Činnosti, služby alebo vysielacie prijímače, ktoré sú exportované a vyzerajú nemiestne, môžu byť zadnými vrátkami.

5. Červené vlajky spoločné pre nedôveryhodné zdroje

Či už je zdrojom webová stránka, četová skupina alebo príloha e-mailu, považujte ho za nedôveryhodný, ak uvidíte niečo z nasledujúceho:

• Bezplatné kópie platených aplikácií alebo „prémiové odomknuté“ verzie komerčných aplikácií. Sú pirátske, často upravené a často obsahujú škodlivý softvér.
• "Mod" alebo "cracked" branding. Upravené súbory APK podľa definície zlyhávajú pri overovaní podpisu a môžu obsahovať čokoľvek, čo pridal modder.
• Viacero mätúcich tlačidiel „Stiahnuť“., ktoré sa ukážu ako reklamy.
• Agresívne vyskakovacie okná, falošné upozornenia „detegovaný vírus“ alebo nútené presmerovania.
• Žiadny HTTPS. Ak sa zdroj neobsluhuje cez šifrované pripojenie, sťahovanie sa môže počas prenosu ticho vymeniť.
• Žiadne informácie o vydavateľovi, žiadne podrobnosti o podpise, žiadny protokol zmien. Legitímne vydanie má všetky tieto možnosti.
• Tlak na deaktiváciu funkcie Play Protect alebo udeliť prístupnosť/administrátorovi zariadenia „aby to fungovalo“.

6. Po inštalácii: Keep Watch

Overenie nie je jednorazová udalosť. Po inštalácii zboku:

• Nechajte Google Play Protect povolené. Pravidelne kontroluje nainštalované balíky.
• Sledujte neočakávané vybitie batérie, používanie siete alebo prekryvné kontextové okná, klasické podpisy škodlivého softvéru.
• Pravidelne otvárajte Nastavenia → Aplikácie a kontrolujte všetky aplikácie, ktoré už nepoužívate; odinštalovať ich.
• Ak sa aplikácia aktualizuje mimo Obchod Play, skontrolujte, či sa podpis novej zostavy zhoduje s podpisom predtým nainštalovaným. Nezhoda je núdzová situácia.

7. Čo táto stránka poskytuje (a neposkytuje).

XAPK to APK je sada konvertory a inšpektori formátov súborov založené na prehliadačoch. Nehostíme súbory APK, neodkazujeme na stránky na sťahovanie súborov APK a nenapomáhame pirátstvu. Každý nástroj na tejto stránke spracováva súbory lokálne vo vašom prehliadači, žiadne nahrávanie, žiadne kopírovanie, žiadne uchovávanie. Úplné podrobnosti nájdete v našich Vylúčenie zodpovednosti a Zásady ochrany osobných údajov.

Zlaté pravidlá na overovanie stiahnutí súborov APK tretích strán

Sideloading je legitímna a výkonná funkcia platformy Android, no presúva zodpovednosť za bezpečnosť z recenzentov Google na vás. Ak sa budete držať oficiálneho obchodu Play pre platené a spotrebiteľské aplikácie, obmedzíte bočné načítanie na verzie softvéru od vývojárov prvej strany, ku ktorému už máte legálny prístup, a pred inštaláciou overíte podpis a hash každého balíka, môžete si túto flexibilitu užívať bez toho, aby ste ohrozili bezpečnosť alebo porušili zákon.