วิธีประเมินแหล่งที่มา APK อย่างปลอดภัย: รายการตรวจสอบความปลอดภัย

หากคุณไซด์โหลดแอป Android ด้วยเหตุผลที่ถูกต้องตามกฎหมาย ติดตั้งรุ่นเบต้าที่จัดทำโดยนักพัฒนา ติดตั้งแอปโอเพ่นซอร์สที่มีโปรเจ็กต์โฮสต์การเผยแพร่ของตัวเองอีกครั้ง หรือกู้คืนข้อมูลสำรองของแอปที่คุณเป็นเจ้าของตามกฎหมาย คุณควรตรวจสอบไฟล์ก่อนทำการติดตั้งเสมอ คู่มือนี้จะอธิบายสัญญาณทางเทคนิคที่แยกแยะ APK ที่น่าเชื่อถือจาก APK ที่ถูกดัดแปลง โดยไม่ต้องตั้งชื่อหรือโปรโมตแพลตฟอร์มดาวน์โหลดใดๆ โดยเฉพาะ

1. เริ่มต้นด้วยแหล่งข้อมูลที่น่าเชื่อถือที่สุด

สำหรับผู้ใช้เกือบทุกคน คำตอบคือ Google Play สโตร์ แอพที่เผยแพร่ที่นั่นได้รับการลงนามโดยนักพัฒนาดั้งเดิม สแกนโดย Google Play Protect และตรวจตราพฤติกรรมที่เป็นอันตราย หากแอปที่คุณต้องการอยู่ใน Play ให้ติดตั้งจากที่นั่นโดยสมบูรณ์

ข้อยกเว้นที่ถูกต้องตามกฎหมายสำหรับกฎ "เล่นก่อน" นั้นแคบลง:

• แอปพลิเคชันนี้เป็นโอเพ่นซอร์สและโปรเจ็กต์เผยแพร่บิลด์ที่ลงนามจากเว็บไซต์อย่างเป็นทางการ หน้าเผยแพร่ GitHub หรือเซิร์ฟเวอร์อัปเดตที่โฮสต์เอง
• คุณเป็นนักพัฒนาที่กำลังทดสอบบิลด์ภายในของคุณเอง
• คุณกำลังกู้คืน APK ที่คุณส่งออกจากอุปกรณ์ที่คุณเป็นเจ้าของ
• ผู้เผยแพร่เผยแพร่รุ่นเฉพาะภูมิภาคหรือรุ่นเบต้าโดยตรงจากโดเมนอย่างเป็นทางการของตน (และคุณสามารถยืนยันได้ว่าโดเมนตรงกับแบรนด์ที่ได้รับการยืนยันของนักพัฒนาซอฟต์แวร์)

สิ่งใดก็ตามนอกเหนือจากกรณีเหล่านั้น และโดยเฉพาะอย่างยิ่งสำเนาของแอปที่ต้องซื้อ "ฟรี" ควรถือเป็นความเสี่ยงสูงและมักจะถือเป็นการละเมิดลิขสิทธิ์เกือบทุกครั้ง

2. ตรวจสอบลายเซ็นดิจิทัล

APK ทุกรายการได้รับการลงนามแบบเข้ารหัสโดยผู้เผยแพร่ หากลายเซ็นในไฟล์ไม่ตรงกับใบรับรองการลงนามที่ทราบของผู้จัดพิมพ์ ไฟล์ดังกล่าวจะได้รับการแก้ไขและจะต้องไม่ถูกติดตั้ง แม้แต่ไบต์ที่เป็นอันตรายเพียงไบต์เดียวที่ถูกแทรกเข้าไปใน APK ก็จะทำให้ลายเซ็นเป็นโมฆะ

สิ่งที่ต้องมองหา:

• มี รูปแบบลายเซ็น v2/v3/v4 อยู่ (ต้องใช้ Android สมัยใหม่)
• ลายนิ้วมือใบรับรอง (SHA-256) จับคู่ลายนิ้วมือที่เผยแพร่โดยนักพัฒนาหรือตรงกับสำเนาของแอปเดียวกันที่ติดตั้งไว้ก่อนหน้านี้
• ใบรับรองคือ ยังไม่หมดอายุ และสายการลงนามยังคงอยู่

คุณสามารถดำเนินการตรวจสอบนี้แบบออฟไลน์ทั้งหมดได้โดยใช้ เครื่องมือตรวจสอบ APK ของเรา โดยลาก .apk เข้าไป ดูใบรับรองการลงนามและลายนิ้วมือ SHA-256 แล้วเปรียบเทียบกับค่าที่นักพัฒนาเผยแพร่

3. เปรียบเทียบแฮช SHA-256

แฮช SHA-256 คือลายนิ้วมือคงที่ 64 อักขระของเนื้อหาของไฟล์ หากแม้แต่หนึ่งไบต์เปลี่ยนแปลง แฮชก็จะเปลี่ยนไปโดยสิ้นเชิง นักพัฒนาที่มีชื่อเสียงเผยแพร่ SHA-256 ของทุก ๆ รุ่นพร้อมกับการดาวน์โหลด

กระบวนการ:

1. คำนวณ SHA-256 ของ APK บนเครื่องของคุณ (ระบบปฏิบัติการส่วนใหญ่มี sha256sum หรือคำสั่งที่เทียบเท่า คุณยังสามารถใช้ APK Verifier ของเราได้อีกด้วย)
2. เปรียบเทียบแบบอักขระต่ออักขระกับค่าที่เผยแพร่โดยนักพัฒนาบนเว็บไซต์อย่างเป็นทางการ
3. หากค่าตรงกัน ไฟล์นั้นจะมีไบต์เหมือนกันกับสิ่งที่นักพัฒนาเผยแพร่ หากต่างกันอย่าติดตั้ง

4. ตรวจสอบไฟล์ Manifest และสิทธิ์ก่อนทำการติดตั้ง

ระบบการอนุญาตของ Android คือแนวป้องกันสุดท้ายของคุณ ก่อนที่คุณจะติดตั้งสิ่งใดจากภายนอก Play Store ให้เปิดแพ็คเกจด้วยเครื่องมือ ข้อมูล APK ของเราแล้วอ่านไฟล์ Manifest ดูสำหรับ:

• สิทธิ์ที่ไม่สมส่วน เครื่องคิดเลขออฟไลน์ธรรมดาไม่จำเป็นต้องใช้ SMS รายชื่อติดต่อ บริการการเข้าถึง หรือการเข้าถึงของผู้ดูแลระบบอุปกรณ์ อะไรก็ตามที่ขอมากกว่าหน้าที่การงานนั้นเป็นสิ่งที่น่าสงสัย
• มัลแวร์ การละเมิดบริการการเข้าถึง มักละเมิด BIND_ACCESSIBILITY_SERVICE เพื่ออ่านเนื้อหาบนหน้าจอและคลิกปุ่มในนามของผู้ใช้ มอบสิทธิ์นี้ให้กับแอปที่คุณเชื่อถือและจำเป็นอย่างแท้จริงเท่านั้น (โปรแกรมอ่านหน้าจอ เครื่องมือจัดการรหัสผ่าน ฯลฯ)
• ผู้ดูแลอุปกรณ์ / เจ้าของอุปกรณ์ แทบไม่มีแอปสำหรับผู้บริโภคที่ต้องการสิ่งนี้อย่างถูกต้องตามกฎหมาย หากแอปไซด์โหลดร้องขอ ให้หยุด
• ชื่อแพ็คเกจไม่ตรงกัน หากชื่อแพ็กเกจ (เช่น com.example.app) ไม่ตรงกับแพ็กเกจของแอปของแท้ แสดงว่าไฟล์นั้นแอบอ้างเป็นผลิตภัณฑ์จริง
• กิจกรรม บริการ หรือเครื่องรับการออกอากาศ ส่วนประกอบที่ส่งออกไม่คุ้นเคย ที่ถูกส่งออกและระวังไม่ให้เข้าที่อาจเป็นประตูหลังได้

5. สัญญาณอันตรายที่พบบ่อยสำหรับแหล่งที่มาที่ไม่น่าเชื่อถือ

ไม่ว่าแหล่งที่มาจะเป็นเว็บไซต์ กลุ่มแชท หรือไฟล์แนบในอีเมล ให้ถือว่าแหล่งที่มานั้นไม่น่าเชื่อถือหากคุณพบเห็นสิ่งต่อไปนี้:

• แอปพลิเคชันเชิงพาณิชย์เวอร์ชัน สำเนาแอปที่ต้องชำระเงินฟรี หรือ "ปลดล็อกระดับพรีเมียม" สิ่งเหล่านี้เป็นการละเมิดลิขสิทธิ์ มักมีการแก้ไข และมีมัลแวร์บ่อยครั้ง
• APK ที่ถูกแก้ไข การสร้างแบรนด์ "Mod" หรือ "แคร็ก" ตามคำจำกัดความไม่ผ่านการตรวจสอบลายเซ็น และอาจมีสิ่งใดๆ ก็ตามที่ modder เพิ่มเข้าไป
• ปุ่ม "ดาวน์โหลด" ที่น่าสับสนหลายปุ่ม ที่กลายเป็นโฆษณา
• ป๊อปอัปที่ก้าวร้าว การแจ้งเตือน "ตรวจพบไวรัส" ปลอม หรือบังคับให้เปลี่ยนเส้นทาง
• ไม่มี HTTPS หากแหล่งที่มาไม่ได้ให้บริการผ่านการเชื่อมต่อที่เข้ารหัส การดาวน์โหลดของคุณสามารถสลับระหว่างการส่งได้อย่างเงียบๆ
• ไม่มีข้อมูลผู้จัดพิมพ์ ไม่มีรายละเอียดการลงนาม ไม่มีบันทึกการเปลี่ยนแปลง การเปิดตัวที่ถูกต้องตามกฎหมายมีทั้งหมดนี้
• กดดันให้ปิดการใช้งาน Play Protect หรือเพื่อให้สิทธิ์การเข้าถึง / ผู้ดูแลระบบอุปกรณ์ "เพื่อให้ใช้งานได้"

6. หลังจากติดตั้ง: Keep Watch

การยืนยันไม่ใช่กิจกรรมที่เกิดขึ้นเพียงครั้งเดียว หลังจากการติดตั้งแบบไซด์โหลด:

• เปิดใช้งาน Google Play ปกป้อง ทิ้งไว้ จะสแกนแพ็คเกจที่ติดตั้งเป็นระยะ
• ระวังแบตเตอรี่หมดโดยไม่คาดคิด การใช้งานเครือข่าย หรือป๊อปอัปซ้อนทับ ลายเซ็นมัลแวร์แบบคลาสสิก
• เปิด การตั้งค่า → แอพพลิเคชั่น เป็นระยะๆ และตรวจสอบแอปที่คุณไม่ได้ใช้อีกต่อไป ถอนการติดตั้ง
• หากแอปอัปเดตตัวเองนอก Play Store ให้ตรวจสอบว่าลายเซ็นของบิลด์ใหม่ตรงกับลายเซ็นที่ติดตั้งไว้ก่อนหน้านี้ ความไม่ตรงกันถือเป็นกรณีฉุกเฉิน

7. สิ่งที่ไซต์นี้ทำ (และไม่) มอบให้

XAPK เป็น APK คือชุดของ ตัวแปลงและผู้ตรวจสอบรูปแบบไฟล์ที่ใช้เบราว์เซอร์ เราไม่โฮสต์ไฟล์ APK เราไม่เชื่อมโยงไปยังไซต์ดาวน์โหลด APK และเราไม่สนับสนุนการละเมิดลิขสิทธิ์ เครื่องมือทุกชิ้นบนไซต์นี้ประมวลผลไฟล์ ภายในเบราว์เซอร์ของคุณ ไม่มีการอัปโหลด ไม่มีการคัดลอก ไม่มีการเก็บข้อมูล ดูรายละเอียดทั้งหมดได้ที่ ข้อสงวนสิทธิ์ และ นโยบายความเป็นส่วนตัว

กฎทองสำหรับการตรวจสอบการดาวน์โหลด APK ของบุคคลที่สาม

Sideloading เป็นความสามารถที่ถูกต้องตามกฎหมายและมีประสิทธิภาพของแพลตฟอร์ม Android แต่จะโอนความรับผิดชอบด้านความปลอดภัยจากผู้ตรวจสอบของ Google มาสู่คุณ ด้วยการยึดติดกับ Play Store อย่างเป็นทางการสำหรับแอปแบบชำระเงินและสำหรับผู้บริโภค การจำกัดไซด์โหลดเฉพาะซอฟต์แวร์ที่ออกโดยนักพัฒนาบุคคลที่หนึ่งที่คุณมีสิทธิ์เข้าถึงอย่างถูกกฎหมายอยู่แล้ว และการตรวจสอบลายเซ็นและแฮชของทุกแพ็คเกจก่อนการติดตั้ง คุณสามารถเพลิดเพลินกับความยืดหยุ่นนั้นได้โดยไม่กระทบต่อความปลอดภัยหรือฝ่าฝืนกฎหมาย