Paano Ligtas na Suriin ang Mga Pinagmumulan ng APK: Isang Checklist ng Seguridad

Kung nag-sideload ka ng mga Android app para sa mga lehitimong dahilan, nag-i-install ng beta build na ibinibigay ng developer, muling nag-install ng open-source na app na ang proyekto ay nagho-host ng sarili nitong mga release, o nagre-restore ng backup ng isang app na legal na pagmamay-ari mo, dapat mong palaging i-verify ang file bago ito i-install. Ipinapaliwanag ng gabay na ito ang mga teknikal na senyales na nakikilala ang isang mapagkakatiwalaang APK mula sa isang pinakialaman, nang hindi pinangalanan o nagpo-promote ng anumang partikular na platform sa pag-download.

1. Magsimula sa Pinakamapagkakatiwalaang Pinagmumulan

Para sa halos bawat gumagamit, ang sagot ay ang Google Play Store. Ang mga app na ibinahagi doon ay nilagdaan ng kanilang mga orihinal na developer, na-scan ng Google Play Protect, at pinipigilan para sa malisyosong pag-uugali. Kung nasa Play ang isang app na gusto mo, i-install ito mula doon, full stop.

Ang mga lehitimong pagbubukod sa panuntunang "Maglaro muna" ay makitid:

• Ang application ay open-source at ang proyekto ay namamahagi ng mga nilagdaang build mula sa sarili nitong opisyal na site, GitHub Releases page, o self-hosted update server.
• Isa kang developer na sumusubok sa sarili mong mga panloob na build.
• Nire-restore mo ang isang APK na na-export mo mula sa isang device na pagmamay-ari mo.
• Ang publisher ay namamahagi ng isang partikular na rehiyon o beta build nang direkta mula sa kanilang opisyal na domain (at maaari mong kumpirmahin na tumutugma ang domain sa na-verify na pagba-brand ng developer).

Anumang bagay sa labas ng mga kasong iyon, at lalo na ang "libre" na mga kopya ng mga bayad na app, ay dapat ituring na mataas ang panganib at halos palaging isang paglabag sa copyright.

2. I-verify ang Digital Signature

Ang bawat APK ay cryptographic na nilagdaan ng publisher nito. Kung ang lagda sa isang file ay hindi tumutugma sa kilalang sertipiko ng pagpirma ng publisher, ang file ay binago at hindi dapat i-install. Kahit na ang isang malisyosong byte na na-inject sa isang APK ay magpapawalang-bisa sa lagda.

Ano ang hahanapin:

• v2/v3/v4 signature scheme kasalukuyan (kinakailangan ito ng modernong Android).
• Ang Certificate fingerprint (SHA-256) ay tumutugma sa isang fingerprint na na-publish ng developer o tumutugma sa isang dating na-install na kopya ng parehong app.
• Ang certificate ay hindi expired at ang signing chain ay buo.

Maaari mong ganap na patakbuhin ang pagsusuring ito nang offline gamit ang aming Tagasuri ng APK: i-drag ang .apk, tingnan ang signing certificate at SHA-256 fingerprint, at ihambing ito sa halagang ini-publish ng developer.

3. Ihambing ang SHA-256 Hash

Ang SHA-256 hash ay isang nakapirming 64-character na fingerprint ng mga nilalaman ng file. Kung magbabago kahit isang byte, ganap na nagbabago ang hash. Ini-publish ng mga kagalang-galang na developer ang SHA-256 ng bawat release kasama ng pag-download.

Proseso:

1. I-compute ang SHA-256 ng APK sa iyong machine (karamihan sa mga operating system ay may kasamang sha256sum o katumbas na command; maaari mo ring gamitin ang aming Tagasuri ng APK).
2. Ihambing ito ng character-by-character sa value na na-publish ng developer sa kanilang opisyal na site.
3. Kung tumugma ang mga halaga, ang file ay kapareho ng byte sa inilabas ng developer. Kung magkaiba sila, huwag i-install.

4. Suriin ang Manipesto at Mga Pahintulot Bago Mag-install

Ang sistema ng pahintulot ng Android ay ang iyong huling linya ng depensa. Bago ka mag-install ng anuman mula sa labas ng Play Store, buksan ang package gamit ang aming Impormasyon ng APK tool at basahin ang manifest. Abangan ang:

• Mga hindi katumbas na pahintulot. Ang isang simpleng offline na calculator ay hindi nangangailangan ng SMS, mga contact, accessibility-service, o device-admin access. Ang anumang bagay na humihingi ng higit pa sa hinihingi ng trabaho nito ay kahina-hinala.
• Ang Pag-abuso sa Serbisyo sa Accessibility. ay madalas na inaabuso ng malware ang BIND_ACCESSIBILITY_SERVICE upang basahin ang nilalaman ng screen at i-click ang mga button sa ngalan ng user. Ibigay lang ito sa mga app na pinagkakatiwalaan mo at talagang nangangailangan nito (mga screen reader, tagapamahala ng password, atbp.).
• Administrator ng device / May-ari ng device. Halos walang consumer app ang lehitimong nangangailangan nito. Kung hiniling ito ng naka-sideload na app, huminto.
• Hindi tugmang pangalan ng package. Kung hindi tumutugma ang pangalan ng package (hal., com.example.app sa package ng tunay na app, ang file ay nagpapanggap bilang isang tunay na produkto).
• Hindi pamilyar na na-export na mga bahagi. Ang mga aktibidad, serbisyo, o broadcast receiver na na-export at mukhang wala sa lugar ay maaaring maging backdoor.

5. Mga Red Flag na Karaniwan sa Mga Hindi Mapagkakatiwalaang Pinagmumulan

Kung ang pinagmulan ay isang website, isang chat group, o isang email attachment, ituring ito bilang hindi mapagkakatiwalaan kung nakikita mo ang alinman sa mga sumusunod:

• Libreng mga kopya ng mga bayad na app o "premium na naka-unlock" na mga bersyon ng mga komersyal na application. Ang mga ito ay pirated, madalas na binago, at madalas na nagdadala ng malware.
• Nabigo ang "Mod" o "crack" na pagba-brand. Mga Binagong APK ayon sa kahulugan sa pag-verify ng lagda at maaaring maglaman ng anumang idinagdag ng modder.
• Maramihang nakakalito na "Download" na button na lumalabas na mga ad.
• Mga agresibong popup, pekeng "na-detect na virus" na alerto, o sapilitang pag-redirect.
• Walang HTTPS. Kung ang pinagmulan ay hindi naihatid sa pamamagitan ng isang naka-encrypt na koneksyon, ang iyong pag-download ay maaaring tahimik na palitan sa pagpapadala.
• Walang impormasyon ng publisher, walang mga detalye ng pagpirma, walang changelog. Ang isang lehitimong release ay mayroong lahat ng ito.
• Pipilitin na huwag paganahin ang Play Protect o upang bigyan ng accessibility / device-admin "upang gawin itong gumana."

6. Pagkatapos Mag-install: Manatiling Manood

Ang pag-verify ay hindi isang beses na kaganapan. Pagkatapos ng sideloaded na pag-install:

• Iwanang naka-enable ang Google Play Protect. Pana-panahong sinusuri nito ang mga naka-install na pakete.
• Panoorin ang hindi inaasahang pagkaubos ng baterya, paggamit ng network, o mga pop-up na overlay, mga klasikong malware signature.
• Pana-panahong buksan ang Mga Setting → Apps at suriin ang anumang mga app na hindi mo na ginagamit; i-uninstall ang mga ito.
• Kung ang isang app ay nag-a-update mismo sa labas ng Play Store, tingnan kung ang lagda ng bagong build ay tumutugma sa naunang na-install. Ang mismatch ay isang emergency.

7. Ano ang Ginagawa (at Hindi) Ibinibigay ng Site na ito

Ang XAPK hanggang APK ay isang set ng browser-based file-format converter at inspektor. Hindi kami nagho-host ng mga APK file, hindi kami nagli-link sa mga site ng pag-download ng APK, at hindi namin pinapadali ang piracy. Ang bawat tool sa site na ito ay nagpoproseso ng mga file lokal sa iyong browser, walang upload, walang kopya, walang retention. Tingnan ang aming Paunawa at Patakaran sa Privacy para sa buong detalye.

Mga Ginintuang Panuntunan para sa Pag-verify ng Mga Download ng Third-Party na APK

Ang sideloading ay isang lehitimong at malakas na kakayahan ng Android platform, ngunit inililipat nito ang responsibilidad sa seguridad mula sa mga tagasuri ng Google papunta sa iyo. Sa pamamagitan ng pananatili sa opisyal na Play Store para sa mga bayad at pang-consumer na app, paghihigpit sa pag-sideload sa mga first-party na pag-release ng developer ng software na legal na mayroon ka nang access, at pag-verify sa lagda at hash ng bawat package bago mag-install, masisiyahan ka sa flexibility na iyon nang hindi nakompromiso ang seguridad o lumalabag sa batas.