Pag-verify sa Mga Lagda ng APK: Paano Tiyakin na Ligtas ang Iyong App

Ang pag-sideload ng mga app sa Android ay nag-aalok ng kalayaan at flexibility, ngunit ito ay may malaking panganib: pinakialaman na mga aplikasyon. Madalas na binabago ng mga nakakahamak na aktor ang mga sikat na app upang isama ang spyware o adware bago muling ipamahagi ang mga ito sa mga hindi opisyal na site. Paano mo matitiyak na ang APK na iyong na-download ay eksaktong kapareho ng na-upload ng developer sa Google Play?

Ang sagot ay bumababa sa Mga digital na lagda ng APK. Sa ibaba, tatalakayin namin kung paano aktwal na gumagana ang pag-sign ng app at gagawin gamit ang aming Online na Tagasuri ng APK upang suriin ang hash at certificate ng isang APK bago ka magpasya na pagkatiwalaan ito.

Ano ang APK Signature?

Ang digital signature ay isang cryptographic na patunay ng pagkakakilanlan. Kapag natapos ng developer ang isang app, "pinipirmahan" nila ito gamit ang pribadong key (keystore). Pagkatapos ay ginagamit ng Android ang kaukulang pampublikong key na naka-embed sa APK upang matiyak na:

1. Integridad: Ang file ay hindi nabago mula noong ito ay nilagdaan.
2. Authenticity: Ang developer ay kung sino ang sinasabi nila.
3. Mga update: Ang mga APK lang na nilagdaan gamit ang parehong key ang makakapag-update ng umiiral nang app sa iyong telepono.

Ebolusyon ng Pagpirma: V1, V2, V3, at V4

Patuloy na pinahusay ng Google ang seguridad ng APK sa mga nakaraang taon:

• Ang V1 (Pag-sign ng Jar): ay pumipirma ng mga indibidwal na entry sa ZIP. Mabagal at mahina sa ilang mga pag-atake.
• V2 (APK Signature Scheme): Pinirmahan ang buong file block. Mas mabilis na i-verify at mas secure. (Android 7.0+)
• V3 (Pag-ikot ng Key): Nagbibigay-daan sa mga developer na baguhin ang kanilang signing key habang pinapanatili ang mga update sa app. (Android 9.0+)
• V4 (Pag-stream): Na-optimize para sa mga incremental na pag-install sa ibabaw ng ADB. (Android 11+)

Paano I-verify ang Mga Lagda ng APK Online

Ang aming Tool ng Tagasuri ng APK ay hindi lamang nagkalkula ng mga hash; nagsasagawa ito ng buong cryptographic audit ng chain ng certificate. Narito kung paano ito gamitin:

Mga Hakbang para I-verify:

1. Mag-navigate sa pahina ng Tagasuri ng APK.
2. Piliin ang iyong APK o XAPK file.
3. Pina-parse ng aming tool ang direktoryo ng META-INF/ at kinukuha ang data ng certificate (.RSA, .DSA, o .EC).
4. Hintaying makumpleto ang pagsusuri (ito ay tumatagal ng ilang segundo).
5. Suriin ang Impormasyon ng Sertipiko: Pangalan ng developer, organisasyon, at bansang pinagmulan.
6. Suriin ang Hashes: Ikumpara ang SHA-256 na ipinapakita sa aming site sa halaga na inilathala ng publisher sa kanilang sariling opisyal na site, page ng paglabas ng proyekto, o signing manifest.

Pag-unawa sa Mga Checksum (MD5, SHA-1, SHA-256)

Ang mga checksum ay mga fixed-length na string na kumakatawan sa buong file. Kung babaguhin mo ang isang pixel sa icon ng isang app, ganap na magbabago ang SHA-256 hash.

Ang Talagang Sinasabi sa Iyo ng Sertipiko ng Pagpirma

Kapag nagbalik ng certificate ang verifier, ang mga bahagi na mahalaga para sa kaligtasan ng pag-sideload ay hindi ang mga makukulay na piraso ng X.509 metadata kundi isang maliit na dakot ng mga field. Sa praktikal na termino:

• SHA-256 fingerprint ng certificate. Ito ang nag-iisang pinakamahalagang halaga: isang 64-hex-character na hash na natatanging tumutukoy sa signing key. Dalawang APK na may parehong SHA-256 fingerprint ang nilagdaan ng parehong pribadong key. Iyan ang ibig sabihin ng "signature continuity" sa logic ng update ng OS.
• Subject Distinguished Name. Kadalasan ay tulad ng CN=Some App, O=Example Inc., C=US. Kapaki-pakinabang bilang isang pahiwatig, hindi bilang patunay ng pagkakakilanlan, dahil ang isang umaatake ay maaaring maglagay ng anumang string na gusto niya sa DN ng kanilang sariling nilagdaan na sertipiko. Palaging i-cross check ang fingerprint, hindi ang pangalan.
• Panahon ng bisa. Karamihan sa mga lehitimong susi sa pag-publish ay nabuo na may ~25-taong bisa (ang makasaysayang rekomendasyon ay 10000 araw). Ang isang certificate na mag-e-expire sa susunod na buwan, o isa na ang validity ay nag-overlap na sa nakaraan, ay isang pulang bandila.
• Signature algorithm. Gumagamit ang mga modernong app ng SHA256withRSA o SHA256withECDSA. Nasira ang MD5; Hindi na ginagamit ang SHA1withRSA. Ang isang APK na nilagdaan lang gamit ang v1 / SHA-1 ay kahina-hinala noong 2026.

Hash vs Signature: Ang Pagkakaiba ng Karamihan sa Mga Tutorial Laktawan

Madalas pinagsasama ng mga tao ang "hash" at "pirma." Ang mga ito ay nagsisilbi sa ibang layunin at ang isang ligtas na pag-verify ay nangangailangan ng parehong:

• Ang isang hash (SHA-256 ng buong APK) ay nagsasabi sa iyo kung ang mga byte ng file ay kapareho ng isang reference na kopya. Kung ang iyong hash ay tumutugma sa na-publish na hash ng publisher, ang file ay hindi pa nabago mula noong na-compute nila ang hash na iyon. Ang isang hash check lamang ay walang sinasabi tungkol sa kung sino ang gumawa ng mga byte.
• Ang isang pirma ay nagpapatunay kung sino ang gumawa ng mga byte, partikular, na ang may hawak ng pribadong key na ipinares sa sertipiko ng pagpirma ay gumawa ng file na ito. Ang isang signature check lamang ay walang sinasabi tungkol sa kung ang file ay pinakialaman pagkatapos ng pag-sign (makikita iyon ng OS at tatanggihan ito, ngunit ang certificate mismo ay hindi "alam" tungkol sa nilalaman ng file).

Para sa naka-sideload na APK, pinagsasama ng pinakamatibay na katiyakan ang dalawa: tumutugma ang fingerprint ng certificate sa kilalang fingerprint ng publisher na at ang SHA-256 ng file ay tumutugma sa halagang na-publish ng publisher para sa eksaktong build na iyon.

Saan Makakakuha ng Mapagkakatiwalaang Reference Fingerprint

Ang pinakamahirap na bahagi ng pag-verify ay ang pag-alam sa tamang halaga na ihahambing. Ilang maaasahang diskarte, sa magaspang na pagkakasunud-sunod ng kumpiyansa:

1. Ang sariling website o release page ng publisher. Maraming open-source na proyekto at mga vendor na may kamalayan sa seguridad ang nag-publish ng SHA-256 fingerprint ng kanilang signing certificate kasama ng kanilang mga download. Ito ang pamantayang ginto.
2. Isang umiiral nang pag-install sa Play Store. Kung naka-install na ang app sa isang device na pinamamahalaan ng Play, ang fingerprint ng certificate nito ay fingerprint ng publisher ayon sa kahulugan. Ihambing ang fingerprint ng iyong naka-sideload na APK laban doon. Ang mga tool tulad ng Apk Analyzer (sa Android Studio) o apksigner verify --print-certs ay direktang nagbabasa nito mula sa isang naka-install na APK.
3. Ang unang APK na na-install mo ng app na ito. Kung matagal mo nang ginagamit ang app at hindi kailanman nagkaroon ng "signature mismatch" na prompt, maaari mong gamitin ang alinman sa iyong mga lumang kopya bilang reference. Ang mga kasunod na update mula sa parehong publisher ay dapat gumamit ng parehong key (o i-rotate sa pamamagitan ng v3, kung saan ang chain ay nagbe-verify pa rin).
4. Isang naka-archive na pampublikong snapshot. Paminsan-minsan, pinapanatili ng Internet Archive at mga katulad na serbisyo ang mga lumang page ng release ng APK kasama ng kanilang mga ipinahayag na hash. Kapaki-pakinabang para sa mga lumang build kung saan nawala ang orihinal na pahina ng publisher.

Mga Karaniwang Pagkakamali sa Pagpapatunay

• Ang Paghahambing ng maling field. "MD5 ng APK file" ay hindi katulad ng "MD5 ng certificate." Gamitin ang parehong field para sa file ng kandidato at sa sanggunian.
• Pagtitiwala sa sariling metadata ng file. Ang isang APK ay maaaring magsama ng anumang string ng bersyon, anumang label ng package, anumang tag ng may-akda sa manifest nito. Wala sa mga iyon ang cryptographic. Ang signature block ay ang tanging bagay na talagang bini-verify ng OS.
• Nilaktawan ang pag-verify dahil ang file ay ipinadala ng isang kaibigan. Ang isang kaibigan na nagsasabing "ito ang opisyal na APK" ay hindi pa ito na-verify nang higit pa kaysa sa mayroon ka. Ipilit ang isang source na nag-publish ng fingerprint na maaari mong suriin.
• Pagtuturing ng isang katugmang field bilang sapat. Itugma ang SHA-256 ng file at ang SHA-256 fingerprint ng certificate; Ang pagtutugma ng isa ngunit hindi sa isa ay isang senyales na ang mga byte ay binago o ang pinagmulan ay nagpapanggap bilang publisher.
• Ang Hindi pagpapagana sa Play Protect para sa "kaginhawaan." Play Protect ay isang scanner ng pangalawang opinyon, hindi isang kapalit para sa pag-verify ng lagda, ngunit nakakakuha ito ng aktwal na malware na hindi magagawa ng pag-verify ng lagda, dahil alam ng Protect ang tungkol sa mga kilalang hindi magandang package ayon sa nilalaman, hindi sa pamamagitan ng signing key. Iwanan ito.

Mga Madalas Itanong (FAQ)

Gawing Bahagi ng Bawat Sideload ang Signature Verification

Ang mga lagda ay gumagawa ng maraming mabigat na pag-angat sa modernong seguridad ng Android. Ang paggugol ng dagdag na ilang segundo upang magpatakbo ng isang file sa pamamagitan ng isang Tagasuri ng APK ay isang murang paraan upang hindi maalis ang isang na-tamper na app sa iyong device bago ito ma-install.