APK Kaynakları Güvenli Bir Şekilde Nasıl Değerlendirilir: Bir Güvenlik Kontrol Listesi

Android uygulamalarını meşru nedenlerle yüklerseniz, geliştirici tarafından sağlanan bir beta sürümünü yüklerseniz, projesi kendi sürümlerini barındıran açık kaynaklı bir uygulamayı yeniden yüklerseniz veya yasal olarak sahip olduğunuz bir uygulamanın yedeğini geri yüklerseniz, dosyayı yüklemeden önce her zaman doğrulamalısınız. Bu kılavuz, herhangi bir belirli indirme platformunun adını vermeden veya tanıtımını yapmadan, güvenilir bir APK'yı tahrif edilmiş bir APK'dan ayıran teknik sinyalleri açıklamaktadır.

1. En Güvenilir Kaynakla Başlayın

Hemen hemen her kullanıcı için cevap Google Play Store'dir. Burada dağıtılan uygulamalar orijinal geliştiricileri tarafından imzalanır, Google Play Koruma tarafından taranır ve kötü niyetli davranışlara karşı denetlenir. İstediğiniz bir uygulama Play'deyse, oradan yükleyin.

"Önce oyna" kuralının meşru istisnaları sınırlıdır:

• Uygulama açık kaynaklıdır ve proje imzalı yapıları kendi resmi sitesinden, GitHub Sürümleri sayfasından veya kendi kendine barındırılan güncelleme sunucusundan dağıtır.
• Kendi dahili yapılarınızı test eden bir geliştiricisiniz.
• Sahip olduğunuz bir cihazdan dışa aktardığınız bir APK'yı geri yüklüyorsunuz.
• Yayıncı, bölgeye özgü veya beta yapıyı doğrudan resmi alan adından dağıtır (ve alan adının, geliştiricinin doğrulanmış markasıyla eşleştiğini doğrulayabilirsiniz).

Bu durumların dışında kalan her şey ve özellikle ücretli uygulamaların "ücretsiz" kopyaları yüksek riskli olarak değerlendirilmelidir ve neredeyse her zaman bir telif hakkı ihlali teşkil eder.

2. Dijital İmzayı Doğrulayın

Her APK, yayıncısı tarafından kriptografik olarak imzalanır. Bir dosyadaki imza, yayıncının bilinen imzalama sertifikasıyla eşleşmiyorsa dosya değiştirilmiş demektir ve kurulmamalıdır. APK'ya enjekte edilen tek bir kötü amaçlı bayt bile imzayı geçersiz kılacaktır.

Ne aranmalı:

• v2/v3/v4 imza şeması mevcut (modern Android bunu gerektirir).
• Sertifika parmak izi (SHA-256), geliştirici tarafından yayınlanan bir parmak iziyle veya aynı uygulamanın önceden yüklenmiş bir kopyasıyla eşleşir.
• Sertifika süresi dolmamış'dir ve imzalama zinciri sağlamdır.

Bu kontrolü APK Doğrulayıcı kullanarak tamamen çevrimdışı çalıştırabilirsiniz: .apk dosyasını içeri sürükleyin, imzalama sertifikasını ve SHA-256 parmak izini görün ve bunu geliştiricinin yayınladığı değerle karşılaştırın.

3. SHA-256 Karmasını Karşılaştırın

SHA-256 karması, dosya içeriğinin 64 karakterlik sabit bir parmak izidir. Bir bayt bile değişse hash tamamen değişir. Saygın geliştiriciler, indirmeyle birlikte her sürümün SHA-256'sını yayınlar.

İşlem:

1. Makinenizdeki APK'nın SHA-256'sını hesaplayın (çoğu işletim sistemi sha256sum veya eşdeğer bir komut içerir; ayrıca APK Doğrulayıcımızı da kullanabilirsiniz).
2. Bunu, geliştiricinin resmi sitesinde yayınladığı değerle karakter karakter karşılaştırın.
3. Değerler eşleşirse dosya, geliştiricinin yayımladığı dosyayla aynı bayttır. Farklıysa yüklemeyin.

4. Yüklemeden Önce Bildirimi ve İzinleri Gözden Geçirin

Android'in izin sistemi son savunma hattınızdır. Play Store dışından herhangi bir şey yüklemeden önce paketi APK Bilgileri aracımızla açın ve bildirimi okuyun. Şunlara dikkat edin:

• Orantısız izinler. Basit bir çevrimdışı hesap makinesinin SMS'e, kişilere, erişilebilirlik hizmetine veya cihaz yöneticisi erişimine ihtiyacı yoktur. İşinin gerektirdiğinden çok daha fazlasını isteyen her şey şüphelidir.
• Erişilebilirlik Hizmetinin kötüye kullanılması. Kötü amaçlı yazılım, ekran içeriğini okumak ve kullanıcı adına düğmelere tıklamak için BIND_ACCESSIBILITY_SERVICE'yi sıklıkla kötüye kullanır. Bunu yalnızca güvendiğiniz ve buna gerçekten ihtiyaç duyan uygulamalara (ekran okuyucular, şifre yöneticileri vb.) verin.
• Cihaz yöneticisi / Cihaz sahibi. Neredeyse hiçbir tüketici uygulamasının yasal olarak buna ihtiyacı yoktur. Yandan yüklenen bir uygulama bunu talep ederse durun.
• Eşleşmeyen paket adı. Paket adı (ör). com.example.app orijinal uygulamanın paketiyle eşleşmiyorsa dosya gerçek bir ürünün kimliğine bürünüyor demektir.
• Tanıdık olmayan dışa aktarılan bileşenler. Dışa aktarılan ve uygunsuz görünen etkinlikler, hizmetler veya yayın alıcıları bir arka kapı olabilir.

5. Güvenilmez Kaynaklarda Yaygın Olan Kırmızı Bayraklar

Kaynağın bir web sitesi, bir sohbet grubu veya bir e-posta eki olması fark etmez, aşağıdakilerden herhangi birini görürseniz onu güvenilmez olarak değerlendirin:

• Ücretli uygulamaların ücretsiz kopyaları veya ticari uygulamaların "premium kilidi açılmış" sürümleri. Bunlar korsandır, sıklıkla değiştirilir ve sıklıkla kötü amaçlı yazılım taşır.
• "Mod" veya "cracked" markalama. Değiştirilmiş APK'lar tanım gereği imza doğrulamasında başarısız olur ve mod geliştiricinin eklediği her şeyi içerebilir.
• Birden fazla kafa karıştırıcı "İndir" düğmesi bunların reklam olduğu ortaya çıktı.
• Agresif açılır pencereler, sahte "virüs algılandı" uyarıları veya zorunlu yönlendirmeler.
• HTTPS yok. Kaynak şifreli bir bağlantı üzerinden sunulmuyorsa indirme işleminiz aktarım sırasında sessizce değiştirilebilir.
• Yayıncı bilgisi yok, imza ayrıntıları yok, değişiklik günlüğü yok. Meşru bir sürüm bunların hepsine sahiptir.
• Play Korumayı devre dışı bırakma baskısı veya erişilebilirlik / cihaz yöneticisine "çalışmasını sağlamak için" izin verin.

6. Kurulumdan Sonra: İzlemeye Devam Edin

Doğrulama tek seferlik bir olay değildir. Yandan yüklenen bir kurulumdan sonra:

• Google Play Koruması'yi etkin bırakın. Kurulu paketleri periyodik olarak tarar.
• Beklenmedik pil tüketimini, ağ kullanımını veya açılır pencere katmanlarını ve klasik kötü amaçlı yazılım imzalarını izleyin.
• Ayarlar → Uygulamalar'yi periyodik olarak açın ve artık kullanmadığınız uygulamaları inceleyin; bunları kaldırın.
• Bir uygulama Play Store dışında kendini güncelliyorsa yeni yapının imzasının önceden yüklenen imzayla eşleşip eşleşmediğini kontrol edin. Uyumsuzluk acil bir durumdur.

7. Bu Sitenin Sağladığı (ve Sağlamadığı) Şeyler

XAPKS'den APK'ya bir tarayıcı tabanlı dosya formatı dönüştürücüler ve denetçiler kümesidir. APK dosyalarını barındırmıyoruz, APK indirme sitelerine bağlantı vermiyoruz ve korsanlığa olanak vermiyoruz. Bu sitedeki her araç tarayıcınızda yerel olarak dosyalarını işler; yükleme yok, kopyalama yok, saklama yok. Tüm ayrıntılar için Sorumluluk reddi beyanı ve Gizlilik Politikası ürünümüze bakın.

Üçüncü Taraf APK İndirmelerini Doğrulamak için Altın Kurallar

Yandan yükleme, Android platformunun meşru ve güçlü bir yeteneğidir, ancak güvenlik sorumluluğunu Google'ın incelemecilerinden size bırakır. Ücretli ve tüketici uygulamaları için resmi Play Store'a sadık kalarak, dışarıdan yüklemeyi halihazırda yasal olarak erişebildiğiniz yazılımların birinci taraf geliştirici sürümleriyle sınırlandırarak ve yüklemeden önce her paketin imzasını ve karma değerini doğrulayarak, güvenlikten ödün vermeden veya yasaları çiğnemeden bu esnekliğin keyfini çıkarabilirsiniz.