APK İmzalarını Doğrulama: Uygulamanızın Güvenli Olduğundan Nasıl Emin Olabilirsiniz?

Uygulamaları Android'e yüklemek özgürlük ve esneklik sunar, ancak büyük bir riski de beraberinde getirir: tahrif edilmiş uygulamalar. Kötü niyetli aktörler genellikle popüler uygulamaları resmi olmayan sitelere yeniden dağıtmadan önce casus yazılım veya reklam yazılımı içerecek şekilde değiştirir. Az önce indirdiğiniz APK'nın, geliştiricinin Google Play'e yüklediği APK ile tamamen aynı olduğundan nasıl emin olabilirsiniz?

Cevap APK dijital imzalar'ye geliyor. Aşağıda, uygulama imzalamanın gerçekte nasıl çalıştığını ele alacağız ve güvenmeye karar vermeden önce bir APK'nın karma değerini ve sertifikasını kontrol etmek için Çevrimiçi APK Doğrulayıcı aracımızı kullanarak adım adım ilerleyeceğiz.

APK İmzası nedir?

Dijital imza, kimliğin kriptografik bir kanıtıdır. Bir geliştirici bir uygulamayı tamamladığında, onu özel bir anahtar (anahtar deposu) kullanarak "imzalar". Android daha sonra aşağıdakileri sağlamak için APK'ya yerleştirilmiş ilgili genel anahtarı kullanır:

1. Bütünlük: Dosya imzalandığından beri değiştirilmedi.
2. Orijinallik: Geliştirici söyledikleri kişidir.
3. Güncellemeler: Yalnızca aynı anahtarla imzalanan APK'lar telefonunuzdaki mevcut uygulamayı güncelleyebilir.

İmzalamanın Evrimi: V1, V2, V3 ve V4

Google yıllar içinde APK güvenliğini sürekli olarak geliştirdi:

• V1 (Kavanoz İmzalama): ZIP'teki bireysel girişleri imzalar. Yavaş ve belirli saldırılara karşı savunmasız.
• V2 (APK İmza Şeması): Tüm dosya bloğunu imzalar. Doğrulama çok daha hızlı ve daha güvenli. (Android7.0+)
• V3 (Anahtar Döndürme): Geliştiricilerin uygulama güncellemelerini korurken imzalama anahtarlarını değiştirmelerine olanak tanır. (Android 9.0+)
• V4 (Akış): ADB üzerinden artımlı kurulumlar için optimize edilmiştir. (Android11+)

APK İmzaları Çevrimiçi Olarak Doğrulama

APK Doğrulayıcı aracı ürünümüz yalnızca karma değerleri hesaplamaz; sertifika zincirinin tam bir kriptografik denetimini gerçekleştirir. İşte nasıl kullanılacağı:

Doğrulama Adımları:

1. APK Doğrulayıcı sayfasına gidin.
2. APK veya XAPK dosyanızı seçin.
3. Aracımız META-INF/ dizinini ayrıştırır ve sertifika verilerini (.RSA, .DSA veya .EC çıkarır).
4. Analizin tamamlanmasını bekleyin (sadece birkaç saniye sürer).
5. Sertifika Bilgileri: Geliştirici adı, kuruluşu ve menşe ülkesi konusunu inceleyin.
6. Hash'ler'yi kontrol edin: Sitemizde görüntülenen SHA-256'yı yayıncının kendi resmi sitesinde, proje yayın sayfasında veya imza bildiriminde yayınladığı değerle karşılaştırın.

Sağlama Toplamlarını Anlamak (MD5, SHA-1, SHA-256)

Sağlama toplamları, dosyanın tamamını temsil eden sabit uzunluklu dizelerdir. Bir uygulamanın simgesinde tek bir pikseli değiştirirseniz SHA-256 karması tamamen değişecektir.

Bir İmza Sertifikası Aslında Size Ne Anlatır?

Doğrulayıcı bir sertifika verdiğinde, yandan yükleme güvenliği açısından önemli olan parçalar, X.509 meta verilerinin renkli parçaları değil, küçük bir avuç alandır. Pratik açıdan:

• Sertifikanın SHA-256 parmak izi. Bu tek ve en önemli değerdir: İmza anahtarını benzersiz şekilde tanımlayan 64 onaltılık karakterden oluşan karma. Aynı SHA-256 parmak izine sahip iki APK, aynı özel anahtarla imzalandı. İşletim sisteminin güncelleme mantığında "imza sürekliliği"nin anlamı budur.
• Konunun Ayırt Edici Adı. Genellikle CN=Some App, O=Example Inc., C=US gibi bir şey. Saldırganın kendi kendinden imzalı sertifikanın DN'sine istediği dizeyi koyabilmesi nedeniyle kimlik kanıtı olarak değil, ipucu olarak kullanışlıdır. Her zaman adı değil, parmak izini kontrol edin.
• Geçerlilik süresi. Meşru yayınlama anahtarlarının çoğu ~25 yıllık geçerliliğe sahip olarak oluşturulur (geçmişsel öneri 10.000 gündür). Süresi gelecek ay dolacak veya geçerliliği geçmişle örtüşen bir sertifika bir tehlike işaretidir.
• İmza algoritması. Modern uygulamalar SHA256withRSA veya SHA256withECDSA'yi kullanır. MD5 bozuk; SHA1withRSA kullanımdan kaldırıldı. Yalnızca v1/SHA-1 ile imzalanmış bir APK 2026'da şüphelidir.

Hash ve İmza: Çoğu Dersin Atladığı Fark

İnsanlar sıklıkla "karma" ve "imza"yı karıştırır. Çok farklı amaçlara hizmet ederler ve güvenli bir doğrulama her ikisine de ihtiyaç duyar:

• doğramak (tüm APK'nin SHA-256'sı), dosyanın baytlarının referans kopyayla aynı olup olmadığını size bildirir. Karmanız yayıncının yayınlanan karma değeriyle eşleşiyorsa, dosya bu karma değerini hesapladığından beri değiştirilmemiştir. Tek başına karma kontrolü, baytları kimin yarattığı hakkında hiçbir şey söylemez.
• imza, baytları kimin oluşturduğunu, özellikle de imzalama sertifikasıyla eşleştirilen özel anahtarın sahibinin bu dosyayı ürettiğini kanıtlar. İmza kontrolü tek başına dosyanın imzalandıktan sonra değiştirilip değiştirilmediği hakkında hiçbir şey söylemez (İşletim sistemi bunu algılayacak ve reddedecektir, ancak sertifikanın kendisi dosya içeriği hakkında "bilmez").

Dışarıdan yüklenen bir APK için en güçlü güvence, ikisini birleştirir: Sertifika parmak izi, yayıncının bilinen parmak iziyle eşleşir Ve Dosyanın SHA-256'sı, yayıncının tam olarak bu yapı için yayınladığı değerle eşleşir.

Güvenilir Referans Parmak İzi Nereden Alınır?

Doğrulamanın en zor kısmı karşılaştırılacak doğru değeri bilmektir. Kabaca bir güven sırasına göre birkaç güvenilir yaklaşım:

1. Yayıncının kendi web sitesi veya yayın sayfası. Birçok açık kaynak projesi ve güvenlik bilincine sahip satıcılar, indirmelerinin yanında imzalama sertifikalarının SHA-256 parmak izini de yayınlar. Bu altın standarttır.
2. Mevcut bir Play Store yüklemesi. Uygulama Play tarafından yönetilen bir cihaza zaten yüklenmişse, sertifika parmak izi tanım gereği yayıncının parmak izidir. Yandan yüklenen APK'nızın parmak izini bununla karşılaştırın. Apk Analizörü (Android Studio'da) veya apksigner verify --print-certs gibi araçlar, onu doğrudan yüklü bir APK'dan okur.
3. Bu uygulamanın yüklediğiniz ilk APK'sı. Uygulamayı bir süredir kullanıyorsanız ve hiçbir zaman "imza uyuşmazlığı" uyarısıyla karşılaşmadıysanız, eski kopyalarınızdan herhangi birini referans olarak kullanabilirsiniz. Aynı yayıncının sonraki güncellemeleri aynı anahtarı kullanmalı (veya v3 aracılığıyla dönüşümlü olarak yayınlanmalıdır; bu durumda zincir hâlâ doğrulanır).
4. Arşivlenmiş bir genel anlık görüntü. İnternet Arşivi ve benzeri hizmetler zaman zaman eski APK sürüm sayfalarını beyan edilen karma değerleri ile birlikte korur. Orijinal yayıncı sayfasının kaybolduğu çok eski yapılar için kullanışlıdır.

Yaygın Doğrulama Hataları

• Yanlış alanı karşılaştırıyorum. "APK dosyasının MD5'i", "sertifikanın MD5'i" ile aynı değildir. Aday dosya ve referans için aynı alanı kullanın.
• Dosyanın kendi meta verilerine güvenmek. Bir APK, bildiriminde herhangi bir sürüm dizesini, herhangi bir paket etiketini, herhangi bir yazar etiketini içerebilir. Bunların hiçbiri kriptografik değil. İmza bloğu, işletim sisteminin gerçekte doğruladığı tek şeydir.
• Dosya bir arkadaş tarafından gönderildiği için doğrulama atlanıyor. "Bu resmi APK" diyen bir arkadaşınız da sizin kadar doğrulamadı. Kontrol edebileceğiniz bir parmak izi yayınlayan bir kaynakta ısrar edin.
• Eşleşen bir alanı yeterli olarak ele almak. Hem dosyanın SHA-256'sını hem de sertifikanın SHA-256 parmak izini eşleştirin; biriyle eşleşip diğeriyle eşleşmemesi, baytların değiştirildiğinin veya kaynağın yayıncının kimliğine büründüğünün işaretidir.
• "Kolaylık" sağlamak için Play Korumayı devre dışı bırakma. Play Protect, ikinci görüş tarayıcısıdır, imza doğrulamanın yerine geçmez, ancak imza doğrulamanın yapamayacağı gerçek kötü amaçlı yazılımları yakalar, çünkü Koruma, bilinen kötü paketleri anahtar imzalayarak değil içeriğe göre bilir. Açık bırak.

Sıkça Sorulan Sorular (SSS)

İmza Doğrulamasını Her Yan Yükün Parçası Haline Getirin

İmzalar, modern Android güvenliğinde ağır işlerin çoğunu yapıyor. Bir dosyayı APK Doğrulayıcı aracılığıyla çalıştırmak için ekstra birkaç saniye harcamak, kurcalanmış bir uygulamayı daha yüklenmeden cihazınızdan uzak tutmanın ucuz bir yoludur.