Як безпечно оцінити джерела APK: контрольний список безпеки

Якщо ви завантажуєте програми Android із законних причин, встановлюючи бета-версію збірки, надану розробником, повторно встановлюючи програму з відкритим кодом, проект якої містить власні випуски, або відновлюючи резервну копію програми, якою ви законно володієте, вам слід завжди перевіряти файл перед його встановленням. У цьому посібнику пояснюються технічні ознаки, які відрізняють надійний APK від підробленого, не називаючи та не рекламуючи жодну конкретну платформу завантаження.

1. Почніть із найбільш надійного джерела

Майже для кожного користувача відповідь Google Play Store. Додатки, які розповсюджуються там, підписані їхніми оригінальними розробниками, перевірені Google Play Protect і захищені від зловмисної поведінки. Якщо програма, яку ви хочете, є в Play, установіть її звідти, крапка.

Законні винятки з правила «Грати першим» є вузькими:

• Програма має відкритий вихідний код, і проект розповсюджує підписані збірки з власного офіційного сайту, сторінки випусків GitHub або самостійного сервера оновлень.
• Ви розробник, який тестує власні внутрішні збірки.
• Ви відновлюєте APK, який експортували з вашого пристрою.
• Видавець розповсюджує збірку для конкретного регіону або бета-версію безпосередньо зі свого офіційного домену (і ви можете підтвердити, що домен відповідає підтвердженому бренду розробника).

Все, що виходить за межі цих випадків, і особливо «безкоштовні» копії платних програм, слід розглядати як високоризикові та майже завжди є порушенням авторських прав.

2. Перевірте цифровий підпис

Кожен APK має криптографічний підпис його видавця. Якщо підпис у файлі не збігається з відомим сертифікатом підпису видавця, це означає, що файл було змінено, і його не можна інсталювати. Навіть один зловмисний байт, вставлений у файл APK, зробить підпис недійсним.

Що шукати:

• Присутній схема підпису v2/v3/v4 (сучасний Android вимагає).
• Відбиток сертифіката (SHA-256) відповідає відбитку пальця, опублікованому розробником, або збігається з попередньо встановленою копією тієї самої програми.
• Сертифікат — не закінчився, а ланцюжок підпису не пошкоджений.

Ви можете запустити цю перевірку повністю в автономному режимі за допомогою нашого Перевірка APK: перетягніть файл .apk, перегляньте сертифікат підпису та відбиток SHA-256 і порівняйте його зі значенням, яке публікує розробник.

3. Порівняйте хеш SHA-256

Хеш SHA-256 — це фіксований 64-символьний відбиток вмісту файлу. Якщо змінюється хоча б один байт, геш змінюється повністю. Поважні розробники публікують SHA-256 кожного випуску разом із завантаженням.

Процес:

1. Обчисліть SHA-256 APK на вашому комп’ютері (більшість операційних систем включають sha256sum або еквівалентну команду; ви також можете скористатися нашим інструментом перевірки APK).
2. Порівняйте його посимвольно зі значенням, опублікованим розробником на його офіційному сайті.
3. Якщо значення збігаються, файл байтно ідентичний тому, що випустив розробник. Якщо вони відрізняються, не встановлюйте.

4. Перегляньте маніфест і дозволи перед встановленням

Система дозволів Android — ваша остання лінія захисту. Перш ніж встановлювати будь-що за межами Play Store, відкрийте пакет за допомогою нашого інструменту Інформація про APK і прочитайте маніфест. Слідкуйте за:

• Непропорційні дозволи. Простий офлайн-калькулятор не потребує SMS, контактів, служби доступності чи доступу адміністратора пристрою. Усе, що вимагає набагато більше, ніж вимагає його робота, є підозрілим.
• Зловживання службою доступності. Зловмисне програмне забезпечення часто зловживає BIND_ACCESSIBILITY_SERVICE, щоб читати вміст екрана та натискати кнопки від імені користувача. Надайте це лише програмам, яким ви довіряєте та які справді цього потребують (програми зчитування екрана, менеджери паролів тощо).
• Адміністратор пристрою / власник пристрою. Майже жоден споживчий додаток цього не потребує. Якщо програма, завантажена збоку, запитує це, зупиніться.
• Невідповідна назва пакета. Якщо назва пакета (наприклад, com.example.app) не збігається з справжнім пакетом програми, файл видає себе за справжній продукт.
• Невідомі експортовані компоненти. Діяльність, послуги або приймачі трансляції, які експортуються та виглядають недоречно, можуть бути бекдором.

5. Червоні прапорці, загальні для ненадійних джерел

Незалежно від того, чи є джерелом веб-сайт, група чату чи вкладення електронної пошти, розглядайте його як ненадійне, якщо ви бачите щось із наведеного нижче.

• Безкоштовні копії платних програм або «преміум розблоковані» версії комерційних програм. Вони є піратськими, часто модифікованими та містять зловмисне програмне забезпечення.
• "Mod" або "cracked" брендинг. Модифіковані APK за визначенням не проходять перевірку підпису та можуть містити все, що додав модер.
• Кілька незрозумілих кнопок «Завантажити»., які виявилися рекламою.
• Агресивні спливаючі вікна, фальшиві сповіщення «виявлено вірус» або примусове перенаправлення.
• Немає HTTPS. Якщо джерело не подається через зашифроване з’єднання, ваше завантаження можна мовчки замінити під час передавання.
• Ні інформації про видавця, ні деталей підпису, ні журналу змін. Законний випуск має все це.
• Тиск, щоб вимкнути Play Protect або надати доступність / адміністратора пристрою, «щоб це працювало».

6. Після встановлення: слідкуйте

Верифікація не є одноразовою подією. Після встановлення збоку:

• Залиште Google Play Protect увімкненим. Він періодично сканує встановлені пакети.
• Стежте за неочікуваним розрядженням акумулятора, використанням мережі чи спливаючими накладками, класичними сигнатурами зловмисного програмного забезпечення.
• Періодично відкривайте Налаштування → Програми і переглядайте програми, якими ви більше не користуєтеся; видаліть їх.
• Якщо програма оновлюється поза магазином Play, перевірте, чи підпис нової збірки збігається з попередньо встановленою. Невідповідність - це надзвичайна ситуація.

7. Що надає (і що не надає) цей сайт

XAPK до APK — це набір конвертери та інспектори форматів файлів на основі браузера. Ми не розміщуємо файли APK, не посилаємося на сайти завантаження APK і не сприяємо піратству. Кожен інструмент на цьому сайті обробляє файли локально у вашому браузері, без завантаження, без копіювання, без збереження. Дивіться наші Відмова від відповідальності і Політика конфіденційності для повної інформації.

Золоті правила для перевірки сторонніх завантажень APK

Бокове завантаження є законною та потужною можливістю платформи Android, але воно перекладає відповідальність за безпеку з рецензентів Google на вас. Дотримуючись офіційного Play Store для платних і споживчих додатків, обмежуючи стороннє завантаження випусками програмного забезпечення від перших розробників, до яких у вас уже є легальний доступ, і перевіряючи підпис і хеш кожного пакета перед встановленням, ви можете насолоджуватися цією гнучкістю без шкоди для безпеки чи порушення закону.