APK کے ذرائع کا محفوظ طریقے سے اندازہ کیسے لگایا جائے: ایک سیکیورٹی چیک لسٹ

اگر آپ Android ایپس کو جائز وجوہات کی بنا پر سائڈلوڈ کرتے ہیں، ڈویلپر کی طرف سے فراہم کردہ بیٹا بلڈ انسٹال کرتے ہیں، ایک اوپن سورس ایپ کو دوبارہ انسٹال کرتے ہیں جس کا پروجیکٹ اپنی ریلیزز کی میزبانی کرتا ہے، یا کسی ایپ کا بیک اپ بحال کرنا جو آپ کی قانونی طور پر ملکیت ہے، آپ کو ہمیشہ فائل کو انسٹال کرنے سے پہلے اس کی تصدیق کرنی چاہیے۔ یہ گائیڈ تکنیکی اشاروں کی وضاحت کرتا ہے جو کسی قابل اعتماد APK کو چھیڑ چھاڑ سے ممتاز کرتے ہیں، بغیر کسی مخصوص ڈاؤن لوڈ پلیٹ فارم کا نام لیے یا اس کی تشہیر کے۔

1. سب سے زیادہ بھروسہ مند ذریعہ سے شروع کریں۔

تقریباً ہر صارف کے لیے، جواب گوگل پلے اسٹور ہے۔ وہاں تقسیم کردہ ایپس کو ان کے اصل ڈویلپرز کے دستخط شدہ، Google Play Protect کے ذریعے اسکین کیا جاتا ہے، اور بدنیتی پر مبنی رویے کے لیے پولیس کی جاتی ہے۔ اگر آپ کی مطلوبہ ایپ Play پر ہے تو اسے وہاں سے انسٹال کریں، فل سٹاپ۔

"پہلے چلائیں" کے اصول کے جائز مستثنیات تنگ ہیں:

• ایپلیکیشن اوپن سورس ہے اور پروجیکٹ اپنی آفیشل سائٹ، گٹ ہب ریلیز پیج، یا سیلف ہوسٹڈ اپ ڈیٹ سرور سے دستخط شدہ تعمیرات تقسیم کرتا ہے۔
• آپ ایک ڈویلپر ہیں جو آپ کی اپنی اندرونی تعمیرات کی جانچ کر رہے ہیں۔
• آپ ایک APK کو بحال کر رہے ہیں جسے آپ نے اپنے اپنے آلہ سے برآمد کیا ہے۔
• پبلشر اپنے آفیشل ڈومین سے براہ راست علاقے کے لیے مخصوص یا بیٹا بلڈ تقسیم کرتا ہے (اور آپ تصدیق کر سکتے ہیں کہ ڈومین ڈویلپر کی تصدیق شدہ برانڈنگ سے میل کھاتا ہے)۔

ان معاملات سے باہر کی کوئی بھی چیز، اور خاص طور پر ادا شدہ ایپس کی "مفت" کاپیاں، کو زیادہ خطرہ سمجھا جانا چاہیے اور تقریباً ہمیشہ کاپی رائٹ کی خلاف ورزی ہوتی ہے۔

2. ڈیجیٹل دستخط کی تصدیق کریں۔

ہر APK پر اس کے ناشر کے ذریعے خفیہ طور پر دستخط کیے گئے ہیں۔ اگر کسی فائل پر دستخط پبلشر کے معروف دستخطی سرٹیفکیٹ سے میل نہیں کھاتے ہیں، تو فائل کو تبدیل کر دیا گیا ہے اور اسے انسٹال نہیں کرنا چاہیے۔ یہاں تک کہ ایک APK میں داخل کردہ ایک بھی بدنیتی پر مبنی بائٹ دستخط کو باطل کردے گا۔

کیا تلاش کرنا ہے:

• v2/v3/v4 دستخطی اسکیم موجود ہے (جدید Android کو اس کی ضرورت ہے)۔
• سرٹیفکیٹ فنگر پرنٹ (SHA-256) ڈویلپر کے ذریعہ شائع کردہ فنگر پرنٹ سے میل کھاتا ہے یا اسی ایپ کی پہلے سے انسٹال کردہ کاپی سے میل کھاتا ہے۔
• سرٹیفکیٹ میعاد ختم نہیں ہوئی ہے اور دستخط کرنے کا سلسلہ برقرار ہے۔

آپ ہمارے APK تصدیق کنندہ کا استعمال کرتے ہوئے اس چیک کو مکمل طور پر آف لائن چلا سکتے ہیں: .apk کو اندر گھسیٹیں، دستخطی سرٹیفکیٹ اور SHA-256 فنگر پرنٹ دیکھیں، اور اس کا موازنہ اس قدر سے کریں جو ڈویلپر شائع کرتا ہے۔

3. SHA-256 ہیش کا موازنہ کریں۔

SHA-256 ہیش فائل کے مواد کا ایک مقررہ 64-کریکٹر فنگر پرنٹ ہے۔ اگر ایک بائٹ بھی بدل جائے تو ہیش مکمل طور پر بدل جاتا ہے۔ معروف ڈویلپرز ڈاؤن لوڈ کے ساتھ ساتھ ہر ریلیز کے SHA-256 کو شائع کرتے ہیں۔

عمل:

1. اپنی مشین پر APK کے SHA-256 کا حساب لگائیں (زیادہ تر آپریٹنگ سسٹمز میں sha256sum یا مساوی کمانڈ شامل ہے؛ آپ ہمارا APK تصدیق کنندہ بھی استعمال کر سکتے ہیں)۔
2. ڈیولپر کی طرف سے ان کی آفیشل سائٹ پر شائع کردہ قدر سے کریکٹر بہ کریکٹر اس کا موازنہ کریں۔
3. اگر اقدار مماثل ہیں، تو فائل ڈیولپر کے جاری کردہ بائٹ سے مماثل ہے۔ اگر وہ مختلف ہیں تو انسٹال نہ کریں۔

4. انسٹال کرنے سے پہلے مینی فیسٹ اور اجازتوں کا جائزہ لیں۔

Android کا پرمشن سسٹم آپ کے دفاع کی آخری لائن ہے۔ Play Store کے باہر سے کوئی بھی چیز انسٹال کرنے سے پہلے، ہمارے APK کی معلومات ٹول کے ساتھ پیکیج کھولیں اور مینی فیسٹ پڑھیں۔ کے لیے دیکھیں:

• غیر متناسب اجازتیں۔ ایک سادہ آف لائن کیلکولیٹر کو SMS، رابطوں، ایکسیسبیلٹی سروس، یا ڈیوائس ایڈمن تک رسائی کی ضرورت نہیں ہے۔ کوئی بھی چیز جو اپنے کام کی ضرورت سے کہیں زیادہ مانگتی ہے وہ مشکوک ہے۔
• رسائی سروس کا غلط استعمال۔ میلویئر اکثر BIND_ACCESSIBILITY_SERVICE کو اسکرین کے مواد کو پڑھنے اور صارف کی جانب سے بٹنوں پر کلک کرنے کے لیے غلط استعمال کرتا ہے۔ یہ صرف ان ایپس کو دیں جن پر آپ بھروسہ کرتے ہیں اور جن کو حقیقی طور پر اس کی ضرورت ہے (اسکرین ریڈرز، پاس ورڈ مینیجرز وغیرہ)۔
• ڈیوائس ایڈمنسٹریٹر / ڈیوائس کا مالک۔ تقریبا کسی بھی صارف ایپ کو قانونی طور پر اس کی ضرورت نہیں ہے۔ اگر کوئی سائیڈ لوڈ شدہ ایپ اس کی درخواست کرتی ہے تو رک جائیں۔
• پیکیج کا نام مماثل نہیں ہے۔ اگر پیکیج کا نام (مثال کے طور پر، com.example.app) حقیقی ایپ کے پیکیج سے میل نہیں کھاتا ہے، تو فائل ایک حقیقی پروڈکٹ کی نقالی کر رہی ہے۔
• غیر مانوس برآمد شدہ اجزاء۔ سرگرمیاں، خدمات، یا براڈکاسٹ ریسیورز جو برآمد کیے جاتے ہیں اور جگہ سے باہر نظر آتے ہیں وہ بیک ڈور ہو سکتے ہیں۔

5. سرخ جھنڈے ناقابل بھروسہ ذرائع کے لیے عام ہیں۔

خواہ کوئی ذریعہ ویب سائٹ ہو، چیٹ گروپ ہو، یا ای میل منسلکہ ہو، اگر آپ کو درج ذیل میں سے کوئی نظر آتا ہے تو اسے ناقابل اعتبار سمجھیں:

• تجارتی ایپلی کیشنز کے ادا شدہ ایپس کی مفت کاپیاں یا "پریمیم غیر مقفل" ورژن۔ یہ پائریٹڈ ہوتے ہیں، اکثر ان میں ترمیم ہوتی ہے، اور اکثر مالویئر لے جاتے ہیں۔
• "موڈ" یا "کریکڈ" برانڈنگ۔ ترمیم شدہ APKs بذریعہ تعریف دستخطی توثیق میں ناکام ہو جاتے ہیں اور اس میں موڈر کی شامل کردہ کوئی بھی چیز ہو سکتی ہے۔
• متعدد مبہم "ڈاؤن لوڈ" بٹن جو اشتہارات بنتے ہیں۔
• جارحانہ پاپ اپ، جعلی "وائرس کا پتہ چلا" الرٹس، یا جبری ری ڈائریکٹ۔
• کوئی HTTPS نہیں۔ اگر ذریعہ کسی خفیہ کنکشن پر پیش نہیں کیا جاتا ہے، تو آپ کا ڈاؤن لوڈ خاموشی سے ٹرانزٹ میں تبدیل کیا جا سکتا ہے۔
• کوئی پبلشر کی معلومات نہیں، دستخط کرنے کی کوئی تفصیلات نہیں، کوئی چینج لاگ نہیں۔ ایک جائز ریلیز میں یہ سب ہوتے ہیں۔
• Play Protect کو غیر فعال کرنے کے لیے دباؤ یا رسائی فراہم کرنے کے لیے / ڈیوائس ایڈمن کو "اسے کام کرنے کے لیے۔"

6. انسٹال کرنے کے بعد: واچ رکھیں

تصدیق ایک بار کا واقعہ نہیں ہے۔ سائیڈ لوڈڈ انسٹال کے بعد:

• گوگل پلے پروٹیکٹ کو فعال رہنے دیں۔ یہ وقتا فوقتا انسٹال شدہ پیکجوں کو اسکین کرتا ہے۔
• غیر متوقع طور پر بیٹری ختم ہونے، نیٹ ورک کے استعمال، یا پاپ اپ اوورلیز، کلاسک میلویئر دستخطوں کے لیے دیکھیں۔
• وقتاً فوقتاً ترتیبات → ایپس کھولیں اور ان ایپس کا جائزہ لیں جنہیں آپ مزید استعمال نہیں کرتے ہیں۔ ان کو ان انسٹال کریں.
• اگر کوئی ایپ خود کو Play Store سے باہر اپ ڈیٹ کرتی ہے، تو چیک کریں کہ نئی بلڈ کا دستخط پہلے سے انسٹال کردہ سے ملتا ہے۔ مماثلت ایک ہنگامی صورتحال ہے۔

7. یہ سائٹ کیا کرتی ہے (اور نہیں کرتی)

XAPK to APK براؤزر پر مبنی فائل فارمیٹ کنورٹرز اور انسپکٹرز کا ایک سیٹ ہے۔ ہم APK فائلوں کی میزبانی نہیں کرتے، ہم APK ڈاؤن لوڈ سائٹس سے لنک نہیں کرتے، اور ہم بحری قزاقی کی سہولت نہیں دیتے۔ اس سائٹ پر موجود ہر ٹول مقامی طور پر آپ کے براؤزر میں فائلوں پر کارروائی کرتا ہے، کوئی اپ لوڈ نہیں، کوئی کاپی نہیں، کوئی برقرار نہیں ہے۔ مکمل تفصیلات کے لیے ہمارا ڈس کلیمر اور رازداری کی پالیسی دیکھیں۔

فریق ثالث کے APK ڈاؤن لوڈز کی تصدیق کے سنہری اصول

سائیڈ لوڈنگ Android پلیٹ فارم کی ایک جائز اور طاقتور صلاحیت ہے، لیکن یہ Google کے جائزہ لینے والوں کی طرف سے سیکیورٹی کی ذمہ داری آپ پر منتقل کر دیتی ہے۔ بامعاوضہ اور کنزیومر ایپس کے لیے آفیشل پلے اسٹور پر قائم رہ کر، سائڈ لوڈنگ کو فرسٹ پارٹی ڈیولپر ریلیز تک محدود رکھ کر، جس تک آپ کو پہلے سے قانونی طور پر رسائی حاصل ہے، اور انسٹال کرنے سے پہلے ہر پیکج کے دستخط اور ہیش کی تصدیق کرکے، آپ سیکیورٹی سے سمجھوتہ کیے بغیر یا قانون شکنی کیے بغیر اس لچک سے لطف اندوز ہوسکتے ہیں۔