Cách đánh giá nguồn APK một cách an toàn: Danh sách kiểm tra bảo mật

Nếu bạn tải ứng dụng Android vì lý do chính đáng, cài đặt bản beta do nhà phát triển cung cấp, cài đặt lại ứng dụng nguồn mở có dự án lưu trữ các bản phát hành riêng hoặc khôi phục bản sao lưu của ứng dụng mà bạn sở hữu hợp pháp, bạn phải luôn xác minh tệp trước khi cài đặt nó. Hướng dẫn này giải thích các tín hiệu kỹ thuật giúp phân biệt APK đáng tin cậy với APK bị giả mạo mà không nêu tên hoặc quảng cáo bất kỳ nền tảng tải xuống cụ thể nào.

1. Bắt đầu với nguồn đáng tin cậy nhất

Đối với hầu hết mọi người dùng, câu trả lời là Cửa hàng Google Play. Các ứng dụng được phân phối ở đó đều được các nhà phát triển ban đầu ký, được Google Play Protect quét và kiểm soát hành vi nguy hiểm. Nếu ứng dụng bạn muốn có trên Play, hãy cài đặt ứng dụng đó từ đó, dừng hoàn toàn.

Các trường hợp ngoại lệ hợp pháp đối với quy tắc "Chơi trước" rất hẹp:

• Ứng dụng này là nguồn mở và dự án phân phối các bản dựng đã ký từ trang web chính thức của chính nó, trang Phát hành GitHub hoặc máy chủ cập nhật tự lưu trữ.
• Bạn là nhà phát triển đang thử nghiệm các bản dựng nội bộ của riêng mình.
• Bạn đang khôi phục APK bạn đã xuất từ thiết bị mà bạn sở hữu.
• Nhà xuất bản phân phối bản dựng beta hoặc bản dựng dành riêng cho khu vực trực tiếp từ miền chính thức của họ (và bạn có thể xác nhận miền phù hợp với thương hiệu đã được xác minh của nhà phát triển).

Bất kỳ điều gì nằm ngoài những trường hợp đó và đặc biệt là các bản sao "miễn phí" của ứng dụng phải trả phí, đều phải được coi là có rủi ro cao và hầu như luôn vi phạm bản quyền.

2. Xác minh chữ ký số

Mọi APK đều được nhà xuất bản của nó ký bằng mật mã. Nếu chữ ký trên tệp không khớp với chứng chỉ ký đã biết của nhà xuất bản thì tệp đó đã bị thay đổi và không được cài đặt. Ngay cả một byte độc hại được đưa vào APK cũng sẽ làm mất hiệu lực chữ ký.

Những gì cần tìm:

• Có sơ đồ chữ ký v2/v3/v4 (Android hiện đại yêu cầu nó).
• Dấu vân tay chứng chỉ (SHA-256) khớp với dấu vân tay do nhà phát triển xuất bản hoặc khớp với bản sao được cài đặt trước đó của cùng một ứng dụng.
• Chứng chỉ là chưa hết hạn và chuỗi ký kết còn nguyên vẹn.

Bạn có thể chạy kiểm tra này hoàn toàn ngoại tuyến bằng Trình xác minh APK của chúng tôi: kéo .apk vào, xem chứng chỉ ký và dấu vân tay SHA-256 rồi so sánh nó với giá trị mà nhà phát triển xuất bản.

3. So sánh hàm băm SHA-256

Hàm băm SHA-256 là dấu vân tay cố định gồm 64 ký tự của nội dung tệp. Nếu thậm chí một byte thay đổi, hàm băm sẽ thay đổi hoàn toàn. Các nhà phát triển có uy tín xuất bản SHA-256 của mỗi bản phát hành cùng với quá trình tải xuống.

Quá trình:

1. Tính toán SHA-256 của APK trên máy của bạn (hầu hết các hệ điều hành đều bao gồm sha256sum hoặc lệnh tương đương; bạn cũng có thể sử dụng Trình xác minh APK của chúng tôi).
2. So sánh từng ký tự với giá trị được nhà phát triển công bố trên trang web chính thức của họ.
3. Nếu các giá trị khớp nhau thì tệp sẽ giống hệt byte với tệp mà nhà phát triển đã phát hành. Nếu chúng khác nhau, không cài đặt.

4. Xem lại bản kê khai và quyền trước khi cài đặt

Hệ thống cấp phép của Android là tuyến phòng thủ cuối cùng của bạn. Trước khi bạn cài đặt bất kỳ thứ gì từ bên ngoài Cửa hàng Play, hãy mở gói bằng công cụ Thông tin APK của chúng tôi và đọc bảng kê khai. Theo dõi:

• Quyền không cân xứng. Một máy tính ngoại tuyến đơn giản không cần SMS, danh bạ, dịch vụ trợ năng hoặc quyền truy cập quản trị viên thiết bị. Bất cứ điều gì yêu cầu nhiều hơn mức công việc của nó yêu cầu đều đáng nghi ngờ.
• Phần mềm độc hại Lạm dụng Dịch vụ trợ năng. thường xuyên lạm dụng BIND_ACCESSIBILITY_SERVICE để đọc nội dung màn hình và nhấp vào nút thay mặt người dùng. Chỉ cấp quyền này cho những ứng dụng bạn tin tưởng và thực sự cần nó (trình đọc màn hình, trình quản lý mật khẩu, v.v.).
• Quản trị viên thiết bị/Chủ sở hữu thiết bị. Hầu như không có ứng dụng tiêu dùng nào thực sự cần điều này. Nếu một ứng dụng được tải sẵn yêu cầu nó, hãy dừng lại.
• Tên gói không khớp. Nếu tên gói (ví dụ: com.example.app không khớp với gói của ứng dụng chính hãng thì tệp đó đang mạo danh một sản phẩm thực).
• Các thành phần xuất khẩu không quen thuộc. Các hoạt động, dịch vụ hoặc bộ thu phát sóng được xuất ra và không đúng chỗ có thể là cửa sau.

5. Dấu hiệu cảnh báo phổ biến đối với các nguồn không đáng tin cậy

Cho dù nguồn là trang web, nhóm trò chuyện hay tệp đính kèm email, hãy coi nguồn đó là không đáng tin cậy nếu bạn thấy bất kỳ điều nào sau đây:

• Bản sao miễn phí của ứng dụng trả phí hoặc phiên bản "mở khóa cao cấp" của ứng dụng thương mại. Đây là những thứ vi phạm bản quyền, thường được sửa đổi và thường mang theo phần mềm độc hại.
• Nhãn hiệu "Mod" hoặc "cracking". APK đã sửa đổi theo định nghĩa không xác minh được chữ ký và có thể chứa bất kỳ nội dung nào mà người kiểm duyệt đã thêm vào.
• Nhiều nút "Tải xuống" khó hiểu hóa ra là quảng cáo.
• Cửa sổ bật lên hung hăng, cảnh báo "phát hiện thấy vi-rút" giả mạo hoặc chuyển hướng bắt buộc.
• Không có HTTPS. Nếu nguồn không được cung cấp qua kết nối được mã hóa, quá trình tải xuống của bạn có thể được hoán đổi một cách âm thầm trong quá trình truyền.
• Không có thông tin nhà xuất bản, không có chi tiết ký kết, không có nhật ký thay đổi. Một bản phát hành hợp pháp có tất cả những điều này.
• Áp lực phải vô hiệu hóa Play Protect hoặc cấp khả năng truy cập / quản trị viên thiết bị "để làm cho nó hoạt động."

6. Sau khi cài đặt: Keep Watch

Việc xác minh không phải là sự kiện diễn ra một lần. Sau khi cài đặt đã được tải sẵn:

• Để Google Play Bảo vệ được kích hoạt. Nó quét các gói đã cài đặt theo định kỳ.
• Theo dõi tình trạng hao pin bất ngờ, sử dụng mạng hoặc lớp phủ bật lên, dấu hiệu phần mềm độc hại cổ điển.
• Định kỳ mở Cài đặt → Ứng dụng và xem lại mọi ứng dụng bạn không còn sử dụng; gỡ cài đặt chúng.
• Nếu một ứng dụng tự cập nhật bên ngoài Cửa hàng Play, hãy kiểm tra xem chữ ký của bản dựng mới có khớp với chữ ký được cài đặt trước đó hay không. Sự không phù hợp là một trường hợp khẩn cấp.

7. Trang web này cung cấp những gì (và không)

XAPKS sang APK là một bộ trình chuyển đổi và kiểm tra định dạng tệp dựa trên trình duyệt. Chúng tôi không lưu trữ các tệp APK, chúng tôi không liên kết đến các trang web tải xuống APK và chúng tôi không tạo điều kiện cho vi phạm bản quyền. Mọi công cụ trên trang này đều xử lý tệp cục bộ trong trình duyệt của bạn, không tải lên, không sao chép, không lưu giữ. Xem Tuyên bố miễn trừ trách nhiệm và Chính sách bảo mật của chúng tôi để biết chi tiết đầy đủ.

Quy tắc vàng để xác minh lượt tải xuống APK của bên thứ ba

Sideloading là một khả năng hợp pháp và mạnh mẽ của nền tảng Android nhưng nó chuyển trách nhiệm bảo mật từ những người đánh giá của Google sang bạn. Bằng cách sử dụng Cửa hàng Play chính thức cho các ứng dụng trả phí và ứng dụng dành cho người tiêu dùng, hạn chế tải phụ đối với các bản phát hành phần mềm của nhà phát triển bên thứ nhất mà bạn đã có quyền truy cập hợp pháp cũng như xác minh chữ ký và hàm băm của mọi gói trước khi cài đặt, bạn có thể tận hưởng tính linh hoạt đó mà không ảnh hưởng đến bảo mật hoặc vi phạm pháp luật.