APK फ़ाइल इंस्टॉल करने से पहले SHA-256 हैश का मिलान यह दिखा सकता है कि आपकी फ़ाइल उस संस्करण के समान है जिसका विश्वसनीय हैश आपके पास है। यह उपयोगी जाँच है, लेकिन अपने-आप यह साबित नहीं करती कि ऐप में कोई कमजोरी या मैलवेयर नहीं है।
सुरक्षित डाउनलोड के लिए तीन अलग प्रश्न हैं: फ़ाइल कहाँ से आई, रास्ते में बदली या नहीं, और उसके अंदर के कोड के बारे में क्या प्रमाण हैं? कोई हैश मान अकेले इन तीनों का उत्तर नहीं देता।
फ़ाइल का हैश क्या करता है?
SHA-256 फ़ाइल की सामग्री से निश्चित लंबाई का मान बनाता है। फ़ाइल बदलने पर उसका हैश भी बदलने की अपेक्षा होती है। इसलिए दो हैश की तुलना फ़ाइल के बाइट समान होने की जाँच का व्यावहारिक तरीका है।
यह परिणाम उतना ही भरोसेमंद है जितना तुलना का संदर्भ। यदि हमलावर APK और उसके साथ प्रकाशित हैश, दोनों बदल सके, तो दोनों मानों का मिलना समस्या उजागर नहीं करेगा। Livara का थ्रेट मॉडल भी फ़ाइल जाँच की यह सीमा समझाता है।
इंस्टॉल करने से पहले जाँच का तरीका
वांछित संस्करण तय करें। उत्पाद का नाम, संस्करण संख्या और पैकेज का प्रकार रिलीज़ पेज से मिलाएँ। दो अलग संस्करणों की फ़ाइलों का हैश आम तौर पर समान नहीं होता।
अपेक्षित हैश विश्वसनीय संदर्भ से लें। किसी अनजान संदेश पर निर्भर न रहें जो फ़ाइल और हैश साथ भेजता हो। आधिकारिक साइट का पता स्वतंत्र रूप से जाँचें।
डाउनलोड की गई फ़ाइल का हैश निकालें। Livara Proof Lab APK हैश की तुलना का उपकरण देता है। इसे ऐप की संपूर्ण सुरक्षा जाँच न समझें।
पूरा मान मिलाएँ। शुरुआत या अंत के कुछ अक्षर पर्याप्त नहीं हैं। संस्करण के नाम या फ़ाइल चुनने में गलती भी जाँचें।
अंतर होने पर इंस्टॉल करना रोक दें। अंतर अलग संस्करण, अधूरे डाउनलोड या फ़ाइल में बदलाव के कारण हो सकता है; यह अकेले मैलवेयर का प्रमाण नहीं है। कारण स्पष्ट होने तक फ़ाइल इंस्टॉल न करें और आधिकारिक रास्ते से फिर जाँचें।
इस मार्गदर्शिका में किसी नमूना हैश को “सुरक्षित संस्करण” के रूप में नहीं दिया गया है, क्योंकि सही मान किसी विशिष्ट रिलीज़ फ़ाइल पर निर्भर करता है।
हैश, हस्ताक्षर और पुनरुत्पादनीय बिल्ड में क्या अंतर है?
| जाँच | जिस निष्कर्ष का समर्थन कर सकती है | जो अपने-आप साबित नहीं करती |
|---|---|---|
| SHA-256 हैश | फ़ाइल तुलना के संदर्भ के समान है | कोड सुरक्षित है या प्रकाशक भरोसेमंद है |
| APK हस्ताक्षर | फ़ाइल पर विशिष्ट हस्ताक्षरकर्ता की कुंजी से हस्ताक्षर हैं और हस्ताक्षर सत्यापन मान्य है | कुंजी का धारक कभी दुर्भावनापूर्ण कोड प्रकाशित नहीं करेगा |
| पुनरुत्पादनीय बिल्ड | निर्धारित स्रोत, परिवेश और निर्देशों से वही बाइट बनाए जा सकते हैं | स्रोत में सुरक्षा दोष नहीं हैं |
| कोड की सुरक्षा समीक्षा | जाँचे गए दायरे और संस्करण में समस्याएँ खोजी या आँकी गई हैं | कोई अज्ञात दोष बाकी नहीं है |
Android का आधिकारिक apksigner उपकरण APK हस्ताक्षर और प्रमाणपत्र की जानकारी जाँचने के काम आता है। नया इंस्टॉलेशन और पहले से मौजूद ऐप का अपडेट भी एक जैसे नहीं हैं; अपडेट में Android हस्ताक्षरकर्ता की संगतता जाँचता है। अनजान प्रकाशक का मान्य हस्ताक्षर भरोसा करने का पर्याप्त कारण नहीं है।
पुनरुत्पादनीय बिल्ड की परिभाषा के लिए भी निर्धारित स्रोत और बिल्ड परिवेश आवश्यक हैं। डाउनलोड का हैश मिलाना इस प्रक्रिया की जगह नहीं लेता।
Proof Lab का दायरा क्या है?
Proof Lab पेज पर फ़ाइल हैश के अलावा ब्राउज़र में क्रिप्टोग्राफ़ी का प्रदर्शन भी है। किसी क्रिप्टोग्राफ़िक क्रिया का सफल प्रदर्शन, इंस्टॉल किए गए ऐप का पूरा ऑडिट या मैसेंजर के प्रोटोकॉल का पूर्ण निष्पादन नहीं है। उपकरण भी विश्वसनीय परिवेश में चलना चाहिए; संक्रमित डिवाइस या पेज भ्रामक परिणाम दिखा सकता है।
इंस्टॉल करने के बाद भी अपडेट, ऐप की अनुमतियाँ और डिवाइस की सुरक्षा महत्वपूर्ण हैं। आज की फ़ाइल का सत्यापन भविष्य के संस्करण का स्वतः सत्यापन नहीं है।
हैश मिलान विश्वास की शृंखला में एक विशिष्ट जाँच है; उसका मूल्य तब बढ़ता है जब आप रिलीज़ के संदर्भ, हस्ताक्षरकर्ता और परिणाम की सीमाएँ भी जानते हों।
