Przed zainstalowaniem pliku APK porównanie skrótu SHA-256 może wykazać, że Twój plik jest identyczny z wersją, której wiarygodny skrót posiadasz. To przydatna kontrola, ale sama nie dowodzi, że aplikacja nie ma luk ani złośliwego oprogramowania.
Bezpieczne pobieranie obejmuje trzy odrębne pytania: skąd pochodzi plik, czy został zmieniony po drodze i jakie dowody dotyczą zawartego w nim kodu? Żadna wartość skrótu sama nie odpowiada na wszystkie trzy.
Co robi skrót pliku?
SHA-256 tworzy z zawartości pliku wartość o stałej długości. Jeśli plik się zmieni, oczekuje się również zmiany jego skrótu. Porównanie dwóch skrótów jest więc praktycznym sposobem sprawdzenia identyczności bajtów plików.
Wynik jest wiarygodny tylko w takim stopniu jak wzorzec porównania. Jeśli atakujący może podmienić zarówno APK, jak i podany obok skrót, zgodność obu wartości nie ujawni problemu. Model zagrożeń Livara również opisuje to ograniczenie sprawdzania plików.
Jak sprawdzić plik przed instalacją
Ustal właściwą wersję. Porównaj nazwę produktu, numer wersji i rodzaj pakietu ze stroną wydania. Pliki dwóch różnych wersji zwykle nie mają tego samego skrótu.
Pobierz oczekiwany skrót z wiarygodnego źródła. Nie poprzestawaj na wiadomości od nieznanej osoby zawierającej jednocześnie plik i skrót. Niezależnie sprawdź adres oficjalnej witryny.
Oblicz skrót pobranego pliku. Proof Lab Livara udostępnia narzędzie do porównywania skrótów APK. Nie myl go z pełnym testem bezpieczeństwa aplikacji.
Porównaj całą wartość. Kilka pierwszych lub ostatnich znaków nie wystarcza. Sprawdź też, czy nie pomylono nazwy wersji albo wybranego pliku.
W razie różnicy wstrzymaj instalację. Niezgodność może wynikać z innej wersji, niepełnego pobrania lub zmiany pliku; sama nie dowodzi obecności złośliwego oprogramowania. Nie instaluj pliku, dopóki przyczyna nie będzie jasna, i sprawdź go ponownie oficjalną drogą.
W tym poradniku nie podajemy przykładowego skrótu jako „bezpiecznej wersji”, ponieważ prawidłowa wartość zależy od konkretnego pliku wydania.
Czym różnią się skrót, podpis i odtwarzalna kompilacja?
| Kontrola | Jaki wniosek może wspierać? | Czego sama nie dowodzi? |
|---|---|---|
| Skrót SHA-256 | Plik jest identyczny ze wzorcem porównania | Kod jest bezpieczny lub wydawca godny zaufania |
| Podpis APK | Plik podpisano określonym kluczem, a weryfikacja podpisu jest poprawna | Posiadacz klucza nigdy nie opublikuje złośliwego kodu |
| Odtwarzalna kompilacja | Przy określonym kodzie źródłowym, środowisku i instrukcjach można uzyskać te same bajty | Kod źródłowy nie ma luk bezpieczeństwa |
| Przegląd bezpieczeństwa kodu | W badanym zakresie i wersji wykryto lub oceniono problemy | Nie pozostały żadne nieznane luki |
Oficjalne narzędzie Androida apksigner służy do sprawdzania podpisów APK i informacji o certyfikatach. Nowa instalacja różni się też od aktualizacji istniejącej aplikacji: przy aktualizacji Android sprawdza zgodność podpisującego. Poprawny podpis nieznanego wydawcy nie jest wystarczającym powodem do zaufania.
Definicja odtwarzalnej kompilacji również wymaga określonego kodu źródłowego i środowiska kompilacji. Porównanie skrótu pobranego pliku nie zastępuje tego procesu.
Jaki jest zakres Proof Lab?
Oprócz skrótu pliku strona Proof Lab oferuje demonstrację kryptografii w przeglądarce. Udana demonstracja operacji kryptograficznej nie jest pełnym audytem zainstalowanej aplikacji ani pełnym wykonaniem protokołów komunikatora. Samo narzędzie również musi działać w zaufanym środowisku: zainfekowane urządzenie lub strona mogą pokazać mylący wynik.
Po instalacji nadal istotne są aktualizacje, uprawnienia aplikacji i bezpieczeństwo urządzenia. Sprawdzenie dzisiejszego pliku nie oznacza automatycznego sprawdzenia przyszłej wersji.
Porównanie skrótu to jedna konkretna kontrola w łańcuchu zaufania; zyskuje na wartości, gdy znasz również źródło wydania, podpisującego i ograniczenia wyniku.
