ก่อนติดตั้งไฟล์ APK การเทียบแฮช SHA-256 อาจแสดงได้ว่าไฟล์ของคุณตรงกับรุ่นที่คุณมีค่าแฮชที่น่าเชื่อถืออยู่ การตรวจสอบนี้มีประโยชน์ แต่เพียงอย่างเดียวไม่ได้พิสูจน์ว่าแอปไม่มีช่องโหว่หรือมัลแวร์
การดาวน์โหลดอย่างปลอดภัยมีคำถามแยกกันสามข้อ: ไฟล์มาจากไหน ถูกเปลี่ยนระหว่างทางหรือไม่ และมีหลักฐานอะไรเกี่ยวกับโค้ดภายใน ไม่มีค่าแฮชใดตอบคำถามทั้งสามได้เพียงลำพัง
แฮชของไฟล์ทำอะไร?
SHA-256 สร้างค่าที่มีความยาวคงที่จากเนื้อหาของไฟล์ หากไฟล์เปลี่ยน ก็คาดว่าแฮชจะเปลี่ยนด้วย ดังนั้นการเปรียบเทียบแฮชสองค่าจึงเป็นวิธีที่ใช้ได้จริงในการตรวจว่าไบต์ของไฟล์เหมือนกันหรือไม่
ผลลัพธ์นี้เชื่อถือได้เท่ากับแหล่งอ้างอิงที่ใช้เปรียบเทียบเท่านั้น หากผู้โจมตีเปลี่ยนได้ทั้ง APK และแฮชที่เผยแพร่อยู่ข้างกัน การที่สองค่าตรงกันก็จะไม่เปิดเผยปัญหา แบบจำลองภัยคุกคามของ Livara อธิบายข้อจำกัดนี้ของการตรวจสอบไฟล์เช่นกัน
วิธีตรวจสอบก่อนติดตั้ง
ระบุเวอร์ชันที่ต้องการ เปรียบเทียบชื่อผลิตภัณฑ์ หมายเลขเวอร์ชัน และชนิดแพ็กเกจกับหน้าประกาศเผยแพร่ โดยทั่วไปไฟล์จากสองเวอร์ชันที่ต่างกันจะไม่มีแฮชเดียวกัน
รับค่าแฮชที่คาดหวังจากแหล่งที่เชื่อถือได้ อย่าอาศัยเพียงข้อความจากคนไม่รู้จักที่ส่งไฟล์และแฮชมาพร้อมกัน ตรวจสอบที่อยู่เว็บไซต์ทางการอย่างเป็นอิสระ
คำนวณแฮชของไฟล์ที่ดาวน์โหลด Livara Proof Lab มีเครื่องมือเปรียบเทียบแฮช APK อย่าสับสนว่าเครื่องมือนี้เป็นการทดสอบความปลอดภัยของแอปอย่างครบถ้วน
เปรียบเทียบค่าทั้งหมด ตัวอักษรไม่กี่ตัวแรกหรือตัวท้ายไม่เพียงพอ ตรวจสอบด้วยว่าชื่อเวอร์ชันหรือไฟล์ที่เลือกผิดหรือไม่
หากไม่ตรงกัน ให้หยุดการติดตั้ง ความต่างอาจเกิดจากคนละเวอร์ชัน การดาวน์โหลดไม่ครบ หรือไฟล์ถูกเปลี่ยน แต่ไม่ได้เป็นหลักฐานของมัลแวร์ในตัวมันเอง อย่าติดตั้งจนกว่าจะทราบสาเหตุ และตรวจสอบใหม่ผ่านช่องทางทางการ
คู่มือนี้ไม่ให้ตัวอย่างแฮชที่ระบุว่าเป็น “รุ่นที่ปลอดภัย” เพราะค่าที่ถูกต้องขึ้นอยู่กับไฟล์ที่เผยแพร่แต่ละไฟล์
แฮช ลายเซ็น และการสร้างซ้ำให้ได้ผลเดิมต่างกันอย่างไร?
| การตรวจสอบ | ข้อสรุปที่อาจสนับสนุนได้ | สิ่งที่ไม่ได้พิสูจน์ด้วยตัวมันเอง |
|---|---|---|
| แฮช SHA-256 | ไฟล์ตรงกับแหล่งอ้างอิงที่เปรียบเทียบ | โค้ดปลอดภัยหรือผู้เผยแพร่น่าเชื่อถือ |
| ลายเซ็น APK | ไฟล์ลงนามด้วยกุญแจของผู้ลงนามที่ระบุ และการตรวจลายเซ็นถูกต้อง | ผู้ถือกุญแจจะไม่เผยแพร่โค้ดอันตรายเลย |
| การสร้างซ้ำให้ได้ผลเดิม | สร้างไบต์เดิมได้ด้วยซอร์ส สภาพแวดล้อม และคำสั่งที่กำหนด | ซอร์สไม่มีข้อบกพร่องด้านความปลอดภัย |
| การตรวจสอบความปลอดภัยของโค้ด | พบหรือประเมินปัญหาในขอบเขตและเวอร์ชันที่ตรวจสอบ | ไม่มีข้อบกพร่องที่ยังไม่รู้จักเหลืออยู่ |
เครื่องมือ apksigner ทางการของ Android ใช้ตรวจสอบลายเซ็น APK และข้อมูลใบรับรองได้ การติดตั้งใหม่กับการอัปเดตแอปที่มีอยู่ก็ไม่เหมือนกัน Android จะตรวจสอบความเข้ากันได้ของผู้ลงนามเมื่ออัปเดต ลายเซ็นที่ถูกต้องจากผู้เผยแพร่ที่ไม่รู้จักยังไม่ใช่เหตุผลเพียงพอให้ไว้วางใจ
นิยามของการสร้างซ้ำให้ได้ผลเดิม ก็ต้องอาศัยซอร์สและสภาพแวดล้อมการสร้างที่กำหนด การเทียบแฮชของไฟล์ดาวน์โหลดไม่สามารถแทนกระบวนการนี้ได้
Proof Lab ครอบคลุมอะไรบ้าง?
นอกจากแฮชของไฟล์แล้ว หน้า Proof Lab ยังมีการสาธิตการเข้ารหัสลับในเบราว์เซอร์ การสาธิตการดำเนินการเข้ารหัสที่สำเร็จไม่ใช่การตรวจประเมินแอปที่ติดตั้งอย่างครบถ้วน หรือการเรียกใช้โปรโตคอลของแอปส่งข้อความทั้งหมด เครื่องมือเองก็ต้องทำงานในสภาพแวดล้อมที่เชื่อถือได้ อุปกรณ์หรือหน้าเว็บที่ถูกบุกรุกอาจแสดงผลที่ทำให้เข้าใจผิด
หลังติดตั้ง การอัปเดต สิทธิ์ของแอป และความปลอดภัยของอุปกรณ์ยังสำคัญ การยืนยันไฟล์ในวันนี้ไม่ใช่การยืนยันเวอร์ชันในอนาคตโดยอัตโนมัติ
การเทียบแฮชเป็นการตรวจสอบเฉพาะจุดในห่วงโซ่ความไว้วางใจ คุณค่าของมันเพิ่มขึ้นเมื่อคุณเข้าใจแหล่งเผยแพร่ ผู้ลงนาม และข้อจำกัดของผลลัพธ์ด้วย
