Bir APK dosyasını kurmadan önce SHA-256 özetini karşılaştırmak, dosyanızın güvenilir özetine sahip olduğunuz sürümle aynı olduğunu gösterebilir. Bu kontrol yararlıdır, ancak tek başına uygulamada güvenlik açığı veya kötü amaçlı yazılım bulunmadığını kanıtlamaz.
Güvenli indirme için üç ayrı soru vardır: Dosya nereden geldi, yolda değiştirildi mi ve içindeki kod hakkında hangi kanıtlar var? Tek bir özet değeri bu üç sorunun hepsini kendi başına yanıtlamaz.
Dosya özeti ne yapar?
SHA-256, dosyanın içeriğinden sabit uzunlukta bir değer üretir. Dosya değişirse özetinin de değişmesi beklenir. Bu nedenle iki özeti karşılaştırmak, dosyaların baytlarının aynı olup olmadığını kontrol etmenin pratik bir yoludur.
Sonuç, ancak karşılaştırma referansı kadar güvenilirdir. Saldırgan hem APK’yı hem de yanında yayımlanan özeti değiştirebiliyorsa iki değerin eşleşmesi sorunu ortaya çıkarmaz. Livara’nın tehdit modeli de dosya kontrolünün bu sınırını açıklar.
Kurulumdan önce kontrol yöntemi
İstediğiniz sürümü belirleyin. Ürün adını, sürüm numarasını ve paket türünü yayın sayfasıyla karşılaştırın. İki farklı sürümün dosyaları genellikle aynı özete sahip olmaz.
Beklenen özeti güvenilir bir kaynaktan alın. Dosya ve özeti birlikte gönderen, kaynağı bilinmeyen bir mesajla yetinmeyin. Resmî sitenin adresini bağımsız olarak doğrulayın.
İndirdiğiniz dosyanın özetini hesaplayın. Livara Proof Lab, APK özetlerini karşılaştırma aracı sunar. Bu aracı uygulamanın kapsamlı güvenlik testiyle karıştırmayın.
Değerin tamamını karşılaştırın. İlk veya son birkaç karakter eşleşme için yeterli değildir. Sürüm adında ya da dosya seçiminde hata olup olmadığını da kontrol edin.
Fark varsa kurulumu durdurun. Uyuşmazlık farklı sürümden, eksik indirmeden veya dosyanın değişmesinden kaynaklanabilir; tek başına kötü amaçlı yazılımın kanıtı değildir. Neden netleşene kadar dosyayı kurmayın ve resmî kanaldan yeniden kontrol edin.
Bu rehberde herhangi bir örnek özet “güvenli sürüm” olarak verilmez; doğru değer, belirli yayın dosyasına bağlıdır.
Özet, imza ve yeniden üretilebilir derleme nasıl farklılaşır?
| Kontrol | Destekleyebileceği sonuç | Tek başına kanıtlamadığı sonuç |
|---|---|---|
| SHA-256 özeti | Dosya, karşılaştırma referansıyla aynıdır | Kod güvenlidir veya yayıncı güvenilirdir |
| APK imzası | Dosya belirli bir imzalama anahtarıyla imzalanmıştır ve imza doğrulaması geçerlidir | Anahtar sahibi hiçbir zaman kötü amaçlı kod yayımlamaz |
| Yeniden üretilebilir derleme | Belirli kaynak, ortam ve talimatlarla aynı baytlar üretilebilir | Kaynak kod güvenlik kusuru içermez |
| Kodun güvenlik incelemesi | İncelenen kapsam ve sürümde sorunlar bulunmuş veya değerlendirilmiştir | Bilinmeyen hiçbir kusur kalmamıştır |
Android’in resmî apksigner aracı, APK imzasını ve sertifika bilgilerini kontrol etmek için kullanılır. Yeni kurulum ile mevcut bir uygulamayı güncellemek de aynı değildir: Android güncelleme sırasında imzalayanın uyumluluğunu kontrol eder. Bilinmeyen bir yayıncının geçerli imzası, güvenmek için yeterli neden değildir.
Yeniden üretilebilir derleme tanımı da belirli kaynak kodu ve derleme ortamı gerektirir. İndirilen dosyanın özetini karşılaştırmak bu sürecin yerini almaz.
Proof Lab’in kapsamı nedir?
Proof Lab sayfası, dosya özetinin yanında tarayıcı içinde bir kriptografi gösterimi sunar. Bir kriptografik işlemin başarıyla gösterilmesi, kurulu uygulamanın tam denetimi veya mesajlaşma protokollerinin eksiksiz çalıştırılması değildir. Aracın kendisi de güvenilir bir ortamda çalışmalıdır: ele geçirilmiş bir cihaz veya sayfa yanıltıcı sonuç gösterebilir.
Kurulumdan sonra da güncellemeler, uygulama izinleri ve cihaz güvenliği önemlidir. Bugünkü dosyayı doğrulamak, gelecekteki sürümü otomatik olarak doğrulamaz.
Özet karşılaştırması, güven zincirindeki belirli bir kontroldür; yayın kaynağını, imzalayanı ve sonucun sınırlarını da bildiğinizde değeri artar.
