Как узнать, безопасно ли приложение с боковой загрузкой?

19

Как мы можем быть уверены, что APK-приложение, которое мы загружаем с веб-сайта, безопасно установить на нашем телефоне Android?

Есть ли способ узнать, что загруженный файл безопасен? Есть ли приложение или служба, которая сканирует файл APK и говорит This file is safe to install.

security side-loading HTTP
источник
1
Если в официальных магазинах поддерживается платное / рекламное приложение, а загружаемая вами версия бесплатна и бесплатна, это небезопасно.
Дэн Нили

Ответы:

15

Трудно знать, безопасен ли APK или нет. Лучше всего загружать из надежных или авторитетных источников (таких как Google Play, Amazon и т. Д.).

Некоторые (доверенные) разработчики также предоставляют MD5 (или другой алгоритм дайджеста сообщений) своих APK. После загрузки APK вы проверяете, имеет ли APK такой же хэш. Если это так, то можно с уверенностью сказать, что это не было подделано.

Вы также можете проверить разрешения, требуемые APK / приложением, и использовать здравый смысл (или ваше собственное суждение / инстинкт), чтобы определить, безопасна ли установка или нет.

BOTTOMLINE: всегда устанавливайте из надежных источников. Держитесь подальше от пиратских APK; возможно, у них может быть вредоносное ПО.

geffchang
источник
Есть ли какое-либо приложение, которое может определить, есть ли в этом приложении вредоносная программа?
HTTP,
@ Несмар Понятия не имею, но вы всегда можете попробовать антивирус в Google Play.
Geffchang
Честно говоря, я не уверен в любом антивирусе в Android, потому что они не работают, если вы не нажимаете на них, я имею в виду ex на рабочем столе компьютера, если вы устанавливаете антивирус при загрузке, они уже работают в фоновом режиме и отслеживают ваши файлы , Я не знаю, можете ли вы сделать это и в мобильном телефоне.
HTTP,
@ Несмар Я думаю, что некоторые антивирусы могут работать как сервис. Такие приложения, как Screebl и Ad Block Plus, запускаются при загрузке телефона.
Geffchang
5
+1 за чистую прибыль в одиночку! При загрузке из неизвестных источников нет простого способа судить. Даже с MD5: если оба файла (APK и MD5) находятся на одном сервере, кто скажет вам, что они не были заменены?
Иззи
9

Google ввел опцию Проверять приложения ( запрещать или предупреждать перед установкой приложений, которые могут нанести вред ) для приложений с боковой загрузкой, когда включены неизвестные источники (обе настройки доступны в Настройки -> Безопасность -> Администрирование устройства ).

Вы также можете использовать онлайн-сканер вирусов, такой как Virus Total, чтобы проверить загруженный файл .apk.

Но это относится ко всем службам сканеров: они не уверены на 100% и, вероятно, обнаруживают только известные вредоносные приложения. Пользовательские вредоносные программы, вероятно, останутся незамеченными. Также очень новые вредоносные приложения могут проскользнуть, пока через некоторое время их не обнаружат.

CE4
источник
1
Было обнаружено, что сканеры вредоносных программ легко обходятся (просто сделайте небольшой поиск в Google ), поэтому я бы не стал доверять им дальше, как я вижу сам. Это включает в себя приложения Google Verify .
Иззи
Конечно. Однако старые вредоносные программы регулярно обнаруживаются. Ни один сканер вредоносных программ не обеспечивает 100% безопасности, вы даже можете получить вредоносные приложения в официальном магазине игр (и магазин Apple не является исключением). Эти сканеры действительно повышают вашу безопасность, если вам требуется боковая загрузка. Это как новый сканер отпечатков пальцев от Apple: уже обойден, но гораздо лучше, чем вообще отсутствие блокировки булавками (~ 40% владельцев не имеют пин-блокировки по соображениям удобства).
ce4
Я согласен. Моя вина в том, что я не проясню свою точку зрения: никогда не полагайтесь на них так, как «Ничего не может случиться, у меня есть антивирус». Если вы видите их, но часть головоломки (вместо всего изображения), они могут быть полезны.
Иззи
7

Если вы загружаете .apkфайлы из неизвестных / ненадежных источников, нет простого способа судить. Большинство решений «Анти-Независимо» (антивирус, анти-вредоносное ПО и т. Д.) Управляются только «записями базы данных» (т. Е. Имеют базу данных известных вредоносных программ и проверяют, совпадает ли имя пакета) или проверяют только запрошенные разрешения ( а не то, отправляет ли, например, приложение SMS только те SMS, которые вы хотите). Я никогда не слышал о "настоящем" эвристическом сканере, анализирующем поведение приложения.

Хотя теоретически возможно, что «сканер» также проверяет своего рода контрольную сумму (как упомянутый MD5), это может работать только с «доверенной базой», такой как, например, Playstore. Для приложений, недоступных там, он потерпит неудачу (не с чем сравнивать). И даже для приложений, доступных там, нужно будет сверять с той же версией. Такое решение вряд ли практично.

Поэтому, хотя мои аргументы могут отличаться, моя нижняя строка почти такая же, как у geff: установка только из надежных источников. Хотя ничто не является на 100% безопасным, это создает наименьшие возможные риски. Самый высокий риск связан с пиратским контентом, так как в него могут быть введены «плохие вещи».

Иззи
источник
Одним из способов оценки является сравнение сертификата с известными хорошими издателями (т. Е. Если вам нужна последняя версия Google Ingress apk, просто сравните, подписан ли он тем же сертификатом, что и уже установленный). Вы можете обновить уже установленные приложения (из магазина Play) с боковой загрузкой, если сертификат тот же. Это будет безопасный вариант (если это применимо).
ce4
Будет ли он автоматически сравнивать сертификат, если вы обновляете приложение через боковую загрузку, или вам нужно что-то сделать, чтобы убедиться, что сертификат такой же? Если так, как бы вы это проверили?
LeBleu
1
@LeBleu, если приложение уже установлено на вашем устройстве, да. Затем новый .apkдолжен быть подписан с использованием того же самого «ключа», который использовался установленный, иначе обновление завершится неудачно.
Иззи
5

Вы можете загрузить пакет в мобильную песочницу и посмотреть, что он делает. Песочницы запустят двоичный файл, и вы увидите результаты выполнения. Это также будет работать для некоторых ранее неизвестных вредоносных программ, так как они не должны быть ранее в какой-либо базе данных. Примерами песочниц являются MobileSandbox , CopperDroid , SandDroid , TraceDroid , Joe Sabdox Mobile , ForSafe и другие.

Как всегда, нет 100% безопасности, но опять же, нет полной безопасности при загрузке из магазина Play, либо ...

Virustotal, о котором упоминалось выше, недавно начал запускать некоторые образцы в «песочнице», и, конечно, это всегда хорошая ставка, поскольку он проверяет количество уже известных вредоносных программ. AndroTotal - это сервис, аналогичный Virustotal, но специально для Android.

domenukk
источник
0

Я использую Lookout Security, он сканирует каждое приложение, которое вы устанавливаете, и вы также можете сканировать APK

ThaSaleni
источник
1
Сканирует их для чего? Это фактически делает эвристический анализ или некоторый другой надежный анализ, или это просто выполняет проверку базы данных для имени APK или MD5?
13
0

Теперь дни не так сложно найти безопасные файлы Apk. Но вы должны быть осторожны при выборе исходных сайтов. Я лично рекомендую ApkLink.com . Во-вторых, после загрузки любого apk из любого места, я предлагаю вам сканировать через VirusTotal (чтобы убедиться, что загруженное приложение является безопасным и надежным).

Яхья
источник
0

Разрешения приложений действительно обеспечивают определенный уровень безопасности. Всегда можно проверить наличие разрешений при установке apk.

Когда приложение не нуждается в разрешении root или любом другом разрешении, его обычно можно считать безопасным. Существует очень мало приложений, которые могут делать без разрешений. Но он может обмануть пользователя, чтобы отобразить вредоносную ссылку и перенаправить пользователя на какой-нибудь вредоносный сайт, чтобы установить что-то еще или некоторые фишинговые сайты. Если такое приложение даже не использует интернет, то его можно считать безопасным.

С повышением уровня разрешений приложение может стать более небезопасным. Он может похищать личные данные, такие как контакты, сообщения, журналы вызовов или любой файл в вашем хранилище и т. Д. Конечно, это только возможность, не каждое приложение является вредоносным.

Бхарат Г
источник