Jsou soubory APK bezpečné? Zeptali jsme se Huawei a zjistili

Většina z nás si bez přemýšlení stáhne aplikaci z Google Play nebo iOS App Store a je přesvědčena, že obří korporace stojící za obchody nás chrání před digitálním poškozením. Pokud vlastníte nedávný telefon Huawei musíš spolehnout se na AppGallery pro potřeby vaší aplikace, a když aplikace není k dispozici, nasměruje vás na instalaci souboru APK z neoficiálního zdroje.

Jsou však tyto soubory stejně bezpečné a co dělá Huawei, aby se ujistil, že nejste vystaveni riziku malwaru, virů a krádeží dat? Společnost Digital Trends hovořila s Dr. Jaime Gonzalo, viceprezidentem Huawei Mobile Services Europe, a Fernandem Garciou Calvo, ředitelem Huawei Petal Search Europe, aby to zjistili.

Co je to APK?

Než půjdeme mnohem dále, promluvme si o souborech APK. APK znamená „Android Package Kit“ a je to formát souboru používaný k instalaci aplikací na Android. Představte si to trochu jako soubor .exe pro Windows nebo soubor .dmg pro MacOS. Normálně, alespoň pokud používáte Google Play, se nikdy nebudete muset zabývat souborem APK.

Každý, kdo vlastní telefon Android, však může stahovat a instalovat aplikace pomocí souborů APK, což je praxe často označované jako „sideloading.“ Tyto soubory jsou obecně distribuovány prostřednictvím úložišť třetích stran, ačkoli některé společnosti vám také umožňují stahovat oficiální soubory APK přímo. Huawei ztratil přístup do obchodu Google Play v roce 2019 a má od té doby použil svou aplikaci Petal Search tlačit vlastníky směrem k souborům APK, aby aplikace získaly svůj vlastní obchod.

Protože se jedná pouze o formát souboru, neexistují žádné právní problémy se stahováním a instalací souborů APK. Ale toto neodpouští porušení autorských práv nebo porušení podmínek aplikace obsažené v souboru APK soubor.

Dobře - ale je to bezpečné?

Vzhledem k tomu, jak jsou soubory APK distribuovány a instalovány v telefonu, existuje o něco větší šance, že aplikace představuje bezpečnostní riziko, než když používáte oficiální obchod. Na většině telefonů Android se bočním načtením aplikace obejdou ochrany nabízené službou Google Play a je možné, že soubor APK mohl být před instalací do telefonu upraven tak, aby obsahoval malware.

To staví každého, kdo má nedávný telefon Huawei, do obtížné pozice. Proč? Hledání okvětních lístků společnosti Huawei vás zavede do úložišť APK, když hledáte aplikaci, která není dostupná v AppGallery. To se stane, pokud chcete Twitter, Instagram, Netflix, VSCO, Waze, Microsoft Teams, aplikaci Fitbit, Duolingo a mnoho dalších běžných, často používaných aplikací. Petal Search doporučuje soubory APK z webů jako APKPure, APKMonk, AppParks a Uptodown.

Chtěli jsme pochopit, co společnost Huawei dělá, aby vás ochránila před poškozením při používání těchto stránek a souborů APK, které poskytují. Dr. Jaime Gonzalo řekl, že Petal Search se dívá pouze na veřejně dostupné stránky, nikoli na ty skryté před Googlem nebo jinými vyhledávači, a že odkazuje pouze na stránky, které považuje za legitimní. Například web musí být registrovanou společností v Evropě nebo USA, ale Huawei jde nad rámec toho, jak vysvětlil Gonzalo.

Jak Huawei kontroluje stahování souborů APK

„Nejprve se ujistíme, že zdroj je důvěryhodný a denně kontrolujeme všechny výsledky a kontrolujeme bezpečnost a kompatibilitu pro zařízení,“ vysvětlil Gonzalo a uvedl, že společnost Huawei na nejvyšší úrovni usiluje o kontrolu důvěryhodnosti odkazů na web Petal Search na. „Zadruhé, když je aplikace nainstalována, kanál je zašifrován, takže všechny zprávy odeslané mimo proces budou zablokovány. A za třetí, máme antivirový a malwarový proces v reálném čase, což znamená, že při pravidelném používání [stránek APK] budete chráněni.“

Když hledáte aplikace, systém Huawei nejprve upřednostňuje App Gallery. Ale pokud tam aplikace není, bude hledat oficiální zdroje. Pokud není ani v jednom, vyhledávání zahrnuje zdroje třetích stran.

„Podíváme se na popularitu webu a aplikace, abychom posoudili důvěryhodnost, a zajistíme, aby stránka měla k dispozici nejnovější verzi aplikace, protože obvykle obsahuje nejnovější bezpečnostní záplaty. Na konci procesu provedeme interní kontrolu, abychom našli malware.“

To vše se děje před instalací aplikace – co se tedy stane?

„Na samotném zařízení během stahování se kontroluje integrita aplikace, aby nedošlo k dekompilaci nebo paralelní instalaci jiného APK, a je ověřen název aplikace. Další je ochrana před malwarem a virovými hrozbami a poté naše vlastní bezpečnostní ochrana AI. To hlídá, aby aplikace udělala něco neočekávaného, ​​jako je pokus o přístup k něčemu, co by neměla. Pokud to AI zjistí, zablokuje instalaci. Po tom všem, pokud neexistují žádné hrozby, lze aplikaci nainstalovat.“

Gonzalo řekl: "Můžeme říci, že bezpečnostní riziko je nízké," pokud jde o instalaci souborů APK. Fernando Garcia Calvo se k této důvěře přidal a odhalil, že od té doby, co Huawei v roce 2019 ztratil přístup ke Google Play, Pomocí systému Petal Search bylo staženo 830 milionů aplikací a více než polovina z nich nepocházela AppGallery. Během této doby proti němu nebyly vzneseny žádné nároky na autorská práva, nebyly vzneseny žádné stížnosti vývojářů proti systému a žádné oficiální stížnosti uživatelů týkající se malwaru nebo ztráty dat v důsledku viru buď.

Ne všechny soubory APK jsou si rovny

Zdá se, že Huawei určitě dělá hodně pro to, aby vás, váš telefon a vaše osobní data udržel v bezpečí. Nedoporučuje se však stahování souborů APK ve všech případech. Vezměte si jako příklad bankovní aplikace. Calvo řekl, že Huawei vedl rozhovory s bankami na téma aplikací.

„Vyzýváme je [banky], aby nahrávaly aplikace do App Gallery,“ řekl. „Na začátku jsme se zdráhali vůbec zobrazovat soubory APK bankovních aplikací v Petal Search, ale uvědomili jsme si, že je lidé chtějí najít stejně a bez našeho zabezpečení. Z tohoto důvodu odkazy v Petal Search pro bankovní aplikace směřují na webovou verzi bank a ne na APK.“

Huawei nemá žádné komerční vztahy s repozitáři APK, ale Gonzalo řekl, že považuje používání repozitářů APK za „přijaté a bezpečné, s ohledem na dobu, po kterou byly [stránky] v provozu.“ Kontaktovali jsme APKPure, což je jedno z nejlepších doporučení Huawei v Petal Search, aby se k tomu vyjádřilo příběh. Společnost však na naše e-maily nereagovala.

Varování Huawei vykreslují jasný obrázek

Je zřejmé, že společnost Huawei chce, abyste do svého telefonu dostali aplikace, které chcete, a zatímco pracujete, abyste je zachovali jste v bezpečí při používání stránek APK třetích stran, může vám to stále způsobit samotný zážitek z telefonu znepokojení.

„Stahování aplikací z externích zdrojů může vystavit vaše zařízení a osobní data většímu riziku. Klepnutím na Povolit dáváte najevo, že tato rizika přijímáte.“

„Níže uvedené aplikace, včetně propojeného obsahu a stránek, jsou výsledky internetového vyhledávání automaticky generované na základě klíčových slov, která jste zadali. AppGallery zobrazuje pouze tyto výsledky vyhledávání a nenese odpovědnost za jejich obsah.“

To jsou jen dvě z varování, která dostanete, když si stáhnete jakoukoli aplikaci mimo App Gallery, a tím efektivně zbavíte Huawei veškerých zákonných povinností, pokud by se něco pokazilo. Navíc, navzdory slibům, že bude odkazovat na oficiální zdroje před zdroji třetích stran, Petal Search mě stále tlačil k AppParks pro WhatsApp a Facebook před oficiálním zdrojem webu.

Stahovač pozor

Co si o souborech APK myslí lidé, kteří pracují v oblasti zabezpečení nebo vývoje aplikací? asistent profesora Cori Faklaris, který studuje použitelnou bezpečnost na University of North Carolina, řekl Digital Trends ve zprávě na Twitteru, že stahování souborů APK, nebo sideloading obecně, je situace „pozor na stahování“. Ponecháme-li stranou soubory APK z důvěryhodných zdrojů, řekla:

„Pokud si myslíte, že zvládnete infekci malwarem, nebo sami analyzujte aplikaci kvůli bezpečnosti zranitelnosti a mobilní zařízení patří vám a bude používáno pouze v soukromé síti, řekl bych řekni jdi do toho. Ale nestahoval bych soubory APK do telefonů, které se připojují k veřejným sítím nebo institucionálním zabezpečeným sítím, jako jsou podniky nebo školy. Pak neohrožujete jen svá data, ale kohokoli, kdo je potenciálně vystaven hacknutí prostřednictvím vaší telefonní aplikace, která je připojena k síti.“

A co vývojáři? Vývojář aplikací Roscoe Juckett řekl společnosti Digital Trends prostřednictvím zprávy na Twitteru, že i když nemá problém s vydáním aplikace na webech, jako je APKPure, stále má obavy:

„Moje obava je, že si to lidé stáhnou, nakazí a znovu publikují,“ s odkazem na problém následné správy aktualizací, aby se vyléčily problémy mimo oficiální obchod. Možná výmluvně, dodal. „Nasazuji všechny aplikace svého klienta na Google Play, žádná mě nepožádala, abych nasadil jinam.“

I když skandály týkající se úložišť APK nejsou tak běžné, stávají se. V dubnu 2021 Kaspersky pokryl infekce trojských koní ve vlastní mobilní aplikaci APKPure, který pochází ze škodlivého reklamního SDK. I když máte obavy, aplikace stažené z oficiálních zdrojů také obsahoval škodlivou reklamu a další formy malware v minulosti, takže to není problém, který je jedinečný pro úložiště APK.

Bezpečnost není zaručena

Skutečnost, že v aplikacích stažených z Google Play byl nalezen malware, ukazuje, že aplikace obecně, může být bezpečnostním rizikem — bez ohledu na to, odkud jsou staženy. Majitelé telefonů Huawei, kteří stahují soubory APK pro aplikace, jsou pravděpodobně o něco méně chráněni než kdokoli jiný, kdo používá Google Play, ale společnost Huawei se snažila, aby stahování a instalace byly bezpečné. Nemá však žádnou kontrolu nad aplikacemi nebo weby třetích stran a jako jeho varování v Galerie aplikací, společnost nepřebírá žádnou odpovědnost za žádné problémy, které pocházejí z jejich používání aplikace.

Kde vás to opouští? Z toho, že Huawei sdílí své bezpečnostní a bezpečnostní postupy, je jistý klid, ale jeho varování v Galerii aplikací a Petal Search zdůrazňují, že jste zde do značné míry sami. Pokud se obáváte, možná byste měli použít zacházení Huawei s bankovními aplikacemi jako barometr. Pokud považujete informace uložené nebo vložené do aplikace za citlivé nebo je používáte k práci, pak použití verze pocházející z neoficiálního úložiště nemusí být vhodné.

Doporučení redakce

• Skládací véčková skořepina Huawei vypadá spíše jako vysoce módní záležitost
• O šest měsíců později Huawei App Gallery stále nemůže používat Google Play
• Překlopení rovnováhy: Příběh odvážného mobilního ekosystému společnosti Huawei bez použití Googlu
• Mate Xs od Huawei vás žádá, abyste opustili Google. Stojí to za to?
• Jak Huawei buduje smartphone po Googlu