Les fichiers APK sont-ils sûrs? Nous avons demandé à Huawei et découvert

La plupart d’entre nous téléchargeront une application depuis Google Play ou l’App Store iOS sans hésiter, convaincus que les sociétés géantes derrière les magasins nous protègent des dommages numériques. Si vous possédez un téléphone Huawei récent vous devez faites confiance à l'AppGallery pour les besoins de votre application, et lorsqu'une application n'est pas disponible, cela vous oriente vers l'installation d'un fichier APK à partir d'une source non officielle.

Mais ces fichiers sont-ils tout aussi sûrs, et que fait Huawei pour s'assurer que vous ne soyez pas exposé à des logiciels malveillants, des virus et au vol de données? Digital Trends s'est entretenu avec le Dr Jaime Gonzalo, vice-président de Huawei Mobile Services Europe, et avec Fernando Garcia Calvo, directeur de Huawei Petal Search Europe, pour le savoir.

Qu’est-ce qu’un APK ?

Avant d’aller plus loin, parlons des fichiers APK. APK signifie « Android Package Kit » et c'est le format de fichier utilisé pour installer des applications sur Android. Considérez-le comme étant un peu comme un fichier .exe pour Windows ou un fichier .dmg pour MacOS. Normalement, du moins si vous utilisez Google Play, vous n’aurez jamais à gérer un fichier APK.

Cependant, toute personne possédant un téléphone Android peut télécharger et installer des applications à l'aide de fichiers APK, une pratique souvent appelé « chargement latéral ».» Ces fichiers sont généralement distribués via des référentiels tiers, bien que certaines sociétés vous permettent également de télécharger directement les fichiers APK officiels. Huawei a perdu l'accès au Google Play Store en 2019 et depuis a utilisé son application Petal Search pour pousser les propriétaires vers les fichiers APK pour obtenir les applications qui manquent à leur propre magasin.

Comme il s’agit simplement d’un format de fichier, le téléchargement et l’installation d’APK ne posent aucun problème juridique. Mais ça ne pardonne pas les violations du droit d'auteur ni la violation des termes et conditions de l'application contenues dans l'APK déposer.

OK, mais est-ce sûr ?

En raison de la manière dont les fichiers APK sont distribués et installés sur un téléphone, il y a un peu plus de chances que l'application présente un risque de sécurité que lorsque vous utilisez une boutique officielle. Sur la plupart des téléphones Android, le chargement latéral d'une application contourne les protections offertes par Google Play, et il est possible qu'un APK ait été modifié pour inclure un logiciel malveillant avant son installation sur votre téléphone.

Cela met toute personne possédant un téléphone Huawei récent dans une position difficile. Pourquoi? Petal Search de Huawei vous mènera aux référentiels APK lorsque vous recherchez une application non disponible dans l'AppGallery. Cela se produit si vous souhaitez Twitter, Instagram, Netflix, VSCO, Waze, Microsoft Teams, l'application Fitbit, Duolingo et de nombreuses autres applications courantes et souvent utilisées. Petal Search recommande les fichiers APK provenant de sites comme APKPure, APKMonk, AppParks et Uptodown.

Nous voulions comprendre ce que fait Huawei pour vous protéger contre tout préjudice lors de l'utilisation de ces sites et des APK qu'ils fournissent. Le Dr Jaime Gonzalo a déclaré que Petal Search examine uniquement les sites accessibles au public, pas ceux cachés de Google ou d'autres moteurs de recherche, et qu'il référence uniquement les sites qu'il considère comme légitimes. Par exemple, le site doit être une société enregistrée en Europe ou aux États-Unis. Mais Huawei va plus loin, comme l'a expliqué Gonzalo.

Comment Huawei scrute les téléchargements d’APK

"Tout d'abord, nous nous assurons que la source est digne de confiance et effectuons une vérification quotidienne de tous les résultats, ainsi que la sécurité et la compatibilité. pour l'appareil », a expliqué Gonzalo, soulignant les efforts de haut niveau de Huawei pour vérifier la crédibilité des liens du site Petal Search. à. « Deuxièmement, lorsque l'application est installée, la chaîne est cryptée, donc tous les messages envoyés en dehors du processus seront bloqués. Et troisièmement, nous disposons d’un processus antivirus et anti-malware en temps réel, ce qui signifie que lors d’une utilisation régulière [des sites APK], vous serez protégé.

Lorsque vous recherchez des applications, le système de Huawei donne d'abord la priorité à la galerie d'applications. Mais si l’application n’est pas là, elle recherchera des sources officielles. Si ce n’est pas le cas, la recherche inclut des sources tierces.

« Nous examinons la popularité du site et de l’application pour évaluer leur crédibilité, et nous nous assurons que la page dispose de la dernière version de l’application disponible, car celle-ci contient généralement les derniers correctifs de sécurité. À la fin du processus, nous effectuons une vérification interne pour rechercher des logiciels malveillants.

Tout cela se produit avant l’installation de l’application – alors que se passe-t-il ?

« Sur l'appareil lui-même, lors du téléchargement, l'intégrité de l'application est vérifiée afin qu'elle ne décompile pas ou n'installe pas un autre APK en parallèle, et le nom de l'application est vérifié. Vient ensuite la protection contre les logiciels malveillants et les menaces virales, puis notre propre protection de sécurité IA. Cela surveille l'application pour faire quelque chose d'inattendu, comme essayer d'accéder à quelque chose qu'elle ne devrait pas. Si l'IA le détecte, elle bloquera l'installation. Après tout cela, s’il n’y a aucune menace, l’application peut être installée.

Gonzalo a déclaré: « Nous pouvons dire que le risque de sécurité est faible » concernant l'installation des fichiers APK. Fernando Garcia Calvo a ajouté à cette confiance, révélant que depuis que Huawei a perdu l'accès à Google Play en 2019, 830 millions d’applications ont été téléchargées à l’aide du système Petal Search et plus de la moitié ne provenaient pas du système Petal Search. Galerie d'applications. Pendant cette période, aucune réclamation relative aux droits d'auteur n'a été déposée à son encontre, aucune plainte de développeur n'a été déposée. contre le système, et aucune plainte officielle d'utilisateur concernant un logiciel malveillant ou une perte de données due à un virus soit.

Tous les APK ne sont pas créés égaux

Huawei semble certainement faire beaucoup pour assurer votre sécurité, celle de votre téléphone et celle de vos données personnelles. Mais il ne recommande pas de télécharger les fichiers APK dans tous les cas. Prenons l'exemple des applications bancaires. Calvo a déclaré que Huawei avait eu des conversations avec des banques au sujet des applications.

« Nous les encourageons [les banques] à télécharger des applications sur App Gallery », a-t-il déclaré. « Au début, nous étions réticents à afficher les APK des applications bancaires dans Petal Search, mais nous avons réalisé que les gens voulaient les trouver quand même et sans notre sécurité. Pour cette raison, les liens de Petal Search vers les applications bancaires renvoient vers la version Web des banques et non vers un APK.

Huawei n'a aucune relation commerciale avec les référentiels APK, mais Gonzalo a déclaré qu'il considérait l'utilisation des référentiels APK comme « acceptée et sûre, compte tenu la durée depuis laquelle [les sites] sont opérationnels. Nous avons contacté APKPure, qui est l'une des principales recommandations de Huawei dans Petal Search, pour commenter ce sujet. histoire. Cependant, l'entreprise n'a pas répondu à nos e-mails.

Les avertissements de Huawei dressent un tableau clair

De toute évidence, Huawei souhaite que vous obteniez les applications que vous souhaitez sur votre téléphone et, pendant qu'il s'efforce de conserver vous êtes en sécurité lorsque vous utilisez des sites APK tiers, l'expérience sur le téléphone lui-même peut toujours vous causer préoccupation.

« Le téléchargement d'applications à partir de sources externes peut exposer vos appareils et vos données personnelles à un risque accru. En touchant Autoriser, vous indiquez que vous acceptez ces risques.

« Les applications répertoriées ci-dessous, y compris le contenu et les pages liés, sont des résultats de recherche Internet générés automatiquement en fonction des mots-clés que vous avez saisis. AppGallery affiche uniquement ces résultats de recherche et n'est pas responsable de leur contenu.

Ce ne sont là que deux des avertissements que vous recevez lorsque vous téléchargez une application autre qu'App Gallery, supprimant ainsi Huawei de toute obligation légale en cas de problème. De plus, malgré les promesses qu'il serait lié aux sources officielles avant les sources tierces, Petal Search m'a quand même poussé vers AppParks pour WhatsApp et Facebook avant la source du site officiel.

Attention au téléchargeur

Que pensent les personnes travaillant dans le domaine de la sécurité ou du développement d’applications des fichiers APK? Professeur adjoint Cori Faklaris, qui étudie la sécurité utilisable à l'Université de Caroline du Nord, a déclaré à Digital Trends dans un message Twitter que le téléchargement de fichiers APK, ou le chargement latéral en général, est une situation de « méfiance du téléchargeur ». Laissant de côté les fichiers APK provenant de sources fiables, elle a déclaré :

"Si vous pensez pouvoir gérer une infection par un logiciel malveillant ou analyser vous-même l'application pour des raisons de sécurité vulnérabilités, et l'appareil mobile vous appartient et ne sera utilisé que sur un réseau privé, je le ferais dites allez-y. Mais je ne téléchargerais pas d’APK sur des téléphones connectés à des réseaux publics ou à des réseaux institutionnels sécurisés comme des entreprises ou des écoles. Vous ne mettez alors pas seulement vos données en danger, mais également celles de toute personne potentiellement exposée à un piratage via la connexion de votre application téléphonique au réseau.

Et les développeurs? Développeur d'applications Roscoe Juckett a déclaré à Digital Trends via un message Twitter que même s'il n'a aucun problème à publier une application sur des sites comme APKPure, il a toujours des inquiétudes :

« Ce qui m'inquiète, c'est que les gens vont le télécharger, l'infecter et le republier », faisant référence au problème de la gestion des mises à jour pour résoudre les problèmes en dehors d'une boutique officielle. Peut-être révélateur, a-t-il ajouté. "Je déploie toutes les applications de mes clients sur Google Play, aucune ne m'a demandé de les déployer ailleurs."

Bien que les scandales concernant les référentiels APK ne soient pas si courants, ils surviennent. En avril 2021, Kaspersky a couvert une infection par un cheval de Troie dans la propre application mobile d'APKPure, provenant d'un SDK publicitaire malveillant. Bien qu'inquiétantes, les applications téléchargées à partir de sources officielles ont également contenait de la publicité malveillante et d'autres formes de malware dans le passé, ce n’est donc pas un problème propre à un référentiel APK.

Sécurité non assurée

Le fait que des logiciels malveillants aient été détectés dans des applications téléchargées depuis Google Play montre que les applications, en général, peut être des risques pour la sécurité - quel que soit l'endroit à partir duquel ils sont téléchargés. Les propriétaires de téléphones Huawei qui téléchargent des fichiers APK pour des applications sont sans doute un peu moins protégés que quiconque utilise Google Play, mais Huawei s'est efforcé de sécuriser le téléchargement et l'installation. Cependant, il n’a aucun contrôle sur les applications ou les sites tiers et, comme ses avertissements dans le App Gallery, la société n'assume aucune responsabilité pour les problèmes liés à leur utilisation. applications.

Où est-ce que cela vous mène? Huawei apporte une certaine tranquillité d'esprit en partageant ses pratiques de sécurité et de sûreté, mais ses avertissements dans la galerie d'applications et Petal Search soulignent que vous êtes tout à fait seul ici. Si vous êtes inquiet, vous devriez peut-être utiliser le traitement réservé par Huawei aux applications bancaires comme baromètre. Si vous considérez les informations stockées ou saisies dans une application comme sensibles ou si vous les utilisez à des fins professionnelles, l'utilisation d'une version provenant d'un référentiel non officiel n'est peut-être pas recommandée.

Recommandations des rédacteurs

• Le clapet pliable de Huawei ressemble plus à un gadget de haute couture
• Six mois plus tard, la Huawei App Gallery ne parvient toujours pas à affronter Google Play
• Faire pencher la balance: l'histoire de l'écosystème mobile audacieux et sans Google de Huawei
• Le Mate Xs de Huawei vous demande d'abandonner Google. Est-ce que ça vaut le coup?
• Comment Huawei construit un smartphone post-Google