Jesu li APK datoteke sigurne? Pitali smo Huawei i saznali

Većina nas će bez razmišljanja preuzeti aplikaciju s Google Playa ili iOS App Storea, uvjereni da nas divovske korporacije koje stoje iza trgovina štite od digitalne štete. Ako posjedujete nedavni Huawei telefon ti moraš oslonite se na AppGallery za potrebe vaše aplikacije, a kada aplikacija nije dostupna, upućuje vas na instaliranje APK datoteke iz neslužbenog izvora.

No jesu li ove datoteke jednako sigurne i što Huawei radi kako bi osigurao da niste izloženi opasnosti od zlonamjernog softvera, virusa i krađe podataka? Digital Trends je razgovarao s dr. Jaimeom Gonzalom, potpredsjednikom Huawei Mobile Services Europe, i Fernandom Garciom Calvom, direktorom Huawei Petal Search Europe, kako bi saznali.

Što je APK?

Prije nego što odemo dalje, razgovarajmo o APK datotekama. APK je kratica za "Android Package Kit" i to je format datoteke koji se koristi za instaliranje aplikacija na Androidu. Zamislite to kao nešto poput .exe datoteke za Windows ili .dmg datoteke za MacOS. Obično, barem ako koristite Google Play, nikada nećete imati posla s APK datotekom.

Međutim, svatko tko posjeduje Android telefon može preuzeti i instalirati aplikacije pomoću APK datoteka, što je praksa često se naziva “sideloading”..” Te se datoteke općenito distribuiraju putem repozitorija trećih strana, iako vam neke tvrtke također omogućuju izravno preuzimanje službenih APK datoteka. Huawei je izgubio pristup Google Play trgovini 2019 i od tada upotrijebio svoju aplikaciju Petal Search gurnuti vlasnike prema APK datotekama kako bi dobili aplikacije koje nedostaju u vlastitoj trgovini.

Budući da je to jednostavno format datoteke, nema pravnih problema s preuzimanjem i instaliranjem APK-ova. Ali ovo ne oprašta kršenje autorskih prava ili kršenje odredbi i uvjeta aplikacije sadržane u APK-u datoteka.

OK — ali je li sigurno?

Zbog načina na koji se APK datoteke distribuiraju i instaliraju na telefon, postoji nešto veća vjerojatnost da aplikacija predstavlja sigurnosni rizik nego kada koristite službenu trgovinu. Na većini Android telefona bočnim učitavanjem aplikacije zaobilaze se zaštite koje nudi Google Play i moguće je da je APK modificiran tako da sadrži zlonamjerni softver prije instalacije na vašem telefonu.

Ovo svakoga tko ima noviji Huawei telefon stavlja u težak položaj. Zašto? Huawei Petal Search odvest će vas do APK repozitorija kada tražite aplikaciju koja nije dostupna u AppGallery. To se događa ako želite Twitter, Instagram, Netflix, VSCO, Waze, Microsoft Teams, Fitbitovu aplikaciju, Duolingo i mnoge druge uobičajene, često korištene aplikacije. Petal Search preporučuje APK datoteke sa stranica kao što su APKPure, APKMonk, AppParks i Uptodown.

Željeli smo razumjeti što Huawei radi kako bi vas zaštitio od štete prilikom korištenja ovih stranica i APK-ova koje oni pružaju. Dr. Jaime Gonzalo rekao je da Petal Search gleda samo javno dostupne stranice, a ne one skrivene od Googlea ili drugih tražilica, te da navodi samo stranice koje smatra legitimnim. Na primjer, stranica mora biti registrirana tvrtka u Europi ili SAD-u, ali Huawei ide dalje od toga, kao što je objasnio Gonzalo.

Kako Huawei pomno ispituje preuzimanja APK-a

“Prvo, osiguravamo pouzdanost izvora i svakodnevno provjeravamo sve rezultate te provjeravamo sigurnost i kompatibilnost za uređaj,” objasnio je Gonzalo, navodeći Huaweijeve napore na najvišoj razini za provjeru vjerodostojnosti poveznica Petal Search stranice do. “Drugo, kada je aplikacija instalirana, kanal je šifriran, tako da će sve poruke poslane izvan procesa biti blokirane. I treće, imamo proces zaštite od virusa i zlonamjernog softvera u stvarnom vremenu, što znači da ćete tijekom redovite upotrebe [APK stranica] biti zaštićeni.”

Kada tražite aplikacije, Huaweijev sustav prvo daje prioritet galeriji aplikacija. Ali ako aplikacija nije tamo, tražit će službene izvore. Ako nije ni u jednom, pretraživanje uključuje izvore trećih strana.

“Provjeravamo popularnost web-mjesta i aplikacije kako bismo procijenili vjerodostojnost i osiguravamo da stranica ima najnoviju dostupnu verziju aplikacije jer ona obično ima najnovije sigurnosne zakrpe. Na kraju procesa vršimo internu provjeru kako bismo potražili zlonamjerni softver.”

Sve se to događa prije instaliranja aplikacije — što se onda događa?

“Na samom uređaju tijekom preuzimanja provjerava se integritet aplikacije tako da se ne dekompilira ili paralelno ne instalira drugi APK, a naziv aplikacije se provjerava. Sljedeća je zaštita od zlonamjernog softvera i virusnih prijetnji, zatim naša vlastita AI sigurnosna zaštita. Ovo pazi da aplikacija učini nešto neočekivano, kao što je pokušaj pristupa nečemu što ne bi trebala. Ako AI to otkrije, blokirat će instalaciju. Nakon svega ovoga, ako nema prijetnji, aplikacija se može instalirati.”

Gonzalo je rekao: "Možemo reći da je sigurnosni rizik nizak" u vezi s instaliranjem APK datoteka. Fernando Garcia Calvo pridodao je ovom samopouzdanju, otkrivajući da otkako je Huawei izgubio pristup Google Playu 2019. 830 milijuna aplikacija preuzeto je pomoću sustava Petal Search, a više od polovice nije iz AppGallery. Tijekom tog vremena protiv njega nije bilo tužbi za autorska prava, nije bilo pritužbi programera protiv sustava i nema službenih pritužbi korisnika u vezi sa zlonamjernim softverom ili gubitkom podataka zbog virusa ili.

Nisu svi APK-ovi jednaki

Čini se da Huawei čini mnogo kako bi zaštitio vas, vaš telefon i vaše osobne podatke. Ali ne preporučuje preuzimanje APK datoteka u svim slučajevima. Uzmimo bankovne aplikacije kao primjer. Calvo je rekao da je Huawei vodio razgovore s bankama na temu aplikacija.

"Potičemo ih [banke] da postavljaju aplikacije u App Gallery", rekao je. “U početku smo oklijevali uopće prikazati APK-ove bankovnih aplikacija u Petal Searchu, ali shvatili smo da ih ljudi svejedno žele pronaći i bez naše sigurnosti. Iz tog razloga, poveznice u Petal Search-u za bankovne aplikacije vode na web-verziju banaka, a ne na APK.”

Huawei nema nikakve komercijalne odnose s APK repozitorijima, ali Gonzalo je rekao da smatra korištenje APK repozitorija "prihvaćenim i sigurnim, uzimajući u obzir koliko su vremena [stranice] bile pokrenute i rade.” Kontaktirali smo APKPure, koji je jedna od Huaweijevih glavnih preporuka u Petal Searchu, za komentar o ovome priča. Međutim, tvrtka nije odgovorila na naše e-poruke.

Huaweijeva upozorenja daju jasnu sliku

Očito, Huawei želi da na svom telefonu dobijete željene aplikacije i da ih zadržite dok radi sigurni kada koristite APK web-mjesta trećih strana, iskustvo na samom telefonu i dalje vam može uzrokovati zabrinutost.

“Preuzimanje aplikacija iz vanjskih izvora može dovesti vaše uređaje i osobne podatke u veću opasnost. Dodirom na Dopusti pokazujete da prihvaćate ove rizike.”

“Dolje navedene aplikacije, uključujući povezani sadržaj i stranice, rezultati su internetskog pretraživanja koji se automatski generiraju na temelju ključnih riječi koje ste unijeli. AppGallery prikazuje samo ove rezultate pretraživanja i nije odgovoran za njihov sadržaj.”

Ovo su samo dva upozorenja koja dobivate kada preuzmete bilo koju aplikaciju koja nije iz galerije aplikacija, učinkovito uklanjajući Huawei od svih zakonskih obveza ako nešto pođe po zlu. Osim toga, unatoč obećanjima da će povezivati ​​sa službenim izvorima prije izvora trećih strana, Petal Search me je ipak gurnuo prema AppParks za WhatsApp i Facebook prije izvora službene web stranice.

Downloader oprez

Što ljudi koji se bave sigurnošću ili razvojem aplikacija misle o APK datotekama? Docentica Cori Faklaris, koji proučava upotrebljivu sigurnost na Sveučilištu Sjeverne Karoline, rekao je za Digital Trends u poruci na Twitteru da je preuzimanje APK datoteke, ili bočno učitavanje općenito, situacija "preuzimača opreza". Ostavljajući po strani APK datoteke iz pouzdanih izvora, rekla je:

“Ako mislite da možete riješiti infekciju zlonamjernim softverom ili sami analizirati aplikaciju radi sigurnosti ranjivosti, a mobilni uređaj pripada vama i koristit će se samo na privatnoj mreži, ja bih reci samo napred. Ali ne bih preuzimao APK-ove na telefone koji se povezuju na javne mreže ili institucionalne sigurne mreže poput tvrtki ili škola. Tada ne izlažete riziku samo svoje podatke, već i podatke svih koji su potencijalno izloženi hakiranju putem vaše telefonske aplikacije koja je povezana s mrežom.”

Što je s programerima? Programer aplikacije Roscoe Juckett rekao je Digital Trends putem Twitter poruke da, iako nema problema s puštanjem aplikacije na web stranice poput APKPure, i dalje ima zabrinutosti:

"Brinem se što će ga ljudi preuzeti, zaraziti i ponovno objaviti", referirajući se na problem upravljanja ažuriranjima za rješavanje problema izvan službene trgovine. Možda znakovito, dodao je. "Sve klijentove aplikacije postavljam na Google Play, nijedna me nije tražila da ih implementiram bilo gdje drugdje."

Iako skandali u vezi s APK spremištima nisu toliko česti, događaju se. U travnju 2021. Kaspersky je pokrio trojanskom infekcijom u vlastitoj mobilnoj aplikaciji APKPure, koji je došao iz zlonamjernog SDK-a za oglašavanje. Iako su zabrinjavajuće, imaju i aplikacije preuzete sa službenih izvora sadržavao zlonamjerno oglašavanje i drugi oblici malware u prošlosti, tako da to nije problem koji je jedinstven za APK repozitorij.

Sigurnost nije zajamčena

Činjenica da je zlonamjerni softver pronađen u aplikacijama preuzetim s Google Playa pokazuje aplikacije, općenito, mogu biti sigurnosni rizici — bez obzira odakle su preuzeti. Vlasnici Huawei telefona koji preuzimaju APK datoteke za aplikacije vjerojatno su malo manje zaštićeni od bilo koga tko koristi Google Play, ali Huawei se potrudio preuzimanje i instalaciju učiniti sigurnima. Međutim, nema nikakvu kontrolu nad aplikacijama ili web-mjestima trećih strana, a kao njezina upozorenja u Prikaz galerije aplikacija, tvrtka ne preuzima nikakvu odgovornost za probleme koji proizlaze iz njihove upotrebe aplikacije.

Što vas ovo vodi? Postoji malo mira koji proizlazi iz Huaweija koji dijeli svoje sigurnosne i sigurnosne prakse, ali njegova upozorenja u App Gallery i Petal Search naglašavaju da ste ovdje vrlo sami. Ako ste zabrinuti, možda biste trebali koristiti Huaweijev tretman bankarskih aplikacija kao barometar. Ako smatrate da su podaci pohranjeni ili uneseni u aplikaciju osjetljivi ili ih koristite za posao, upotreba verzije iz neslužbenog repozitorija možda nije preporučljiva.

Preporuke urednika

• Huaweijev preklopni sklopivi više izgleda kao gizmo visoke mode
• Šest mjeseci kasnije, Huawei App Gallery još uvijek ne može pobijediti Google Play
• Mijenjanje ravnoteže: priča o Huaweijevom hrabrom mobilnom ekosustavu bez Googlea
• Huaweijev Mate Xs traži od vas da napustite Google. Da li je vrijedno toga?
• Kako Huawei gradi pametni telefon nakon Googlea