I file APK sono sicuri? Abbiamo chiesto a Huawei e lo abbiamo scoperto

La maggior parte di noi scaricherà un'app da Google Play o dall'App Store iOS senza pensarci due volte, fiduciosi che le gigantesche aziende dietro gli store ci stiano proteggendo dai danni digitali. Se possiedi un recente telefono Huawei devi affidati all'AppGallery per le esigenze della tua app e, quando un'app non è disponibile, ti indirizza verso l'installazione di un file APK da una fonte non ufficiale.

Ma questi file sono ugualmente sicuri e cosa sta facendo Huawei per assicurarsi di non essere esposto al rischio di malware, virus e furto di dati? Per scoprirlo, Digital Trends ha parlato con il dottor Jaime Gonzalo, vicepresidente di Huawei Mobile Services Europe, e Fernando Garcia Calvo, direttore di Huawei Petal Search Europe.

Cos'è un APK?

Prima di andare oltre, parliamo dei file APK. APK sta per "Android Package Kit" ed è il formato di file utilizzato per installare app su Android. Consideralo un po' come un file .exe per Windows o un file .dmg per MacOS. Normalmente, almeno se utilizzi Google Play, non avrai mai a che fare con un file APK.

Tuttavia, chiunque possieda un telefono Android può scaricare e installare app utilizzando i file APK, una pratica spesso definito “sideloading”..” Questi file sono generalmente distribuiti tramite repository di terze parti, anche se alcune aziende consentono anche di scaricare direttamente i file APK ufficiali. Huawei ha perso l'accesso al Google Play Store nel 2019 e da allora ha utilizzato la sua app Petal Search per spingere i proprietari verso i file APK per ottenere le app che mancano nel suo negozio.

Poiché si tratta semplicemente di un formato di file, non ci sono problemi legali con il download e l'installazione degli APK. Ma questo non perdona le violazioni del copyright o la violazione dei termini e delle condizioni dell'app contenuta nell'APK file.

OK, ma è sicuro?

A causa del modo in cui i file APK vengono distribuiti e installati su un telefono, c'è una maggiore possibilità che l'app costituisca un rischio per la sicurezza rispetto a quando si utilizza uno store ufficiale. Sulla maggior parte dei telefoni Android, il sideload di un'app ignora le protezioni offerte da Google Play ed è possibile che un APK sia stato modificato per includere malware prima dell'installazione sul telefono.

Ciò mette chiunque abbia un telefono Huawei recente in una posizione difficile. Perché? Petal Search di Huawei ti condurrà ai repository APK quando cerchi un'app non disponibile in AppGallery. Questo accade se desideri Twitter, Instagram, Netflix, VSCO, Waze, Microsoft Teams, l'app Fitbit, Duolingo e molte altre app comuni e utilizzate spesso. Petal Search consiglia file APK da siti come APKPure, APKMonk, AppParks e Uptodown.

Volevamo capire cosa sta facendo Huawei per proteggerti dai danni durante l'utilizzo di questi siti e degli APK che forniscono. Il dottor Jaime Gonzalo ha affermato che Petal Search esamina solo i siti disponibili al pubblico, non quelli nascosti da Google o altri motori di ricerca, e che fa riferimento solo ai siti che considera legittimi. Ad esempio, il sito deve essere un'azienda registrata in Europa o negli Stati Uniti. Ma Huawei va oltre, come ha spiegato Gonzalo.

Come Huawei esamina attentamente i download APK

“In primo luogo, ci assicuriamo che la fonte sia affidabile ed effettuiamo un controllo quotidiano di tutti i risultati, verificandone inoltre la sicurezza e la compatibilità per il dispositivo", ha spiegato Gonzalo, sottolineando gli sforzi di alto livello di Huawei per verificare la credibilità dei collegamenti del sito Petal Search A. “In secondo luogo, quando viene installata l’app, il canale viene crittografato, quindi qualsiasi messaggio inviato al di fuori del processo verrà bloccato. E in terzo luogo, disponiamo di un processo antivirus e antimalware in tempo reale, il che significa che durante l'uso regolare [dei siti APK] sarai protetto."

Quando cerchi app, il sistema Huawei dà prima la priorità alla Galleria app. Ma se l'app non è presente cercherà fonti ufficiali. Se non è presente in nessuno dei due, la ricerca include fonti di terze parti.

"Esaminiamo la popolarità del sito e dell'app per valutarne la credibilità e ci assicuriamo che la pagina abbia l'ultima versione disponibile dell'app poiché questa di solito ha le patch di sicurezza più recenti. Alla fine del processo, effettuiamo un controllo interno per cercare malware.”

Tutto questo accade prima che l'app venga installata, quindi cosa succede?

"Sul dispositivo stesso durante il download, viene verificata l'integrità dell'app in modo che non decompili o installi un altro APK in parallelo, e viene verificato il nome dell'app. Poi c'è la protezione contro malware e virus, quindi la nostra protezione di sicurezza basata sull'intelligenza artificiale. Questo controlla che l'app faccia qualcosa di inaspettato, come provare ad accedere a qualcosa che non dovrebbe. Se l'IA lo rileva, bloccherà l'installazione. Dopo tutto questo, se non ci sono minacce, l’app può essere installata.”

Gonzalo ha affermato: "Possiamo dire che il rischio per la sicurezza è basso" per quanto riguarda l'installazione dei file APK. Fernando Garcia Calvo ha aggiunto a questa fiducia, rivelando che da quando Huawei ha perso l'accesso a Google Play nel 2019, 830 milioni di app sono state scaricate utilizzando il sistema Petal Search e più della metà non provenivano da AppGallery. Durante questo periodo non sono state avanzate rivendicazioni sul copyright né ci sono stati reclami da parte degli sviluppatori contro il sistema e nessun reclamo ufficiale da parte degli utenti riguardo malware o perdita di dati dovuta a virus O.

Non tutti gli APK sono uguali

Sembra sicuramente che Huawei stia facendo molto per proteggere te, il tuo telefono e i tuoi dati personali. Ma non consiglia di scaricare i file APK in tutti i casi. Prendiamo come esempio le app bancarie. Calvo ha detto che Huawei ha avuto colloqui con le banche sul tema delle app.

"Incoraggiamo le [banche] a caricare app nella Galleria app", ha affermato. "All'inizio eravamo riluttanti a mostrare gli APK delle app bancarie in Petal Search, ma ci siamo resi conto che le persone vogliono trovarli comunque e senza la nostra sicurezza. Per questo motivo i link di Petal Search per le app bancarie rimandano alla versione web delle banche e non ad un APK."

Huawei non ha alcun rapporto commerciale con i repository APK, ma Gonzalo ha affermato di considerare l'uso dei repository APK "accettato e sicuro, considerando la quantità di tempo in cui [i siti] sono attivi e funzionanti." Abbiamo contattato APKPure, che è uno dei migliori consigli di Huawei in Petal Search, per un commento al riguardo storia. Tuttavia, l'azienda non ha risposto alle nostre e-mail.

Gli avvertimenti di Huawei dipingono un quadro chiaro

Ovviamente, Huawei vuole che tu abbia le app che desideri sul tuo telefono e mentre sta lavorando per mantenerle sei al sicuro quando utilizzi siti APK di terze parti, l'esperienza sul telefono stesso potrebbe comunque causare problemi preoccupazione.

“Il download di app da fonti esterne può mettere a rischio maggiore i tuoi dispositivi e i tuoi dati personali. Toccando Consenti, indichi che accetti questi rischi.

"Le app elencate di seguito, inclusi i contenuti e le pagine collegate, sono risultati di ricerca su Internet generati automaticamente in base alle parole chiave inserite. AppGallery visualizza solo questi risultati di ricerca e non è responsabile del loro contenuto."

Questi sono solo due degli avvisi che ricevi quando scarichi qualsiasi app non App Gallery, rimuovendo di fatto Huawei da qualsiasi obbligo legale nel caso qualcosa andasse storto. Inoltre, nonostante la promessa di collegarsi a fonti ufficiali prima che a fonti di terze parti, Petal Search mi ha comunque spinto verso AppParks per WhatsApp e Facebook prima della fonte del sito web ufficiale.

Attenzione al downloader

Cosa pensano dei file APK le persone che lavorano nel campo della sicurezza o nello sviluppo di app? Professore assistente Cori Faklaris, che studia sicurezza utilizzabile presso l'Università della Carolina del Nord, ha dichiarato a Digital Trends in un messaggio Twitter che il download di file APK, o il sideload in generale, è una situazione di "attenzione al downloader". Tralasciando i file APK provenienti da fonti attendibili, ha affermato:

"Se pensi di poter gestire un'infezione da malware o analizzare tu stesso l'app per motivi di sicurezza vulnerabilità e il dispositivo mobile appartiene a te e verrà utilizzato solo su una rete privata, lo farei di' di provarci. Ma non scaricherei gli APK sui telefoni che si connettono a reti pubbliche o reti istituzionali sicure come aziende o scuole. Quindi non stai solo mettendo a rischio i tuoi dati, ma anche quelli di chiunque sia potenzialmente esposto a un attacco informatico attraverso la connessione dell’app del tuo telefono alla rete”.

E gli sviluppatori? Sviluppatore dell'app Roscoe Juckett ha detto a Digital Trends tramite un messaggio Twitter che, sebbene non abbia problemi a rilasciare un'app su siti come APKPure, ha ancora delle preoccupazioni:

"La mia preoccupazione è che le persone lo scaricheranno, lo infetteranno e lo ripubblicheranno", riferendosi al problema di gestire gli aggiornamenti per risolvere i problemi al di fuori di uno store ufficiale. Forse in modo significativo, ha aggiunto. "Distribuisco tutte le app dei miei clienti su Google Play e nessuno mi ha chiesto di distribuirle altrove."

Sebbene gli scandali riguardanti i repository APK non siano così comuni, accadono. Nell'aprile 2021 Kaspersky ha coperto un’infezione da Trojan nell’app mobile di APKPure, che proveniva da un SDK pubblicitario dannoso. Sebbene sia una preoccupazione, lo sono anche le app scaricate da fonti ufficiali conteneva pubblicità dannosa e altre forme di malware in passato, quindi non è un problema esclusivo di un repository APK.

Sicurezza non garantita

Il fatto che sia stato trovato malware nelle app scaricate da Google Play dimostra che le app, in generale, possono rappresentare rischi per la sicurezza - indipendentemente da dove vengono scaricati. I proprietari di telefoni Huawei che scaricano file APK per le app sono probabilmente un po' meno protetti di chiunque utilizzi Google Play, ma Huawei ha fatto uno sforzo per rendere sicuri il download e l'installazione. Tuttavia, non ha alcun controllo sulle app o sui siti di terze parti e, come riportato negli avvisi nel file Mostra App Gallery, la società non si assume alcuna responsabilità per eventuali problemi derivanti dal loro utilizzo app.

Dove ti porta questo? C'è una certa tranquillità che deriva dal fatto che Huawei condivide le sue pratiche di sicurezza e protezione, ma i suoi avvisi nella Galleria app e Petal Search sottolineano che sei molto da solo qui. Se sei preoccupato, forse dovresti usare il modo in cui Huawei tratta le app bancarie come un barometro. Se ritieni sensibili le informazioni archiviate o inserite in un'app o le stai utilizzando per lavoro, potrebbe non essere consigliabile utilizzare una versione proveniente da un repository non ufficiale.

Raccomandazioni degli editori

• Il pieghevole a conchiglia di Huawei sembra più un aggeggio di alta moda
• Sei mesi dopo, la Huawei App Gallery non riesce ancora a competere con Google Play
• L’equilibrio: la storia dell’audace ecosistema mobile di Huawei, senza Google
• Il Mate Xs di Huawei ti chiede di abbandonare Google. Ne vale la pena?
• Come Huawei sta costruendo uno smartphone post-Google