Er APK-filer trygge? Vi spurte Huawei og fant ut

De fleste av oss vil laste ned en app fra Google Play eller iOS App Store uten å tenke på det, i tillit til at de gigantiske selskapene bak butikkene holder oss trygge mot digital skade. Hvis du eier en nylig Huawei-telefon du må stole på AppGallery for appbehovene dine, og når en app ikke er tilgjengelig, peker den deg mot å installere en APK-fil fra en uoffisiell kilde.

Men er disse filene like trygge, og hva gjør Huawei for å sikre at du ikke blir utsatt for skadelig programvare, virus og datatyveri? Digital Trends snakket med Dr. Jaime Gonzalo, VP for Huawei Mobile Services Europe, og Fernando Garcia Calvo, direktør for Huawei Petal Search Europe, for å finne ut av det.

Hva er en APK?

Før vi går mye lenger, la oss snakke om APK-filer. APK står for "Android Package Kit", og det er filformatet som brukes til å installere apper på Android. Tenk på det som en .exe-fil for Windows eller en .dmg-fil for MacOS. Normalt, i det minste hvis du bruker Google Play, trenger du aldri å forholde deg til en APK-fil.

Men alle som eier en Android-telefon kan laste ned og installere apper ved hjelp av APK-filer, en praksis ofte referert til som "sidelasting." Disse filene distribueres vanligvis gjennom tredjeparts depoter, selv om noen selskaper også lar deg laste ned offisielle APK-filer direkte. Huawei mistet tilgangen til Google Play Store i 2019 og har siden brukte Petal Search-appen å presse eiere mot APK-filer for å få appene sin egen butikk mangler.

Fordi det ganske enkelt er et filformat, er det ingen juridiske problemer med å laste ned og installere APK-er. Men dette tilgir ikke brudd på opphavsrett eller brudd på vilkårene og betingelsene for appen i APK-en fil.

OK - men er det trygt?

På grunn av måten APK-filer distribueres og installeres på en telefon, er det en noe større sjanse for at appen utgjør en sikkerhetsrisiko enn når du bruker en offisiell butikk. På de fleste Android-telefoner omgår sidelasting av en app beskyttelsen som tilbys av Google Play, og det er mulig en APK kan ha blitt endret til å inkludere skadelig programvare før installasjon på telefonen.

Dette setter alle med en nylig Huawei-telefon i en vanskelig posisjon. Hvorfor? Huaweis Petal Search vil føre deg til APK-repositorier når du søker etter en app som ikke er tilgjengelig i AppGallery. Dette skjer hvis du vil ha Twitter, Instagram, Netflix, VSCO, Waze, Microsoft Teams, Fitbits app, Duolingo og mange andre vanlige, ofte brukte apper. Petal Search anbefaler APK-filer fra nettsteder som APKPure, APKMonk, AppParks og Uptodown.

Vi ønsket å forstå hva Huawei gjør for å beskytte deg mot skade når du bruker disse nettstedene og APK-ene de tilbyr. Dr. Jaime Gonzalo sa at Petal Search bare ser på offentlig tilgjengelige nettsteder, ikke de som er skjult for Google eller andre søkemotorer, og at det kun refererer til nettsteder det anser som legitime. For eksempel må nettstedet være et registrert selskap i Europa eller USA, men Huawei går utover dette, som Gonzalo forklarte.

Hvordan Huawei gransker APK-nedlastinger

"For det første sikrer vi at kilden er pålitelig og foretar en daglig sjekk av alle resultatene, og vi sjekker sikkerheten og kompatibiliteten for enheten," forklarte Gonzalo, og uttalte Huaweis innsats på toppnivå for å sjekke troverdigheten til nettstedet Petal Search-lenker til. "For det andre, når appen er installert, er kanalen kryptert, så alle meldinger som sendes utenfor prosessen vil bli blokkert. Og for det tredje har vi en sanntids antivirus- og skadevareprosess, noe som betyr at du vil være beskyttet under vanlig bruk [av APK-sider]."

Når du søker etter apper, prioriterer Huaweis system først appgalleriet. Men hvis appen ikke er der, vil den lete etter offisielle kilder. Hvis det ikke er i noen av dem, inkluderer søket tredjepartskilder.

"Vi ser på nettstedets og appens popularitet for å vurdere troverdigheten, og vi sørger for at siden har den nyeste appversjonen tilgjengelig, da denne vanligvis har de nyeste sikkerhetsoppdateringene. På slutten av prosessen foretar vi en intern sjekk for å se etter skadelig programvare."

Alt dette skjer før appen er installert - så hva skjer da?

"På selve enheten under nedlastingen kontrolleres appens integritet slik at den ikke dekompilerer eller installerer en annen APK parallelt, og appens navn blir bekreftet. Neste er beskyttelse mot skadelig programvare og virustrusler, deretter vår egen AI-sikkerhetsbeskyttelse. Dette ser etter at appen gjør noe uventet, for eksempel å prøve å få tilgang til noe den ikke burde. Hvis AI oppdager dette, vil den blokkere installasjonen. Etter alt dette, hvis det ikke er noen trusler, kan appen installeres."

Gonzalo sa: "Vi kan si at sikkerhetsrisikoen er lav," angående installasjon av APK-filer. Fernando Garcia Calvo la til denne tilliten, og avslørte at siden Huawei mistet tilgangen til Google Play i 2019, 830 millioner apper har blitt lastet ned ved hjelp av Petal Search-systemet, og mer enn halvparten var ikke fra AppGallery. I løpet av denne tiden har det ikke blitt fremsatt noen opphavsrettskrav mot det, det har ikke vært noen klager fra utviklere mot systemet, og ingen offisielle brukerklager angående skadelig programvare eller tap av data på grunn av et virus enten.

Ikke alle APK-er er skapt like

Huawei ser ut til å gjøre mye for å holde deg, telefonen din og dine personlige data trygge. Men det anbefaler ikke å laste ned APK-filer i alle tilfeller. Ta bankapper som et eksempel. Calvo sa at Huawei har hatt samtaler med banker om apper.

"Vi oppfordrer dem [banker] til å laste opp apper til App Gallery," sa han. "I begynnelsen var vi motvillige til å vise bankapp-APK-er i det hele tatt i Petal Search, men vi innså at folk ønsker å finne dem uansett og uten vår sikkerhet. Av denne grunn går lenkene i Petal Search for bankapper til nettversjonen av bankene og ikke en APK.»

Huawei har ingen kommersielle forhold til APK-depoter, men Gonzalo sa at han anser bruken av APK-depoter som "akseptert og trygg, med tanke på hvor lenge [nettstedene] har vært oppe og gått.» Vi kontaktet APKPure, som er en av Huaweis beste anbefalinger i Petal Search, for å kommentere dette historie. Selskapet svarte imidlertid ikke på e-postene våre.

Huaweis advarsler gir et klart bilde

Selvfølgelig vil Huawei at du skal få appene du vil ha på telefonen din, og mens den jobber med å beholde du trygt når du bruker tredjeparts APK-sider, kan opplevelsen på selve telefonen fortsatt føre til deg bekymring.

«Nedlasting av apper fra eksterne kilder kan sette enhetene og personlige dataene dine i større risiko. Ved å trykke på Tillat, indikerer du at du aksepterer disse risikoene.»

"Appene som er oppført nedenfor, inkludert lenket innhold og sider, er søkeresultater på Internett som genereres automatisk basert på søkeord du har skrevet inn. AppGallery viser bare disse søkeresultatene, og er ikke ansvarlig for innholdet deres.»

Dette er bare to av advarslene du får når du laster ned en app som ikke er fra App Gallery, noe som effektivt fjerner Huawei fra juridiske forpliktelser dersom noe skulle gå galt. I tillegg, til tross for løfter om at det ville lenke til offisielle kilder før tredjepartskilder, presset Petal Search meg fortsatt mot AppParks for WhatsApp og Facebook før den offisielle nettstedskilden.

Nedlaster pass på

Hva tenker folk som jobber med sikkerhet eller apputvikling om APK-filer? Adjunkt Cori Faklaris, som studerer brukbar sikkerhet ved University of North Carolina, fortalte Digital Trends i en Twitter-melding at nedlasting av APK-filer, eller sidelasting generelt, er en "nedlaster pass på"-situasjon. Ser hun bort fra APK-filer fra pålitelige kilder, sa hun:

"Hvis du tror du kan håndtere en skadelig programvareinfeksjon eller analysere appen selv for sikkerhets skyld sårbarheter, og den mobile enheten tilhører deg og vil bare bli brukt på et privat nettverk, ville jeg si gå for det. Men jeg ville ikke lastet ned APK-er til telefoner som kobles til offentlige nettverk eller institusjonelle sikre nettverk som bedrifter eller skoler. Da setter du ikke bare dataene dine i fare, men for alle som potensielt blir utsatt for et hack gjennom telefonappen din som er koblet til nettverket.»

Hva med utviklere? Apputvikler Roscoe Juckett fortalte Digital Trends via en Twitter-melding at selv om han ikke har noe problem med å gi ut en app på nettsteder som APKPure, har han fortsatt bekymringer:

"Min bekymring er at folk vil laste den ned, infisere den og publisere den på nytt," med henvisning til problemet med deretter å administrere oppdateringer for å kurere problemer utenfor en offisiell butikk. Kanskje talende, la han til. "Jeg distribuerer alle appene til kunden min på Google Play, ingen har bedt meg om å distribuere andre steder."

Selv om skandaler angående APK-depoter ikke er så vanlige, skjer de. I april 2021 dekket Kaspersky en trojansk infeksjon i APKPures egen mobilapp, som kom fra en ondsinnet annonserings-SDK. Selv om det er en bekymring, har apper lastet ned fra offisielle kilder også inneholdt ondsinnet reklame og andre former for malware i fortiden, så det er ikke et problem som er unikt for et APK-lager.

Sikkerhet ikke garantert

Det faktum at skadelig programvare har blitt funnet i apper lastet ned fra Google Play viser apper generelt, kan være sikkerhetsrisikoer – uavhengig av hvor de er lastet ned fra. Huawei-telefoneiere som laster ned APK-filer for apper er uten tvil litt mindre beskyttet enn alle som bruker Google Play, men Huawei har gjort en innsats for å gjøre nedlastingen og installasjonen trygg. Den har imidlertid ingen kontroll over appene eller tredjepartssidene, og som advarsler i App Gallery-show, selskapet tar ikke noe ansvar for eventuelle problemer som kommer fra bruken av disse apper.

Hvor etterlater dette deg? Det er en viss trygghet som kommer av at Huawei deler sin sikkerhet og sikkerhetspraksis, men advarslene i App Gallery og Petal Search understreker at du er veldig alene her. Hvis du er bekymret, bør du kanskje bruke Huaweis behandling av bankapper som et barometer. Hvis du anser informasjonen som er lagret eller lagt inn i en app som sensitiv, eller du bruker den i jobbsammenheng, kan det hende at det ikke er tilrådelig å bruke en versjon hentet fra et uoffisielt depot.

Redaktørenes anbefalinger

• Huaweis clamshell sammenleggbare ser mer ut som en high-fashion dings
• Seks måneder senere kan Huawei App Gallery fortsatt ikke ta på Google Play
• Tipper balansen: Historien om Huaweis dristige, Google-frie mobile økosystem
• Huaweis Mate Xs ber deg om å forlate Google. Er det verdt det?
• Hvordan Huawei bygger en smarttelefon etter Google