Ali so datoteke APK varne? Vprašali smo Huawei in izvedeli

Večina nas bo brez pomisleka prenesla aplikacijo iz trgovine Google Play ali iOS App Store, prepričani, da nas velikanske korporacije, ki stojijo za trgovinami, varujejo pred digitalno škodo. Če ste lastnik najnovejši telefon Huawei moraš zanašajte se na AppGallery za potrebe vaše aplikacije in ko aplikacija ni na voljo, vas usmeri k namestitvi datoteke APK iz neuradnega vira.

Toda ali so te datoteke enako varne in kaj Huawei počne, da zagotovi, da ne boste ogroženi zaradi zlonamerne programske opreme, virusov in kraje podatkov? Digital Trends se je pogovarjal z dr. Jaime Gonzalo, podpredsednikom Huawei Mobile Services Europe, in Fernandom Garcio Calvo, direktorjem Huawei Petal Search Europe, da bi izvedeli.

Kaj je APK?

Preden gremo dlje, se pogovorimo o datotekah APK. APK pomeni "Android Package Kit" in je oblika datoteke, ki se uporablja za namestitev aplikacij v sistemu Android. Predstavljajte si to kot datoteko .exe za Windows ali datoteko .dmg za MacOS. Običajno, vsaj če uporabljate Google Play, vam nikoli ne bo treba imeti opravka z datoteko APK.

Vendar lahko vsak, ki ima telefon Android, prenese in namesti aplikacije z uporabo datotek APK, kar je praksa pogosto imenovano »stransko nalaganje«..” Te datoteke se običajno distribuirajo prek repozitorijev tretjih oseb, čeprav vam nekatera podjetja omogočajo tudi neposreden prenos uradnih datotek APK. Huawei je leta 2019 izgubil dostop do trgovine Google Play in od takrat uporabil svojo aplikacijo Petal Search da lastnike potisne k datotekam APK, da dobijo aplikacije, ki manjkajo v lastni trgovini.

Ker gre zgolj za obliko zapisa datoteke, s prenosom in nameščanjem APK-jev ni pravnih težav. Ampak to ne odpušča kršitev avtorskih pravic ali kršitev določil in pogojev aplikacije v APK-ju mapa.

V redu – toda ali je varno?

Zaradi načina distribucije in namestitve datotek APK v telefonu obstaja nekoliko večja možnost, da aplikacija predstavlja varnostno tveganje, kot če uporabljate uradno trgovino. Na večini telefonov Android nalaganje aplikacije ob strani zaobide zaščito, ki jo ponuja Google Play, in možno je, da je bil APK pred namestitvijo v telefon spremenjen tako, da vključuje zlonamerno programsko opremo.

To vsakega, ki ima nedavni telefon Huawei, postavi v težak položaj. Zakaj? Huawei Petal Search vas bo pripeljal do repozitorijev APK, ko iščete aplikacijo, ki ni na voljo v AppGallery. To se zgodi, če želite Twitter, Instagram, Netflix, VSCO, Waze, Microsoft Teams, Fitbitovo aplikacijo, Duolingo in številne druge pogoste, pogosto uporabljene aplikacije. Petal Search priporoča datoteke APK s spletnih mest, kot so APKPure, APKMonk, AppParks in Uptodown.

Želeli smo razumeti, kaj Huawei počne, da vas zaščiti pred škodo pri uporabi teh spletnih mest in APK-jev, ki jih ponujajo. Dr. Jaime Gonzalo je dejal, da Petal Search išče samo javno dostopna spletna mesta, ne tistih, ki so skrita pred Googlom ali drugimi iskalniki, in da se sklicuje samo na spletna mesta, za katera meni, da so legitimna. Na primer, spletno mesto mora biti registrirano podjetje v Evropi ali ZDA, vendar Huawei presega to, kot je pojasnil Gonzalo.

Kako Huawei natančno pregleduje prenose APK-jev

»Najprej zagotovimo, da je vir vreden zaupanja in dnevno preverimo vse rezultate ter preverimo varnost in združljivost za napravo,« je pojasnil Gonzalo in navedel Huaweijeva prizadevanja na najvišji ravni za preverjanje verodostojnosti povezav spletnega mesta Petal Search. do. »Drugič, ko je aplikacija nameščena, je kanal šifriran, zato bodo vsa sporočila, poslana zunaj postopka, blokirana. In tretjič, imamo protivirusni in zlonamerni postopek v realnem času, kar pomeni, da boste med redno uporabo [spletnih mest APK] zaščiteni.«

Ko iščete aplikacije, Huaweijev sistem najprej da prednost galeriji aplikacij. Če pa aplikacije ni, bo iskala uradne vire. Če ni v nobenem, iskanje vključuje vire tretjih oseb.

»Preverjamo priljubljenost spletnega mesta in aplikacije, da ocenimo verodostojnost, in poskrbimo, da ima stran najnovejšo razpoložljivo različico aplikacije, saj ima običajno najnovejše varnostne popravke. Na koncu postopka izvedemo notranji pregled, da poiščemo zlonamerno programsko opremo.«

Vse to se zgodi, preden je aplikacija nameščena - kaj se torej zgodi potem?

»Na sami napravi med prenosom se preveri celovitost aplikacije, tako da ne dekompilira ali vzporedno namesti drugega APK-ja, ime aplikacije pa se preveri. Sledi zaščita pred zlonamerno programsko opremo in virusnimi grožnjami, nato pa naša lastna varnostna zaščita z umetno inteligenco. Ta opazuje, ali aplikacija naredi karkoli nepričakovanega, na primer poskus dostopa do nečesa, česar ne bi smela. Če AI to zazna, bo blokiral namestitev. Po vsem tem, če ni groženj, se lahko aplikacija namesti.”

Gonzalo je dejal: "Lahko rečemo, da je varnostno tveganje majhno," glede namestitve datotek APK. Fernando Garcia Calvo je dodal to samozavest in razkril, da odkar je Huawei leta 2019 izgubil dostop do Googla Play, 830 milijonov aplikacij je bilo prenesenih s sistemom Petal Search in več kot polovica jih ni bila iz AppGallery. V tem času proti njemu ni bilo vloženih nobenih pritožb glede avtorskih pravic, ni bilo pritožb razvijalcev proti sistemu in nobenih uradnih pritožb uporabnikov glede zlonamerne programske opreme ali izgube podatkov zaradi virusa bodisi.

Vsi APK-ji niso enaki

Videti je, da si Huawei vsekakor prizadeva za varnost vas, vašega telefona in vaših osebnih podatkov. Vendar ne priporoča prenosa datotek APK v vseh primerih. Za primer vzemimo bančne aplikacije. Calvo je dejal, da se je Huawei z bankami pogovarjal o aplikacijah.

"Spodbujamo jih [banke], da naložijo aplikacije v galerijo aplikacij," je dejal. »Na začetku nismo bili pripravljeni prikazati APK-jev bančnih aplikacij v iskalniku Petal Search, vendar smo ugotovili, da jih ljudje vseeno želijo najti in brez naše varnosti. Iz tega razloga povezave v Petal Search za bančne aplikacije vodijo do spletne različice bank in ne do APK-ja.«

Huawei nima komercialnih odnosov z repozitoriji APK-jev, vendar je Gonzalo dejal, da meni, da je uporaba repozitorijev APK-jev »sprejeta in varna, če upoštevamo koliko časa [spletna mesta] delujejo.« Za komentar o tem smo se obrnili na APKPure, ki je eno najboljših Huaweijevih priporočil v Petal Search zgodba. Vendar se podjetje na naša elektronska sporočila ni odzvalo.

Huaweijeva opozorila prikazujejo jasno sliko

Očitno Huawei želi, da na svoj telefon dobite želene aplikacije, in jih obdržite, dokler deluje ste varni, ko uporabljate spletna mesta za APK-je tretjih oseb, vam lahko izkušnja na samem telefonu vseeno povzroči skrb.

»Prenos aplikacij iz zunanjih virov lahko povzroči večje tveganje za vaše naprave in osebne podatke. Če se dotaknete možnosti Dovoli, potrdite, da sprejemate ta tveganja.«

»Spodaj navedene aplikacije, vključno s povezano vsebino in stranmi, so rezultati internetnega iskanja, samodejno ustvarjeni na podlagi ključnih besed, ki ste jih vnesli. AppGallery prikazuje le te rezultate iskanja in ni odgovoren za njihovo vsebino.«

To sta samo dve opozorili, ki ju dobite, ko prenesete katero koli aplikacijo, ki ni App Gallery, s čimer Huawei učinkovito odstranite vse zakonske obveznosti, če gre kaj narobe. Poleg tega me je Petal Search kljub obljubam, da se bo povezal z uradnimi viri pred viri tretjih oseb, vseeno potisnil k AppParks za WhatsApp in Facebook pred virom uradnega spletnega mesta.

Downloader pozor

Kaj ljudje, ki delajo na področju varnosti ali razvoja aplikacij, mislijo o datotekah APK? Cori Faklaris, docent, ki preučuje uporabno varnost na Univerzi v Severni Karolini, je za Digital Trends v sporočilu na Twitterju povedal, da je prenos datoteke APK ali stransko nalaganje na splošno situacija, v kateri je »prenosnik pozor«. Če pustimo ob strani datoteke APK iz zaupanja vrednih virov, je dejala:

»Če menite, da lahko obvladate okužbo z zlonamerno programsko opremo ali sami analizirate aplikacijo za varnost ranljivosti in mobilna naprava pripada vam in bo uporabljena le v zasebnem omrežju, bi reci pojdi. APK-jev pa ne bi prenesel v telefone, ki se povezujejo z javnimi omrežji ali institucionalnimi varnimi omrežji, kot so podjetja ali šole. Potem ne ogrožate le svojih podatkov, temveč podatke vseh, ki so potencialno izpostavljeni vdoru prek vaše telefonske aplikacije, ki je povezana z omrežjem.«

Kaj pa razvijalci? Razvijalec aplikacij Roscoe Juckett je za Digital Trends prek sporočila na Twitterju povedal, da čeprav nima težav z objavo aplikacije na spletnih mestih, kot je APKPure, ima še vedno pomisleke:

»Skrbi me, da ga bodo ljudje prenesli, okužili in znova objavili,« se sklicuje na težavo nato upravljati posodobitve za odpravo težav zunaj uradne trgovine. Morda zgovorno, je dodal. »Vse aplikacije svoje stranke nameščam v Google Play, nobena me ni prosila za uvedbo kjer koli drugje.«

Čeprav škandali v zvezi s skladišči APK-jev niso tako pogosti, se zgodijo. Aprila 2021 je Kaspersky pokril trojanska okužba v lastni mobilni aplikaciji APKPure, ki izvira iz zlonamernega oglaševalskega SDK-ja. Zaskrbljujoče so tudi aplikacije, prenesene iz uradnih virov vsebovalo zlonamerno oglaševanje in druge oblike zlonamerna programska oprema v preteklosti, tako da to ni težava, ki je edinstvena za repozitorij APK-jev.

Varnost ni zagotovljena

Dejstvo, da je bila v aplikacijah, prenesenih iz Googla Play, najdena zlonamerna programska oprema, na splošno kaže, so lahko varnostna tveganja — ne glede na to, od kod so preneseni. Lastniki telefonov Huawei, ki prenašajo datoteke APK za aplikacije, so verjetno malo manj zaščiteni kot kdorkoli, ki uporablja Google Play, vendar se je Huawei potrudil, da je prenos in namestitev varna. Vendar pa nima nobenega nadzora nad aplikacijami ali spletnimi mesti tretjih oseb in kot opozarja v Prikaz galerije aplikacij, podjetje ne prevzema nikakršne odgovornosti za kakršne koli težave, ki izhajajo iz njihove uporabe aplikacije.

Kje te to pusti? Nekaj ​​duševnega miru prinaša Huawei, ki deli svoje varnostne in varnostne prakse, vendar njegova opozorila v galeriji aplikacij in Petal Search poudarjajo, da ste tukaj zelo prepuščeni sami sebi. Če ste zaskrbljeni, bi morda morali uporabiti Huaweijevo obravnavo bančnih aplikacij kot barometer. Če menite, da so podatki, shranjeni ali vneseni v aplikacijo, občutljivi ali jih uporabljate za delo, uporaba različice, pridobljene iz neuradnega skladišča, morda ne bo priporočljiva.

Priporočila urednikov

• Huaweijeva zložljiva školjka je videti bolj kot modni gizmo
• Šest mesecev kasneje Huawei App Gallery še vedno ne more premagati Googla Play
• Prevrnitev tehtnice: zgodba Huaweijevega drznega mobilnega ekosistema brez Googla
• Huaweijev Mate Xs vas prosi, da opustite Google. Je vredno?
• Kako Huawei gradi pametni telefon po Googlu