Är APK-filer säkra? Vi frågade Huawei och fick reda på det

De flesta av oss kommer att ladda ner en app från Google Play eller iOS App Store utan en sekund eftertanke, övertygade om att de gigantiska företagen bakom butikerna håller oss säkra från digital skada. Om du äger en ny Huawei-telefon du måste lita på AppGallery för dina appbehov, och när en app inte är tillgänglig pekar den mot att installera en APK-fil från en inofficiell källa.

Men är dessa filer lika säkra, och vad gör Huawei för att se till att du inte utsätts för risk för skadlig programvara, virus och datastöld? Digital Trends pratade med Dr Jaime Gonzalo, VP för Huawei Mobile Services Europe, och Fernando Garcia Calvo, direktör för Huawei Petal Search Europe, för att ta reda på det.

Vad är en APK?

Innan vi går mycket längre, låt oss prata om APK-filer. APK står för "Android Package Kit", och det är filformatet som används för att installera appar på Android. Se det som en .exe-fil för Windows eller en .dmg-fil för MacOS. Normalt, åtminstone om du använder Google Play, behöver du aldrig ta itu med en APK-fil.

Men alla som äger en Android-telefon kan ladda ner och installera appar med APK-filer, en praxis ofta kallad "sidlastning"..” Dessa filer distribueras i allmänhet via tredjepartsförråd, även om vissa företag också låter dig ladda ner officiella APK-filer direkt. Huawei förlorade åtkomsten till Google Play Butik 2019 och har sedan dess använde sin Petal Search-app att driva ägare mot APK-filer för att få apparna sin egen butik saknas.

Eftersom det helt enkelt är ett filformat finns det inga juridiska problem med att ladda ner och installera APK-filer. Men det här förlåter inte upphovsrättsintrång eller bryter mot villkoren för appen som finns i APK fil.

OK - men är det säkert?

På grund av hur APK-filer distribueras och installeras på en telefon, finns det en något större chans att appen utgör en säkerhetsrisk än när du använder en officiell butik. På de flesta Android-telefoner går sidladdning av en app förbi skyddet som erbjuds av Google Play, och det är möjligt att en APK-fil kan ha modifierats för att inkludera skadlig programvara innan installationen på din telefon.

Detta försätter alla med en ny Huawei-telefon i en svår position. Varför? Huaweis Petal Search leder dig till APK-arkiv när du söker efter en app som inte är tillgänglig i AppGallery. Detta händer om du vill ha Twitter, Instagram, Netflix, VSCO, Waze, Microsoft Teams, Fitbits app, Duolingo och många andra vanliga appar som ofta används. Petal Search rekommenderar APK-filer från webbplatser som APKPure, APKMonk, AppParks och Uptodown.

Vi ville förstå vad Huawei gör för att skydda dig från skada när du använder dessa webbplatser och APK-filerna de tillhandahåller. Dr Jaime Gonzalo sa att Petal Search bara tittar på allmänt tillgängliga webbplatser, inte de som är dolda från Google eller andra sökmotorer, och att den bara refererar till webbplatser som den anser vara legitima. Till exempel måste sajten vara ett registrerat företag i Europa eller USA. Men Huawei går längre än detta, som Gonzalo förklarade.

Hur Huawei granskar APK-nedladdningar

"Först säkerställer vi att källan är pålitlig och gör en daglig kontroll av alla resultat, och vi kontrollerar säkerheten och kompatibiliteten för enheten”, förklarade Gonzalo och angav Huaweis ansträngningar på toppnivå för att kontrollera trovärdigheten för sajten Petal Search-länkar till. "För det andra, när appen är installerad är kanalen krypterad, så alla meddelanden som skickas utanför processen kommer att blockeras. Och för det tredje har vi en antivirus- och skadlig kod i realtid, vilket innebär att du skyddas under regelbunden användning [av APK-webbplatser]."

När du söker efter appar prioriterar Huaweis system appgalleriet först. Men om appen inte finns där kommer den att leta efter officiella källor. Om det inte finns i någondera, inkluderar sökningen tredjepartskällor.

"Vi tittar på webbplatsens och appens popularitet för att bedöma trovärdigheten, och vi ser till att sidan har den senaste appversionen som är tillgänglig eftersom den vanligtvis har de senaste säkerhetskorrigeringarna. I slutet av processen gör vi en intern kontroll för att leta efter skadlig programvara.”

Allt detta händer innan appen installeras — så vad händer då?

"På själva enheten under nedladdningen kontrolleras appens integritet så att den inte dekompilerar eller installerar en annan APK parallellt, och appens namn verifieras. Nästa är skydd mot skadlig programvara och virushot, sedan vårt eget AI-säkerhetsskydd. Detta ser till att appen gör något oväntat, som att försöka komma åt något som den inte borde. Om AI: n upptäcker detta kommer den att blockera installationen. Efter allt detta, om det inte finns några hot, kan appen installeras."

Gonzalo sa, "Vi kan säga att säkerhetsrisken är låg," angående installation av APK-filer. Fernando Garcia Calvo lade till detta förtroende och avslöjade att sedan Huawei förlorade åtkomsten till Google Play 2019, 830 miljoner appar har laddats ner med Petal Search-systemet och mer än hälften var inte från AppGallery. Under denna tid har inga upphovsrättsanspråk gjorts mot den, det har inte förekommit några klagomål från utvecklare mot systemet och inga officiella klagomål från användare angående skadlig programvara eller förlust av data på grund av ett virus antingen.

Alla APK-filer är inte skapade lika

Huawei verkar verkligen göra mycket för att skydda dig, din telefon och dina personliga data. Men det rekommenderar inte att du laddar ner APK-filer i alla fall. Ta bankappar som exempel. Calvo sa att Huawei har haft konversationer med banker om appar.

"Vi uppmuntrar dem [banker] att ladda upp appar till App Gallery," sa han. "I början var vi ovilliga att överhuvudtaget visa APK-filer för bankappen i Petal Search, men vi insåg att folk vill hitta dem ändå och utan vår säkerhet. Av denna anledning går länkarna i Petal Search för bankappar till webbversionen av bankerna och inte en APK.”

Huawei har inga kommersiella relationer med APK-förråd, men Gonzalo sa att han anser att användningen av APK-förråd är "accepterat och säkert, med tanke på hur lång tid [sajterna] har varit igång." Vi kontaktade APKPure, som är en av Huaweis bästa rekommendationer i Petal Search, för att kommentera detta berättelse. Företaget svarade dock inte på våra mejl.

Huaweis varningar målar upp en tydlig bild

Uppenbarligen vill Huawei att du ska få de appar du vill ha på din telefon, och medan den arbetar för att behålla du säker när du använder tredjeparts APK-webbplatser, kan upplevelsen på själva telefonen fortfarande orsaka dig oro.

"När du laddar ner appar från externa källor kan dina enheter och personliga data utsättas för större risk. Genom att trycka på Tillåt indikerar du att du accepterar dessa risker."

"Apparna som listas nedan, inklusive länkat innehåll och sidor, är sökresultat på internet som genereras automatiskt baserat på nyckelord du angett. AppGallery visar bara dessa sökresultat och är inte ansvarigt för deras innehåll."

Det här är bara två av varningarna du får när du laddar ner en app som inte kommer från App Gallery, vilket effektivt tar bort Huawei från alla juridiska skyldigheter om något skulle gå fel. Dessutom, trots löften att den skulle länka till officiella källor före tredjepartskällor, drev Petal Search mig fortfarande mot AppParks för WhatsApp och Facebook före den officiella webbplatskällan.

Nedladdare se upp

Vad tycker personer som arbetar med säkerhet eller apputveckling om APK-filer? Adjunkt Cori Faklaris, som studerar användbar säkerhet vid University of North Carolina, berättade för Digital Trends i ett Twitter-meddelande att nedladdning av APK-filer, eller sidladdning i allmänhet, är en "nedladdare se upp"-situation. Bortsett från APK-filer från pålitliga källor, sa hon:

"Om du tror att du kan hantera en malwareinfektion eller analysera appen själv för säkerhets skull sårbarheter, och den mobila enheten tillhör dig och kommer endast att användas i ett privat nätverk, skulle jag säg gå för det. Men jag skulle inte ladda ner APK-filer till telefoner som ansluter till offentliga nätverk eller institutionella säkra nätverk som företag eller skolor. Då utsätter du inte bara din data för risk utan även för alla som potentiellt utsätts för ett hack genom att din telefonapp är ansluten till nätverket."

Vad sägs om utvecklare? Apputvecklare Roscoe Juckett sa till Digital Trends via ett Twitter-meddelande att även om han inte har några problem med att släppa en app på sajter som APKPure, har han fortfarande oro:

"Mitt bekymmer är att folk kommer att ladda ner det, infektera det och publicera det igen", med hänvisning till problemet med att sedan hantera uppdateringar för att åtgärda problem utanför en officiell butik. Kanske talande, tillade han. "Jag distribuerar alla min klients appar på Google Play, ingen har bett mig att distribuera någon annanstans."

Även om skandaler angående APK-förråd inte är så vanliga, händer de. I april 2021 täckte Kaspersky en trojansk infektion i APKPures egen mobilapp, som kom från en skadlig reklam-SDK. Även om det är bekymmersamt har appar som laddats ner från officiella källor också innehöll skadlig reklam och andra former av skadlig programvara i det förflutna, så det är inte ett problem som är unikt för ett APK-förråd.

Säkerheten kan inte garanteras

Det faktum att skadlig programvara har hittats i appar som laddats ner från Google Play visar appar i allmänhet, kan vara säkerhetsrisker — oavsett var de laddas ner från. Huawei-telefonägare som laddar ner APK-filer för appar är utan tvekan lite mindre skyddade än någon som använder Google Play, men Huawei har ansträngt sig för att göra nedladdningen och installationen säker. Den har dock ingen kontroll över apparna eller tredjepartswebbplatserna, och som dess varningar i App Gallery-show, företaget tar inget ansvar för några problem som kommer från att använda dessa appar.

Var lämnar detta dig? Det finns en viss sinnesfrid som kommer från att Huawei delar med sig av sina säkerhets- och säkerhetsrutiner, men dess varningar i App Gallery och Petal Search understryker att du är mycket på egen hand här. Om du är orolig kanske du borde använda Huaweis behandling av bankappar som en barometer. Om du anser att informationen som lagras eller matas in i en app är känslig eller om du använder den i arbetet, kanske det inte är tillrådligt att använda en version som kommer från ett inofficiellt arkiv.

Redaktörens rekommendationer

• Huaweis hopfällbara clamshell ser mer ut som en high-fashion gizmo
• Sex månader senare kan Huawei App Gallery fortfarande inte använda Google Play
• Tippa balansen: Berättelsen om Huaweis djärva, Google-fria mobila ekosystem
• Huaweis Mate Xs ber dig att överge Google. Är det värt det?
• Hur Huawei bygger en smartphone efter Google