dev.to rehberi, sideload edilmiş Android APK'ları denetlemek için beş dakikalık bir kontrol listesi sunuyor

2 Kasım'da dev.to'da yayımlanan bir rehber, Google Play dışından kurulum yapmadan önce Android paketlerini denetlemek için yaklaşık beş dakikalık bir rutini ele alıyor. Yazarın yaklaşımı net: sideloading, Android'i esnek kılan şeydir — eski uygulama sürümleri, erken güncellemeler, Play'de bulunmayan yazılımlar — ancak rehbere göre bu, Android kötücül yazılımlarının kullanıcılara ulaşmak için izlediği başlıca yol; genellikle meşru görünecek şekilde tasarlanmış sitelerde barındırılan, gerçek uygulamaların yeniden paketlenmiş kopyaları biçiminde.

Dosyadan önce kaynağı değerlendirin

Rehbere göre riskin büyük bölümü indirme başlamadan önce belirleniyor. Rehber yaygın kaynakları bir güven ölçeğine diziyor: Google Play en üstte yer alıyor, çünkü oradaki uygulamalar geliştirici tarafından imzalanıyor, Play Protect tarafından taranıyor ve otomatik olarak güncelleniyor. Bir geliştiricinin kendi sitesi veya GitHub sürümleri hemen altında sıralanıyor; onu da genellikle yayımlanan kaynak koddan derleme yapan F-Droid izliyor. APKMirror gibi köklü aynalar orta kademede duruyor — yalnızca ücretsiz uygulamalar, imzalar önceki sürümlerle karşılaştırılıyor. Genel "APK indirme" siteleri en altlara yakın; rehberin "mod", "Pro unlocked" ya da "cracked" dosyalarla ilgili tavsiyesi ise tartışmaya açık değil: bunlardan kaçının, çünkü tasarımları gereği bilinmeyen taraflarca değiştirilip yeniden imzalanıyorlar. Yazarın pratik kuralı şu: Google Play'de ücretsiz olan bir uygulamanın nadiren başka bir yerden indirilmesi gerekir.

İmza sertifikası en güçlü denetimdir

Android, cihazda zaten bulunan sürümle aynı imzayı taşımayan bir güncellemeyi kurmaz; bu da sertifikayı eldeki en bilgilendirici sinyal yapıyor. Telefonda, açık kaynaklı App Manager bir APK'nın imza sertifikasını kurulumdan önce görüntüleyebiliyor. Android SDK build tools kurulu bir bilgisayarda apksigner verify --print-certs app.apk komutu aynı bilgiyi yazdırıyor. Rehber, SHA-256 sertifika özetini zaten güvendiğiniz bir sürümle — cihazınızdaki kopyayla ya da geliştiricinin kendi sitesinden yapılan bir indirmeyle — karşılaştırmayı ve özetler farklıysa dosyayı çöpe atmayı öneriyor; çünkü bir uyuşmazlık, yeniden paketlenmiş bir uygulamanın parmak izidir.

İzinler uygulamanın yaptığı işle uyuşmalı

Rehber izin isteklerine yalın bir sağduyu testi uyguluyor. Bir fotoğraf düzenleyicinin fotoğraflara erişmesi meşrudur; ama SMS'lere, çağrı kayıtlarına ya da kişilere ihtiyacı yoktur. Bir video oynatıcının erişilebilirlik hizmetleri veya cihaz yöneticisi hakları istemesinin makul bir gerekçesi yoktur. Üstüne çizim (overlay) işlevi olmayan bir yazılımdan gelen, diğer uygulamaların üzerine çizme isteği bir uyarı işareti sayılıyor. Erişilebilirlik erişimi ve cihaz yöneticisi, bankacılık truva atlarının en çok peşinde olduğu iki izin olarak ayrıca vurgulanıyor; yazarın tavsiyesi, amaç tam olarak anlaşılmadıkça bu izinleri vermemek.

Tarama yardımcı olur, ama temiz sonuç pek bir şey kanıtlamaz

Dosyayı — ya da yalnızca SHA-256 hash'ini — VirusTotal'e yüklemek rutinin bir parçası; ama bir uyarıyla: temiz bir sonuç güvenlik kanıtı değildir, çünkü yeni yayımlanan kötücül yazılımlar başlangıçta çoğu zaman yakalanmaz. Bunun tersine, tanınmış motorlardan gelen birkaç tespit bile dosyayı silmek için yeterli bir nedendir. Rehber ayrıca Play Protect'i açık tutmayı vurguluyor; Play Protect'in sideload edilmiş uygulamaları da taradığına dikkat çekiyor ve yalnızca indirme sitesi öyle dediği diye kapatılmaması gerektiği konusunda uyarıyor.

Ezberlenmeye değer kırmızı bayraklar

Rehber, gölgeli indirme sitelerinde yinelenen ipuçlarını listeliyor: "insan doğrulaması", anketler veya teklifler ardına gizlenmiş indirmeler; iç paket adıyla çelişen dosya adı; resmi derlemeden çok küçük ya da çok büyük bir APK; ücretli özellikleri geliştiricinin sunucularında çalışan uygulamalar için "premium unlocked" iddiaları — bu tür modlar zaten çoğu zaman bunları sunamıyor —; ve içinde bir .exe ya da bir "profil" kurma talimatı barındıran arşivler.

Split paketleri farklı araçlar gerektirir

Günümüzdeki birçok uygulama artık tek bir APK olarak dağıtılmıyor. XAPK, APKM ve APKS dosyaları, bir temel APK, split APK'lar ve bazen OBB oyun verisi barındıran ZIP konteynerleridir. Android'un yerleşik yükleyicisi bunları açamaz — rehber bunu, tanıdık "There was a problem parsing the package" hatasının nedeni olarak gösteriyor — dolayısıyla bir split-APK yükleyicisi ya da .apks paketleri için bundletool install-apks gerekir. Arşivin içindeki her APK, tek başına duran bir dosya kadar aynı denetimleri hak ediyor.

Kurulum sonrası düzen

Kurulumdan sonra rehber, kullanılan tarayıcı ya da dosya yöneticisi için "Bilinmeyen uygulamaları yükle" iznini geri kapatmayı, uygulamanın ihtiyaç duymadığı izinleri budamayı ve izleyen günlerde tam ekran reklamlara, pil tüketimine ya da tanıdık olmayan simgelere dikkat etmeyi öneriyor.

Neden önemli

Kontrol listesinin değeri, sideloading hakkındaki belirsiz tavsiyeleri, geliştiricilerin teknik olmayan kullanıcılara aktarabileceği somut ve doğrulanabilir adımlara dönüştürmesinde. Özellikle imza karşılaştırması, bir dosyanın geliştiricinin kendi derlemesi mi yoksa kurcalanmış bir kopya mı olduğu konusunda kesin bir yanıt sunuyor — ne izin listeleri ne de antivirüs motorlarının garanti edebileceği bir şey. Rutin ayrıca rehberin Android kötücül yazılımları için baskın iletim kanalı olarak gösterdiği yola odaklanırken, sideloading'i ilk place'de değerli kılan esnekliği de koruyor. Bir uyarı geçerli: bu, resmî bir satıcı kılavuzu değil, dev.to'da yayımlanmış tek bir yazarın rutini; VirusTotal ve Play Protect gibi araçlar da orada garanti değil, yararlı filtreler olarak sunuluyor.