Jak bezpieczne jest stosowanie Aptoide?

Podobnie jak w przypadku najnowszej aktualizacji Google Play, teraz już wyświetla się pełna lista uprawnień wymaganych przez aplikację podczas instalacji / aktualizacji ¹ , czuję, że moja prywatność została naruszona. Co gorsza, aplikacja może się zakraść z dodatkowymi uprawnieniami dzięki aktualizacji i bez wiedzy użytkownika ^2,3 .

Więc szukam alternatyw.

TL; DR:

Wiem, że mamy Jakie są alternatywne rynki aplikacji na Androida? , ale a) to mniej więcej lista innych rynków (bez podania tła) ⁴ , i b) nawet nie wspomina o Aptoide .

Nie chcę innej aplikacji, która musi działać w tle na stałe, aby „sprawdzić ważność licencji”, więc rzeczy takie jak Amazon Appstore lub AndroidPIT są niedostępne. AppBrain to po prostu kolejny interfejs do Google Play - choć jest tak miły, że nie rozwiązuje problemu, ponieważ w przypadku instalacji aplikacji i aktualizacji musi tylko przekierować do Google Play - co raczej zamierzam „ uciec".

Już kilka dni temu wypróbowałem F-Droida i czuję, że całkiem odpowiada moim potrzebom (kliknij link, aby uzyskać szczegółowe informacje) - ale przy zaledwie 1,200 aplikacji (na dzień 6/2014) pozostawia zbyt wiele luk.

Mówi się, że Aptoide obsługuje obecnie ponad 120 000 aplikacji . Jak sama nazwa wskazuje, używarepozytoriów w stylu APT , do których jestem przyzwyczajony z Linuksa (Debian i pochodne). Pozwala nawet na posiadanie własnego prywatnego repozytorium do udostępniania aplikacji między urządzeniami (lub przyjaciółmi). Wszystkie aplikacje są oferowane za darmo, więc nie potrzebujesz „serwera licencji”. Ale jak bezpieczny jest dla użytkownika końcowego? Gogłem (i uchylałem się) od wielu godzin, ale nie mogłem znaleźć na to żadnego źródła. Zamiast tego znalazłem wiele linków typu „otrzymuj płatne aplikacje za darmo”, „czarny rynek” i inne rzeczy zorientowane na piractwo - czego zdecydowanie nie szukam. Jestem więcej niż otwarty na płacenie za dobre aplikacje ⁵ , więc „otrzymuję je za darmo” nie jest intencją mojego pytania. LubićF-Droid , Aptoide ma wiele repozytoriów - ale nie mogłem dowiedzieć się, czy istnieje „repozytorium główne”, jak w przypadku F-Droida .

W opisie pakietu dostępne są powiązane informacje (np. Ten ) wskazujące środki bezpieczeństwa, takie jak skanowanie w poszukiwaniu złośliwego oprogramowania, sprawdzanie poprawności podpisów i sprawdzanie poprawności przez strony trzecie. Ale jak pokazuje odpowiednia strona internetowa , ta informacja wydaje się przynajmniej częściowo opierać na opiniach użytkowników (które mogą być sfałszowane / zmanipulowane) lub nawet nie są prezentowane użytkownikowi (informacje o pakiecie, np. Nazwy 3 skanerów używanych do sprawdzenia, I nie mogę znaleźć tych informacji na stronie internetowej). Chociaż może uda mi się sprawdzić informacje za pomocą informacji o pakiecie, nie mogę poprosić o to np. Moich 70-letnich rodziców. Na tej stronie , Aptoide wskazuje również, w jaki sposób, aby zobaczyć wyniki swoich środków bezpieczeństwa i wyraźnie stwierdza:

Platforma Aptoide Anti-Malware analizuje aplikacje w czasie wykonywania i wyłącza potencjalne zagrożenia we wszystkich sklepach.

(Moje podkreślenie) - co sugeruje ochronę przed złośliwym oprogramowaniem porównywalną z ochroną Google Play (jak to idzie w parze z tymi „plotkami z czarnego rynku”? Może po prostu nie usuwają szkodliwych aplikacji, a jedynie je zaznaczają ?).

Więc w końcu

Pytanie:

Czy istnieje sposób, aby bezpiecznie używać Aptoide jako źródła aplikacji? Jeśli tak to jak? ⁶ Jeśli nie, dlaczego nie?

Punkty bonusowe za „idiotyczny” sposób, który można polecić mniej doświadczonym użytkownikom.

Przypisy

¹ Wiem, że byłoby możliwe otwarcie stronyinternetowej aplikacji Sklep Google Play , przewinięcie jej i kliknięcie odpowiedniego łącza po znalezieniu - ale nie można nazwać tego przyjaznym dla użytkownika ani oczekiwać, że użytkownicy zrobią to przy każdej aktualizacji.
² np. Przy pierwszej instalacji zażądał „niczego nie podejrzewającego”READ_PHONE_STATEze zwykłym uzasadnieniem. Z aktualizacji, to może zażądaćCALL_PHONE,PROCESS_OUTGOING_CALLSi inni - a aplikacja Play nie przyniesie, że nawet, gdy należą one do tej samej grupy „”.
³ Aby obliczyć „nowe uprawnienia”, trzeba było porównać uprawnienia zainstalowanej wersji z prawami obecnej. Baw się dobrze!
⁴ Właśnie zredagowałem dwie odpowiedzi i dodałem kilka szczegółów na temat AppBrain i F-Droidaby wypełnić te luki
⁵ Kupiłem wiele aplikacji w Google Play (lub przekazałem darowiznę bezpośrednio), i np. F-Droid ma przyciski darowizn na stronie każdej aplikacji, aby umożliwić to
⁶ Mogłem sobie wyobrazić, wiedząc (i ograniczając twoje zastosowanie do) „bezpiecznych repozytoriów Aptoide” można to osiągnąć. Ale jak napisałem, nie mogłem dowiedzieć się, które z nich uznać za „bezpieczne”. Artykuł Aptoide na Wikipedii sugeruje, że podczas instalacji istnieje „domyślne repozytorium”, a więcej repozytoriów należy dodać ręcznie; więc może trzymać się tego, że pierwszy jest bezpieczny.

Dziękujemy za postawienie tych pytań. Oto kilka informacji o Aptoide, które, mam nadzieję, będą przydatne dla Ciebie i społeczności Stackexchange / Android:

1. Malware to coś, co traktujemy bardzo poważnie. Obecnie mamy 3 różne systemy do wykrywania złośliwego oprogramowania, które pojawiają się w dowolnym sklepie z aplikacjami opartym na Aptoide:
   • uruchamiamy 3 różne antywirusy w emulatorach w czasie wykonywania
   • mamy wewnętrzny system podpisów do wykrywania powtarzających się zagrożeń
   • wdrożyliśmy łańcuch zaufania oparty na podpisie dewelopera
2. Zadaniem stworzenia bezpiecznego środowiska dla użytkownika końcowego jest ruchomy cel. Współpracujemy z kilkoma uniwersytetami i ośrodkami badawczymi, aw ostatnim artykule (jeszcze nieopublikowanym) porównujemy dobrze z innymi sklepami z aplikacjami. Zaproponowaliśmy również europejski projekt badawczy z 2 firmami antywirusowymi i 3 uniwersytetami / ośrodkami badawczymi, aby zająć się tym tematem. Jest wiele do zrobienia, a opinia społeczności jest ważna.
3. F-Droid jest w rzeczywistości bardzo podobny do Aptoide. Są rozwidleniem Aptoide i zachowują wszystkie opracowane przez nas koncepcje, takie jak wiele sklepów. Mają bardziej scentralizowane podejście i centralny podpis, który oczywiście różni się od naszego podejścia.
4. W Aptoide mamy pieczęć „Zaufany”. Jeśli zobaczysz Zaufany znaczek w aplikacji, mamy 99,99% pewności, że aplikacja nie zawiera zagrożenia dla użytkownika końcowego.

Best,
Paulo Trezentos (współzałożyciel Aptoide)

Po odpowiedzi Paula , dalszej wymianie korespondencji z nim, już napisałem szczegółowy opis w mojej odpowiedzi na inne pytanie - a także w artykule na mojej własnej stronie: rynki Androida: Jak bezpieczne są alternatywne źródła?

Następnie od tego czasu uważnie obserwuję Aptoide i nadal tak robię - więc dodaję jeszcze kilka szczegółów (w tym kilka kwestii już wspomnianych wcześniej w kontekście):

• Aptoide nie jest „pojedynczym obszarem dla aplikacji”, takim jak Google Play czy Amazon App-Store. Jest to raczej porównywalne z tym, czym jest Launchpad dla Ubuntu: każdy i jego młodsza siostra mogą tutaj otworzyć własne repozytorium, które jest prezentowane jako „sklep” oddzielony od innych. Istnieje jednak wyszukiwanie globalne (dla aplikacji i sklepów).
• Istnieje tylko jedno repozytorium, które jest „ręcznie wyleczone” przez samą Aptoide, zwane „ aplikacjami ”. Tutaj zespół Aptoide decyduje, które aplikacje wchodzą do repozytorium. Tutaj ja…
  • nie znalazłem ani jednej „pirackiej płatnej aplikacji”, czy to za pieniądze, czy za darmo
  • sprawdziłem podpisy niektórych aplikacji i znalazłem je pasujące do tych z Google Play dla wszystkich, które sprawdziłem
  • nie pamiętam żadnej aplikacji bez „zaufanego” znaczka (co oznacza, że ​​tak oznaczona aplikacja została sprawdzona pod kątem złośliwego oprogramowania za pomocą wielu skanerów (w tym własnego „bouncera” Aptoide)), podpisy zostały zweryfikowane pod kątem zgodności z podpisami innych rynków (głównie Google Play ) i nie tylko - więcej szczegółów na ten temat znajduje się w mojej wcześniej wspomnianej innej odpowiedzi )

Tak więc, moim zdaniem, korzystanie z tego repozytorium jest całkiem bezpieczne .

Jednak przyjrzałem się także kilku innym repozytoriom - gdzie rzeczywiście można znaleźć wiele „pirackich aplikacji” (aplikacje płatne z GPlay „za darmo” zawsze są na to sygnałem). W tych miejscach często brakowało nie tylko „zaufanego” znaczka, ale często znajdowałem znaczek „niezaufany” - co oznacza, że ​​aplikacja była prawdopodobnie skażona (szczegóły były różne; najczęściej znajdowałem podpis: został użyty w innym miejscu do podpisania innego pakietu deweloperów ”, na 99% z pewnością oznacza„ włamanie ”).

Podsumowując: Nie można tu udzielić ogólnej odpowiedzi (odpowiadałoby to na pytanie, czy „Ziemia” jest bezpiecznym miejscem do życia). To, jak bezpieczne jest używanie Aptoide, zależy w dużej mierze od wyboru repozytorium. Jedna z nich jest ręcznie wyleczona i, śmiem twierdzić, równie bezpieczna jak Google Play , Amazon App Store i inne. Niektóre można uznać za całkiem bezpieczne - zwłaszcza jeśli wiesz o ich właścicielach i trzymaj się aplikacji wyświetlających „zaufaną” tarczę.

Unikaj przypisywania aplikacji (obecnie zielonej) „zaufanej” tarczy, szczególnie trzymaj się z daleka od tych, które pokazują (obecnie żółtą) „niezaufaną” tarczę, najlepiej trzymaj się również samego repozytorium aplikacji - a Aptoide powinno być dla ciebie bezpiecznym miejscem .

Uważam, że repozytorium aplikacji jest wystarczająco bezpieczne, aby połączyć je z listami aplikacji - obok F-Droida i Google Play.

Aptoide to znana strona piracka dla aplikacji na Androida. Jeśli uważasz, że jakakolwiek strona, która świadomie dystrybuuje pirackie oprogramowanie, jest bezpieczna, jesteś dość optymistą.

Niedawno wypuściłem moją aplikację na Androida Westward Dystopia TYLKO w sklepie Google Play, aw ciągu kilku dni znalazłem ją na Aptoide. Kiedy skontaktowałem się z firmą w celu usunięcia treści, powiedzieli mi, że nie zrobią tego, chyba że najpierw zarejestruję się w ich serwisie i otworzę konto.

NIE jest to sposób, w jaki działa legalna witryna. Nie ufałbym im tak daleko, jak tylko mogłem je rzucić. Użytkownicy strzeżcie się.