Проверка подписи APK перед установкой
Подпись — единственная объективная проверка файла, которая доступна обычному пользователю. Всё остальное (размер, имя, «доверенный сайт») подделывается легко, подпись — нет.
Что такое подпись и почему она решает
Каждый APK подписан ключом разработчика. Android запоминает эту подпись при установке и разрешает обновлять приложение только файлами с той же подписью. Отсюда практическое следствие: если файл кто-то пересобрал — хоть с добрыми намерениями, хоть нет, — подпись изменится, и это видно.
Как проверить на телефоне
-
Поставьте любое приложение для просмотра APK
Подойдут инструменты вида «APK Analyzer», «App Manager», «Apk Extractor» — их много, все умеют показывать подпись файла и установленных приложений.
-
Откройте в нём скачанный файл
В свойствах будет раздел с подписью и отпечатками — обычно MD5, SHA-1 и SHA-256. Нужен SHA-256: это самая надёжная строка.
SHOT-A06Экран просмотра APK: раздел с подписью и отпечатком SHA-256. Личных данных на нём нет. -
Сравните с отпечатком уже установленной версии
Если приложение стоит и работает и вы ставили его с официальной страницы — сравнивайте новый файл с ним. Отпечатки совпали, значит сборка та же.
-
Если сравнивать не с чем
Скачайте официальный APK со страницы релизов и сверьте его отпечаток с отпечатком сомнительного файла. Разошлись — второй файл пересобран.
Что делать, если подпись не совпала
- не ставьте файл поверх — система и сама не даст;
- удалите загрузку и возьмите APK из релизов;
- если сборка уже установлена и подпись у неё чужая — переустановите приложение с официального файла, как не потерять доступ.
Проверьте, в телефоне дело или в доступе
Если разрешения выставлены, а соединения всё равно нет, добавьте в тот же Happ заведомо рабочую ссылку-подписку. Заработало — дело было в доступе, а не в настройках Android. Демо ТОК VPN на 3 дня выдаётся без карты.
- ссылка приходит сразу
- добавляется в Happ одной кнопкой
- карта не нужна
Нужно ли проверять подпись каждый раз?
Нет. При установке с официальной страницы проекта это лишнее. Проверка нужна, когда файл получен со стороны — с форума, из чата, файлообменником.
Разные отпечатки у разных версий — это нормально?
Нет: у всех версий одного приложения подпись одна. Меняется только содержимое файла, а значит его контрольная сумма, но не подпись.
Контрольная сумма и подпись — это одно?
Нет. Сумма (SHA-256 файла) говорит, что файл не побился при скачивании. Подпись говорит, кто его собрал. Проверять полезно обе.
Само приложение бесплатное, но без подписки оно пустое: серверов внутри нет. Ссылка ТОК VPN добавляется в Happ на Android одной кнопкой и работает на всех ваших устройствах сразу — первые 3 дня бесплатно и без карты.
Оформить доступ →