قبل تثبيت ملف APK، يمكن أن تُظهر مطابقة بصمة SHA-256 أن ملفك مطابق للإصدار الذي تملك بصمة موثوقة له. هذا الفحص مفيد، لكنه لا يثبت وحده أن التطبيق خالٍ من الثغرات أو البرمجيات الخبيثة.
للتنزيل الآمن ثلاثة أسئلة منفصلة: من أين جاء الملف، وهل تغيّر في الطريق، وما الأدلة المتاحة عن الشيفرة داخله؟ لا تجيب أي قيمة بصمة وحدها عن الأسئلة الثلاثة.
ماذا تفعل بصمة الملف؟
تنتج SHA-256 قيمة بطول ثابت من محتوى الملف. إذا تغيّر الملف، فمن المتوقع أن تتغيّر بصمته أيضًا. لذا فإن مقارنة بصمتين طريقة عملية لفحص تطابق بايتات الملف.
لا تكون النتيجة أوثق من مرجع المقارنة. إذا استطاع المهاجم تبديل ملف APK والبصمة المعروضة بجانبه معًا، فلن تكشف مطابقة القيمتين المشكلة. يوضح نموذج تهديدات ليفارا هذا القيد لفحص الملفات أيضًا.
طريقة الفحص قبل التثبيت
حدّد الإصدار المطلوب. قارن اسم المنتج ورقم الإصدار ونوع الحزمة بصفحة الإصدار. لا تكون بصمتا ملفين لإصدارين مختلفين متطابقتين عادةً.
احصل على البصمة المتوقعة من مرجع موثوق. لا تكتفِ برسالة مجهولة ترسل الملف والبصمة معًا. تحقّق من عنوان الموقع الرسمي بصورة مستقلة.
احسب بصمة الملف الذي نزّلته. يوفّر مختبر الإثبات في ليفارا أداة لمقارنة بصمة APK. لا تخلط بين هذه الأداة واختبار شامل لأمان التطبيق.
قارن القيمة كاملة. لا تكفي بضعة أحرف في البداية أو النهاية للمطابقة. تحقّق أيضًا من عدم وجود خطأ في اسم الإصدار أو اختيار الملف.
إذا اختلفت القيمتان، فأوقف التثبيت. قد يكون الاختلاف بسبب إصدار مختلف أو تنزيل غير مكتمل أو تغيير في الملف؛ ولا يثبت وحده وجود برمجية خبيثة. لا تثبّت الملف حتى تتضح العلة، وأعد التحقق عبر المسار الرسمي.
لا يقدّم هذا الدليل أي بصمة نموذجية بوصفها «إصدارًا سليمًا»، لأن القيمة الصحيحة تعتمد على ملف إصدار محدد.
ما الفرق بين البصمة والتوقيع والبناء القابل لإعادة الإنتاج؟
| الفحص | النتيجة التي قد يدعمها | ما لا يثبته وحده |
|---|---|---|
| بصمة SHA-256 | الملف مطابق لمرجع المقارنة | الشيفرة سليمة أو الناشر موثوق |
| توقيع APK | الملف موقّع بمفتاح محدد والتحقق من التوقيع صالح | صاحب المفتاح لا ينشر شيفرة خبيثة أبدًا |
| البناء القابل لإعادة الإنتاج | يمكن إنتاج البايتات نفسها باستخدام مصدر وبيئة وتعليمات محددة | المصدر خالٍ من العيوب الأمنية |
| مراجعة أمن الشيفرة | اكتُشفت مشكلات أو قُيّمت ضمن النطاق والإصدار اللذين خضعا للمراجعة | لم يبقَ أي عيب غير معروف |
تُستخدم أداة apksigner الرسمية من Android لفحص توقيع APK ومعلومات الشهادة. كذلك، يختلف التثبيت الجديد عن تحديث تطبيق موجود؛ إذ يتحقق Android عند التحديث من توافق الجهة الموقّعة. التوقيع الصالح لناشر مجهول ليس سببًا كافيًا للثقة.
يتطلب تعريف البناء القابل لإعادة الإنتاج أيضًا مصدرًا وبيئة بناء محددين. مطابقة بصمة التنزيل لا تحل محل هذه العملية.
ما نطاق مختبر الإثبات؟
إضافة إلى بصمة الملف، تتضمن صفحة Proof Lab عرضًا توضيحيًا للتشفير داخل المتصفح. نجاح عرض عملية تشفير ليس تدقيقًا شاملًا للتطبيق المثبّت أو تنفيذًا كاملًا لبروتوكولات المراسلة. ويجب تشغيل الأداة نفسها في بيئة موثوقة؛ فقد يعرض جهاز أو صفحة مصابة نتيجة مضللة.
حتى بعد التثبيت، تظل التحديثات وأذونات التطبيق وأمان الجهاز مهمة. التحقق من ملف اليوم لا يعني التحقق تلقائيًا من إصدار مستقبلي.
مطابقة البصمة فحص محدد ضمن سلسلة الثقة؛ وتزداد قيمته عندما تعرف أيضًا مرجع الإصدار والجهة الموقّعة وحدود النتيجة.
