Vor der Installation einer APK-Datei kann ein Vergleich des SHA-256-Hashes zeigen, dass Ihre Datei mit der Version übereinstimmt, deren vertrauenswürdigen Hash Sie besitzen. Diese Prüfung ist nützlich, beweist allein aber nicht, dass die App frei von Sicherheitslücken oder Schadsoftware ist.
Für einen sicheren Download stellen sich drei getrennte Fragen: Woher stammt die Datei, wurde sie unterwegs verändert und welche Nachweise gibt es zum enthaltenen Code? Kein Hashwert allein beantwortet alle drei Fragen.
Was leistet ein Datei-Hash?
SHA-256 erzeugt aus dem Dateiinhalt einen Wert fester Länge. Wenn sich die Datei ändert, ist zu erwarten, dass sich auch ihr Hash ändert. Der Vergleich zweier Hashes ist daher eine praktische Methode, um die Übereinstimmung der Dateibytes zu prüfen.
Das Ergebnis ist nur so verlässlich wie die Vergleichsreferenz. Kann ein Angreifer sowohl die APK als auch den daneben angegebenen Hash austauschen, deckt die Übereinstimmung das Problem nicht auf. Auch Livaras Bedrohungsmodell erläutert diese Einschränkung der Dateiprüfung.
Prüfung vor der Installation
Bestimmen Sie die gewünschte Version. Vergleichen Sie Produktname, Versionsnummer und Pakettyp mit der Veröffentlichungsseite. Dateien zweier unterschiedlicher Versionen haben normalerweise nicht denselben Hash.
Beziehen Sie den erwarteten Hash aus einer vertrauenswürdigen Quelle. Verlassen Sie sich nicht allein auf eine anonyme Nachricht, die Datei und Hash zusammen liefert. Prüfen Sie die Adresse der offiziellen Website unabhängig.
Berechnen Sie den Hash der heruntergeladenen Datei. Livaras Proof Lab bietet ein Werkzeug zum Vergleich von APK-Hashes. Verwechseln Sie es nicht mit einer umfassenden Sicherheitsprüfung der App.
Vergleichen Sie den gesamten Wert. Die ersten oder letzten Zeichen reichen nicht aus. Prüfen Sie auch, ob der Versionsname oder die ausgewählte Datei verwechselt wurde.
Bei einer Abweichung stoppen Sie die Installation. Ursache kann eine andere Version, ein unvollständiger Download oder eine veränderte Datei sein; eine Abweichung allein beweist keine Schadsoftware. Installieren Sie die Datei nicht, solange die Ursache unklar ist, und prüfen Sie sie erneut über den offiziellen Weg.
Diese Anleitung nennt keinen Beispiel-Hash als „sichere Version“, denn der richtige Wert hängt von der konkreten veröffentlichten Datei ab.
Worin unterscheiden sich Hash, Signatur und reproduzierbarer Build?
| Prüfung | Welche Aussage sie stützen kann | Was sie allein nicht beweist |
|---|---|---|
| SHA-256-Hash | Die Datei stimmt mit der Vergleichsreferenz überein | Der Code ist sicher oder der Herausgeber vertrauenswürdig |
| APK-Signatur | Die Datei wurde mit einem bestimmten Signaturschlüssel signiert und die Signaturprüfung ist erfolgreich | Der Schlüsselinhaber wird niemals Schadcode veröffentlichen |
| Reproduzierbarer Build | Mit festgelegtem Quellcode, einer festgelegten Umgebung und Anweisungen lassen sich dieselben Bytes erzeugen | Der Quellcode ist frei von Sicherheitsmängeln |
| Sicherheitsprüfung des Codes | Im geprüften Umfang und in der geprüften Version wurden Probleme entdeckt oder bewertet | Es bleiben keine unbekannten Mängel zurück |
Das offizielle Android-Werkzeug apksigner dient zur Prüfung von APK-Signaturen und Zertifikatsinformationen. Auch Neuinstallation und Aktualisierung einer vorhandenen App sind nicht dasselbe: Bei Updates prüft Android die Kompatibilität des Signierenden. Eine gültige Signatur eines unbekannten Herausgebers ist kein ausreichender Vertrauensgrund.
Auch die Definition reproduzierbarer Builds setzt einen festgelegten Quellcode und eine festgelegte Build-Umgebung voraus. Der Hashvergleich eines Downloads ersetzt diesen Prozess nicht.
Welchen Umfang hat Proof Lab?
Neben Datei-Hashes enthält die Proof-Lab-Seite eine kryptografische Demonstration im Browser. Die erfolgreiche Demonstration einer kryptografischen Operation ist weder eine vollständige Prüfung der installierten App noch eine vollständige Ausführung der Messenger-Protokolle. Auch das Werkzeug muss in einer vertrauenswürdigen Umgebung laufen: Ein kompromittiertes Gerät oder eine manipulierte Seite kann irreführende Ergebnisse anzeigen.
Nach der Installation bleiben Updates, App-Berechtigungen und Gerätesicherheit wichtig. Die Prüfung der heutigen Datei bestätigt nicht automatisch eine künftige Version.
Der Hashvergleich ist eine konkrete Kontrolle in der Vertrauenskette. Sein Wert steigt, wenn Sie auch die Veröffentlichungsreferenz, den Signierenden und die Grenzen des Ergebnisses kennen.
