Antes de instalar un archivo APK, comparar su hash SHA-256 puede indicar que tu archivo es idéntico a la versión cuyo hash fiable tienes. Es una comprobación útil, pero por sí sola no demuestra que la aplicación esté libre de vulnerabilidades o malware.
Para descargar con seguridad hay tres preguntas distintas: ¿de dónde procede el archivo?, ¿ha cambiado durante el trayecto? y ¿qué pruebas existen sobre el código que contiene? Ningún valor hash responde por sí solo a las tres.
¿Qué hace el hash de un archivo?
SHA-256 genera un valor de longitud fija a partir del contenido del archivo. Si el archivo cambia, se espera que su hash también cambie. Por tanto, comparar dos hashes es una forma práctica de comprobar si los bytes de los archivos son idénticos.
El resultado solo es tan fiable como la referencia de comparación. Si un atacante puede sustituir tanto el APK como el hash mostrado junto a él, la coincidencia no revelará el problema. El modelo de amenazas de Livara también explica esta limitación de la comprobación de archivos.
Cómo comprobarlo antes de instalar
Identifica la versión deseada. Compara el nombre del producto, el número de versión y el tipo de paquete con la página de publicación. Los archivos de dos versiones diferentes normalmente no tienen el mismo hash.
Obtén el hash esperado de una referencia fiable. No te limites a un mensaje anónimo que envía juntos el archivo y el hash. Verifica de forma independiente la dirección del sitio oficial.
Calcula el hash del archivo descargado. Proof Lab de Livara ofrece una herramienta para comparar hashes de APK. No la confundas con una prueba completa de seguridad de la aplicación.
Compara el valor completo. Los primeros o los últimos caracteres no bastan. Comprueba también posibles errores en el nombre de la versión o en el archivo seleccionado.
Si hay diferencias, detén la instalación. La discrepancia puede deberse a otra versión, una descarga incompleta o un archivo modificado; por sí sola no demuestra que haya malware. No instales el archivo hasta aclarar la causa y vuelve a comprobarlo por la vía oficial.
Esta guía no proporciona ningún hash de ejemplo como «versión segura», porque el valor correcto depende del archivo concreto de la publicación.
¿En qué se diferencian los hashes, las firmas y las compilaciones reproducibles?
| Comprobación | Conclusión que puede respaldar | Lo que no demuestra por sí sola |
|---|---|---|
| Hash SHA-256 | El archivo coincide con la referencia de comparación | El código es seguro o el editor es fiable |
| Firma del APK | El archivo se firmó con una clave de firma concreta y la verificación de la firma es válida | El titular de la clave nunca publicará código malicioso |
| Compilación reproducible | Con un código fuente, un entorno y unas instrucciones definidos pueden generarse los mismos bytes | El código fuente carece de fallos de seguridad |
| Revisión de seguridad del código | Se han descubierto o evaluado problemas dentro del alcance y la versión revisados | No queda ningún fallo desconocido |
La herramienta oficial apksigner de Android sirve para verificar firmas de APK e información de certificados. Tampoco es lo mismo una instalación nueva que actualizar una aplicación existente: Android comprueba la compatibilidad del firmante al actualizar. Una firma válida de un editor desconocido no es motivo suficiente para confiar.
La definición de compilación reproducible también exige un código fuente y un entorno de compilación definidos. La coincidencia del hash de una descarga no sustituye ese proceso.
¿Cuál es el alcance de Proof Lab?
Además del hash de archivos, la página de Proof Lab ofrece una demostración criptográfica en el navegador. Demostrar correctamente una operación criptográfica no equivale a una auditoría completa de la aplicación instalada ni a ejecutar íntegramente los protocolos de la mensajería. La herramienta también debe ejecutarse en un entorno fiable: un dispositivo o una página comprometidos pueden mostrar resultados engañosos.
Después de instalar, las actualizaciones, los permisos de la aplicación y la seguridad del dispositivo siguen siendo importantes. Verificar el archivo de hoy no verifica automáticamente una versión futura.
Comparar hashes es un control concreto en la cadena de confianza; su valor aumenta cuando también conoces la referencia de publicación, el firmante y los límites del resultado.
