Avant d’installer un fichier APK, comparer son hachage SHA-256 peut montrer que votre fichier est identique à la version dont vous possédez un hachage fiable. Cette vérification est utile, mais ne prouve pas à elle seule que l’application est exempte de vulnérabilités ou de logiciels malveillants.
Télécharger en sécurité soulève trois questions distinctes : d’où vient le fichier, a-t-il été modifié en chemin et quelles preuves existent concernant le code qu’il contient ? Aucune valeur de hachage ne répond seule aux trois questions.
À quoi sert le hachage d’un fichier ?
SHA-256 produit une valeur de longueur fixe à partir du contenu du fichier. Si celui-ci change, son hachage est censé changer également. Comparer deux hachages est donc un moyen pratique de vérifier si les octets des fichiers sont identiques.
Ce résultat n’est fiable qu’à hauteur de la référence de comparaison. Si un attaquant peut remplacer à la fois l’APK et le hachage affiché à côté, leur concordance ne révélera pas le problème. Le modèle de menace de Livara explique également cette limite de la vérification des fichiers.
Comment vérifier avant l’installation
Identifiez la version souhaitée. Comparez le nom du produit, le numéro de version et le type de paquet avec la page de publication. Les fichiers de deux versions différentes n’ont généralement pas le même hachage.
Obtenez le hachage attendu auprès d’une référence fiable. Ne vous contentez pas d’un message anonyme fournissant à la fois le fichier et son hachage. Vérifiez indépendamment l’adresse du site officiel.
Calculez le hachage du fichier téléchargé. Le Proof Lab de Livara propose un outil de comparaison des hachages d’APK. Ne le confondez pas avec un test de sécurité complet de l’application.
Comparez la valeur entière. Les premiers ou derniers caractères ne suffisent pas. Vérifiez aussi les erreurs éventuelles de nom de version ou de choix de fichier.
En cas de différence, arrêtez l’installation. Une différence peut venir d’une autre version, d’un téléchargement incomplet ou d’une modification du fichier ; elle ne prouve pas à elle seule la présence d’un logiciel malveillant. N’installez pas le fichier tant que la cause n’est pas claire et vérifiez à nouveau par la voie officielle.
Ce guide ne fournit aucun exemple de hachage présenté comme une « version saine », car la valeur correcte dépend du fichier de publication précis.
Quelles différences entre hachage, signature et compilation reproductible ?
| Vérification | Conclusion qu’elle peut étayer | Ce qu’elle ne prouve pas à elle seule |
|---|---|---|
| Hachage SHA-256 | Le fichier correspond à la référence de comparaison | Le code est sûr ou l’éditeur digne de confiance |
| Signature APK | Le fichier a été signé avec une clé de signature précise et la vérification de signature réussit | Le détenteur de la clé ne publiera jamais de code malveillant |
| Compilation reproductible | On peut produire les mêmes octets avec un code source, un environnement et des instructions définis | Le code source est exempt de failles de sécurité |
| Examen de sécurité du code | Des problèmes ont été découverts ou évalués dans le périmètre et la version examinés | Il ne reste aucune faille inconnue |
L’outil officiel apksigner d’Android sert à vérifier les signatures d’APK et les informations des certificats. Une nouvelle installation et la mise à jour d’une application existante ne sont pas non plus identiques : Android vérifie la compatibilité du signataire lors des mises à jour. Une signature valide d’un éditeur inconnu ne suffit pas à justifier la confiance.
La définition d’une compilation reproductible exige elle aussi un code source et un environnement de compilation définis. La concordance du hachage d’un téléchargement ne remplace pas ce processus.
Quel est le périmètre de Proof Lab ?
Outre le hachage de fichiers, la page Proof Lab présente une démonstration cryptographique dans le navigateur. La réussite d’une démonstration d’opération cryptographique n’est ni un audit complet de l’application installée ni une exécution complète des protocoles de la messagerie. L’outil doit également fonctionner dans un environnement fiable : un appareil ou une page compromis peuvent afficher des résultats trompeurs.
Après l’installation, les mises à jour, les autorisations de l’application et la sécurité de l’appareil restent importantes. Vérifier le fichier d’aujourd’hui ne valide pas automatiquement une version future.
Comparer les hachages est un contrôle précis dans la chaîne de confiance ; il prend davantage de valeur lorsque vous connaissez aussi la référence de publication, le signataire et les limites du résultat.
