Trước khi cài đặt tệp APK, việc so sánh mã băm SHA-256 có thể cho biết tệp của bạn giống hệt phiên bản mà bạn có mã băm đáng tin cậy. Đây là bước kiểm tra hữu ích, nhưng riêng nó không chứng minh rằng ứng dụng không có lỗ hổng hay phần mềm độc hại.
Để tải xuống an toàn, cần đặt ba câu hỏi riêng: tệp đến từ đâu, có bị thay đổi trên đường truyền không và có bằng chứng gì về mã bên trong? Không một giá trị băm nào tự trả lời được cả ba câu hỏi.
Mã băm tệp làm được gì?
SHA-256 tạo một giá trị có độ dài cố định từ nội dung tệp. Khi tệp thay đổi, mã băm của nó được kỳ vọng cũng sẽ thay đổi. Vì vậy, so sánh hai mã băm là một cách thực tế để kiểm tra các byte của tệp có giống hệt nhau hay không.
Kết quả chỉ đáng tin cậy ở mức tương ứng với nguồn tham chiếu dùng để so sánh. Nếu kẻ tấn công có thể thay cả APK lẫn mã băm được đăng bên cạnh, hai giá trị khớp nhau sẽ không làm lộ vấn đề. Mô hình mối đe dọa của Livara cũng giải thích giới hạn này khi kiểm tra tệp.
Cách kiểm tra trước khi cài đặt
Xác định đúng phiên bản. Đối chiếu tên sản phẩm, số phiên bản và loại gói với trang phát hành. Tệp của hai phiên bản khác nhau thường không có cùng mã băm.
Lấy mã băm mong đợi từ nguồn đáng tin cậy. Đừng chỉ dựa vào một tin nhắn không rõ nguồn gửi cả tệp và mã băm cùng lúc. Hãy kiểm tra độc lập địa chỉ trang web chính thức.
Tính mã băm của tệp đã tải. Proof Lab của Livara cung cấp công cụ so sánh mã băm APK. Đừng nhầm công cụ này với một phép kiểm tra bảo mật toàn diện của ứng dụng.
So sánh toàn bộ giá trị. Chỉ vài ký tự đầu hoặc cuối là không đủ. Đồng thời kiểm tra xem có nhầm tên phiên bản hay chọn sai tệp không.
Nếu có khác biệt, hãy dừng cài đặt. Sai khác có thể do phiên bản khác, tải chưa hoàn tất hoặc tệp đã thay đổi; riêng điều đó không chứng minh có phần mềm độc hại. Đừng cài tệp cho đến khi xác định được nguyên nhân, và hãy kiểm tra lại qua kênh chính thức.
Hướng dẫn này không đưa ra mã băm mẫu nào như một “phiên bản an toàn”, vì giá trị đúng phụ thuộc vào tệp phát hành cụ thể.
Mã băm, chữ ký và bản dựng có thể tái lập khác nhau thế nào?
| Kiểm tra | Kết luận có thể được hỗ trợ | Điều mà riêng nó không chứng minh |
|---|---|---|
| Mã băm SHA-256 | Tệp giống hệt nguồn tham chiếu để so sánh | Mã an toàn hoặc nhà phát hành đáng tin cậy |
| Chữ ký APK | Tệp được ký bằng một khóa ký cụ thể và việc xác minh chữ ký hợp lệ | Người giữ khóa sẽ không bao giờ phát hành mã độc |
| Bản dựng có thể tái lập | Có thể tạo ra cùng các byte với mã nguồn, môi trường và chỉ dẫn xác định | Mã nguồn không có lỗi bảo mật |
| Đánh giá bảo mật mã | Các vấn đề đã được phát hiện hoặc đánh giá trong phạm vi và phiên bản được kiểm tra | Không còn lỗi chưa biết nào |
Công cụ apksigner chính thức của Android dùng để kiểm tra chữ ký APK và thông tin chứng chỉ. Cài mới cũng khác với cập nhật ứng dụng hiện có: khi cập nhật, Android kiểm tra tính tương thích của bên ký. Một chữ ký hợp lệ từ nhà phát hành không rõ danh tính chưa đủ để tin tưởng.
Định nghĩa về bản dựng có thể tái lập cũng yêu cầu mã nguồn và môi trường dựng xác định. So sánh mã băm của tệp tải xuống không thay thế được quy trình này.
Phạm vi của Proof Lab là gì?
Ngoài mã băm tệp, trang Proof Lab còn có phần minh họa mật mã trong trình duyệt. Minh họa thành công một thao tác mật mã không phải là kiểm toán toàn diện ứng dụng đã cài, cũng không phải thực thi đầy đủ các giao thức nhắn tin. Bản thân công cụ cũng phải chạy trong môi trường đáng tin cậy: thiết bị hoặc trang bị xâm phạm có thể hiển thị kết quả gây hiểu lầm.
Ngay cả sau khi cài đặt, bản cập nhật, quyền của ứng dụng và bảo mật thiết bị vẫn quan trọng. Xác minh tệp hôm nay không đồng nghĩa với tự động xác minh phiên bản tương lai.
So sánh mã băm là một bước kiểm soát cụ thể trong chuỗi tin cậy; nó có giá trị hơn khi bạn cũng biết nguồn phát hành, bên ký và giới hạn của kết quả.
