Uma soma de verificação compara bytes com uma referência. Uma assinatura vincula a integridade a uma chave. Nenhuma delas, sozinha, prova que o software seja seguro.
Antes de instalar um APK para Android, diferencie três verificações: Este arquivo corresponde à versão esperada? Foi assinado com a chave esperada? Desenvolvedores independentes conseguem reproduzi-lo a partir do código-fonte indicado? Uma soma de verificação SHA-256, uma assinatura de APK e uma compilação reproduzível respondem a essas perguntas de maneiras diferentes.
Nenhuma delas, por si só, determina se há malware. Um programa corretamente assinado e reproduzível ainda pode conter uma falha de segurança ou um comportamento intencionalmente prejudicial.
O que cada método de verificação comprova
| Verificação | Resultado útil | Limitação importante |
|---|---|---|
| Hash SHA-256 do arquivo | Seus bytes correspondem a um hash específico e confiável | Um invasor que substitua tanto o arquivo quanto o hash pode contornar essa comparação |
| Verificação da assinatura do APK | A assinatura do pacote é válida de acordo com seu certificado de assinatura | É preciso estabelecer qual chave de assinatura é a esperada; a validade, por si só, não comprova a identidade do publicador |
| Comparação de compilações reproduzíveis | O artefato especificado pode ser recriado a partir de entradas documentadas | A correspondência entre o código-fonte e o binário não prova que o código-fonte seja seguro |
| Análise de segurança | Foram avaliadas questões específicas de projeto ou implementação | O escopo, a versão, as conclusões e os problemas não resolvidos são importantes |
O Android exige a assinatura de APKs para instalação e atualizações. Com o Play App Signing, o Google pode gerenciar a chave de assinatura do aplicativo e gerar APKs para distribuição a partir de um app bundle. Esses são arranjos de confiança documentados, não uma prova de que intermediários quaisquer possam alterar um pacote silenciosamente e preservar sua assinatura válida. Consulte o guia do Android sobre assinatura de aplicativos.
Etapa 1: identifique o artefato exato
Registre a versão do aplicativo, o canal de lançamento, o nome do arquivo e a variante de plataforma pretendida. Use a página oficial de distribuição do publicador, e não uma soma de verificação copiada da mesma mensagem não solicitada que forneceu o APK.
Um APK baixado diretamente do publicador pode ser diferente de um APK gerado por uma loja de aplicativos para um dispositivo. Versões, arquiteturas, formas de empacotamento ou arranjos de assinatura diferentes podem legitimamente produzir hashes de arquivo diferentes. Compare artefatos equivalentes antes de tratar uma divergência como evidência de adulteração.
A pergunta prática é: De onde veio o valor esperado e por que confio nessa fonte? Calcular um hash offline não resolve o problema de confiança em um hash de referência obtido online.
Etapa 2: calcule o SHA-256 localmente
Substitua messenger.apk pelo nome do arquivo baixado. Estes exemplos leem o arquivo; não o instalam.
Linux:
sha256sum messenger.apk
macOS:
shasum -a 256 messenger.apk
Prompt de Comando do Windows:
certutil -hashfile messenger.apk SHA256
Compare o hash completo, ignorando apenas os espaços usados na exibição e a diferença entre letras maiúsculas e minúsculas. Não compare apenas os primeiros ou os últimos caracteres. Guarde o hash esperado junto com as informações de lançamento e versão para que a comparação possa ser repetida.
Se os valores forem diferentes, pare antes da instalação. Confira o artefato e a versão, baixe novamente da fonte confiável se for apropriado e peça esclarecimentos ao publicador sobre qualquer divergência sem explicação. Não “corrija” a soma de verificação esperada para fazê-la corresponder ao arquivo que você recebeu.
Etapa 3: verifique a assinatura do APK
Para quem dispõe do Android SDK Build Tools, a documentação do apksigner, do Google, descreve a verificação de assinaturas e a exibição das informações do certificado:
apksigner verify --verbose --print-certs messenger.apk
A verificação deve ser bem-sucedida nas plataformas compatíveis com o APK. Compare as informações do certificado do signatário com um registro confiável da versão ou com a linhagem de chaves de assinatura documentada pelo publicador. Uma assinatura feita com uma chave desconhecida não se torna confiável por aparecer a palavra “verificado”. Uma rotação legítima de chave de assinatura também exige evidências, e não uma instrução para ignorar uma divergência.
O hash SHA-256 do arquivo APK e a impressão digital SHA-256 de seu certificado de assinatura são valores diferentes. Não compare um com o outro.
Etapa 4: procure evidências de compilações reproduzíveis
Uma alegação de compilação reproduzível exige uma revisão definida do código-fonte, um ambiente de compilação, instruções e um artefato de destino. Partes independentes devem conseguir recriar esse artefato e comparar o resultado. A definição do projeto Reproducible Builds inclui essas entradas como parte da alegação.
Para um aplicativo de mensagens, evidências úteis de uma versão incluem uma tag do código-fonte, versões fixadas das dependências e do conjunto de ferramentas, instruções de compilação e resultados de comparações independentes. Pergunte o que exatamente foi comparado: um artefato não assinado, um APK assinado ou partes selecionadas do conteúdo do pacote. Não deduza a reprodutibilidade apenas porque foram publicados o código-fonte e um hash do arquivo para download.
A reprodutibilidade fortalece a ligação entre o código-fonte analisado e o código distribuído. Ela não transforma uma implementação que não foi analisada em um protocolo seguro, nem prova que um telefone em funcionamento não esteja comprometido.
Onde se encaixa o Proof Lab da Livara
O Proof Lab da Livara permite calcular localmente o hash de um APK e compará-lo com o hash publicado. Suas demonstrações criptográficas têm um escopo mais restrito do que uma auditoria do protocolo completo de mensagens. Use a verificação de hash para a finalidade declarada, junto com as informações esperadas de versão e assinatura; não a trate como prova independente de compilações reproduzíveis ou da ausência de backdoors.
O modelo de ameaças menciona explicitamente a limitação que existe quando tanto um APK quanto seu hash exibido podem ser substituídos. Por isso, a procedência do valor de referência importa tanto quanto executar o cálculo corretamente.
Perguntas frequentes
Uma soma de verificação correspondente prova que um APK é seguro?
Não. Ela estabelece uma correspondência com o hash de referência, supondo uma referência confiável e as propriedades de segurança da função de hash. Não avalia o comportamento do programa.
A verificação da assinatura é redundante se a soma de verificação corresponder?
Não. As verificações fornecem evidências diferentes. Uma assinatura vincula a integridade do pacote a uma chave; um hash de arquivo identifica uma sequência específica de bytes.
Um arquivo baixado da loja precisa corresponder ao hash do APK no site?
Somente se ambos deveriam ser o mesmo artefato. Primeiro, confira o canal de lançamento, a versão e o empacotamento. Uma divergência sem explicação merece investigação, não uma acusação automática nem uma aprovação automática.
Essas verificações podem detectar spyware que já esteja no meu telefone?
Não. Elas avaliam um artefato de instalação, não todos os componentes do estado atual de execução do dispositivo.
