Kurmadan önce bir APK’nın imzası nasıl doğrulanır
Bir APK’nın orijinal olduğunu doğrulama yolları: telefonda, bilgisayarda (apksigner) ve VirusTotal ile. Play Store’un resmî parmak iziyle.
Her APK, bir mühür gibi yazarının dijital imzasını taşır: uygulamayı değiştirip reklam ya da zararlı yazılım ekleyen kişi, onu asıl geliştiricinin anahtarıyla yeniden imzalayamaz. İmzayı resmî imzayla karşılaştırmak, APK’nın orijinal olup olmadığını anlamanın en güvenilir yoludur.
Play Store’un resmî imzası
| SHA-256 | F0:FD:6C:5B:41:0F:25:CB:25:C3:B5:33:46:C8:97:2F:AE:30:F8:EE:74:11:DF:91:04:80:AD:6B:2D:60:DB:83 |
|---|---|
| SHA-1 | 38:91:8A:45:3D:07:19:93:54:F8:B1:9A:F0:5E:C6:56:2C:ED:57:88 |
Bir dosya farklı bir parmak izi gösteriyorsa, adı ve simgesi aynı olsa bile resmî mağaza değildir.
1. yöntem: zaten doğrulayan bir arşiv
Düğmemizin yönlendirdiği APKMirror gibi arşivler, yayımlamadan önce her dosyanın geliştiricinin önceki sürümleriyle aynı imzayı taşıdığını doğrular ve parmak izini her sürüm sayfasında gösterir.
2. yöntem: bilgisayarda (en güvenilir)
- Android SDK Build-Tools’u kurun.
- APK’nın bulunduğu klasörde bir terminal açın.
- Şunu çalıştırın:
apksigner verify --print-certs dosya-adi.apk Signer #1 certificate SHA-256 digestsatırını resmî değerle karşılaştırın (apksigner iki nokta üst üste olmadan gösterir).
3. yöntem: VirusTotal
Dosyayı virustotal.com adresine yükleyin; Details sekmesi sertifikayı gösterir. Dosya o hizmette saklanır.