Представитель Google объявил на Reddit , что компания начала распространение первой версии своей функции Advanced Flow , предназначенной для повышения безопасности установки приложений от непроверенных разработчиков.
Давайте объясним, что такое установка приложений из сторонних источников (sideloading), почему Google Play не является на 100% безопасным, на что следует обращать внимание при установке приложений из сторонних источников, чтобы сделать это безопаснее, и как работает система Google. Advanced Поток в этом помогает.
Что такое боковая загрузка?
Загрузка извне позволяет Android Пользователи устанавливают приложения не из Google Play. Это может быть полезно, но также создает возможности для мошенничества и распространения вредоносного ПО.
Android Открытость — одно из неизменных преимуществ этой платформы. Вы не ограничены одним магазином приложений: вы можете устанавливать приложения с веб-сайта разработчика, альтернативного маркетплейса, корпоративного портала или из файла, предоставленного вам напрямую.
Это называется боковой загрузкой. Она не обязательно опасна, но снимает некоторые ограничения, которые обеспечиваются традиционным распространением приложений через магазины приложений. Загрузка приложений непосредственно из Google Play Store не гарантирует безопасность, но, по крайней мере, существует некоторая проверка. Google заявляет, что заблокировал более 1,75 миллиона приложений, нарушающих правила, и запретил более 80 000 учетных записей разработчиков, связанных с вредоносными приложениями, к 2025 году.
Существует несколько причин для загрузки файлов из сторонних источников:
- Разработчик распространяет приложение напрямую со своего собственного веб-сайта.
- Приложение недоступно в вашей стране или в Google Play.
- Альтернативный репозиторий приложений может предложить то, что вам нужно, например, программное обеспечение с открытым исходным кодом.
- Вам нужно корпоративное, бета- или специализированное приложение.
- Вы хотите установить версию, которая в настоящее время недоступна в Google Play.
Однако авторы вредоносного ПО и онлайн-мошенники используют ту же гибкость. Они могут выдавать себя за банки , службы доставки, государственные учреждения, криптовалютные платформы, новостные агентства или кадровые агентства, а затем убеждать жертв установить приложение для «защиты» учетной записи, получения платежа или решения вымышленной проблемы.
Google Play — это не бесплатный пропуск.
В Google Play есть процессы проверки, контроль за соблюдением правил, инструменты для разработчиков и Google Play Protect . Кроме того, после публикации приложения проводятся постоянные проверки. Эти меры существенно снижают риски, но не делают каждое объявление безвредным или каждого разработчика заслуживающим доверия.
К числу угроз, которые могут возникать через официальные каналы, относятся:
- Троянские программы, замаскированные под полезные утилиты, игры или финансовые приложения.
- Рекламное ПО и приложения, которые вводят в заблуждение относительно их поведения.
- Ловушки для подписчиков и обманные методы выставления счетов.
- Приложения для сбора данных, запрашивающие больше доступа, чем им необходимо.
- Приложения для отслеживания сна, которые меняют свое поведение после прохождения первоначальной проверки.
Google Play Protect проверяет приложения из Play Store перед загрузкой, а также сканирует приложения из других источников. Он может предупреждать о потенциально вредоносных приложениях, отключать их или удалять, но его следует рассматривать как один из уровней безопасности, а не как замену тщательной проверке приложения перед установкой.
Защита мобильных устройств — везде и всегда.
Короче говоря, фраза «доступно в Google Play» — это позитивный сигнал, а не заключение о безопасности.
Почему боковая загрузка требует внимания
Главное отличие между установкой из официального магазина и загрузкой APK-файла из другого источника заключается не только в формате файла. Речь идёт о цепочке доверия.
При загрузке файлов из сторонних источников у вас может быть меньше гарантий относительно:
- Кто создал приложение?
- Был ли файл изменен или переупакован?
- Выдаёт ли сайт для скачивания себя за легитимного разработчика?
- Получать ли вы настоящие обновления
- Пытается ли мошенник заставить вас отключить средства защиты?
Часто решающим фактором становится социальная инженерия. Убедительный звонок, всплывающее окно, текстовое сообщение или сообщение в чате могут содержать утверждения о срочной необходимости установки приложения. Цель злоумышленника часто состоит в том, чтобы заставить жертву проигнорировать предупреждения, прежде чем она успеет задать вопросы по поводу запроса.
Любую неожиданную просьбу установить приложение следует воспринимать как подозрительную, особенно если она исходит из спешки, но носит секретный характер, сопровождается обещанием денег или утверждением, что этого требует ваш банк, правительство, работодатель или поставщик устройства.
Законный банк, государственное учреждение, правоохранительная организация или поставщик технической поддержки не должны звонить или писать вам сообщения с указанием установить APK-файл или ослабить защиту. Android настройки безопасности.
Как безопаснее загружать вещи сбоку
Устанавливайте сторонние приложения только при наличии для этого конкретной причины и убедитесь, что решение было принято вами лично, а не в результате неожиданного сообщения или телефонного звонка.
- Начните с официального сайта разработчика. Не используйте рекламные результаты поиска, случайные порталы для скачивания, ссылки, присланные незнакомцами, или похожие домены.
- Проверьте разработчика самостоятельно. Изучите официальный сайт издателя, документацию, общедоступный репозиторий кода и проверенные каналы сообщества. Информации, предоставленной только на странице загрузки, недостаточно.
- Отдавайте предпочтение проверенным репозиториям. Если приложение распространяется вне Google Play, по возможности используйте источник с хорошей репутацией в отношении происхождения и проверки подписи. Для опытных пользователей может быть полезно сравнить сертификат подписи APK-файла или криптографический хеш со значением, опубликованным разработчиком. Это не всегда практично, но может помочь выявить подделки.
- Не устанавливайте приложения под давлением. Завершите звонок, закройте чат и самостоятельно проверьте информацию о предполагаемой организации, используя найденные вами контактные данные.
- Не оставляйте включенным Google Play Protect. Он сканирует приложения во время установки и периодически после нее, включая приложения, установленные вне Google Play.
- Проверьте права доступа до и после установки. Будьте особенно осторожны, если простое приложение запрашивает доступ к службам специальных возможностей, SMS-сообщениям, уведомлениям, администрированию устройства, контактам или записи экрана.
- Регулярно обновляйте Android и приложения. Исправления безопасности могут защитить как от уязвимостей операционной системы, так и от известных вредоносных действий приложений.
- Используйте проверенное программное обеспечение для обеспечения безопасности мобильных устройств . Отдельный уровень безопасности может помочь выявить рискованное поведение и обеспечить дополнительную прозрачность в отношении потенциально нежелательных или вредоносных приложений.
- Удалите разрешения и деинсталлируйте приложения, которым вы больше не доверяете или которыми не пользуетесь. Приложение, которое казалось безобидным при установке, может стать обузой, если его разработчик откажется от него или изменит направление деятельности.
Как работает новая компания Google Advanced Поток помогает
Google внедряет Advanced Flow для установки приложений от разработчиков, которые еще не завершили процесс установки. Android Новый процесс проверки личности. Эта функция предназначена для пользователей, которые понимают риски установки непроверенного программного обеспечения, но при этом нуждаются в такой гибкости.
Примечателен тем, что его дизайн нацелен как на атаки с использованием методов социальной инженерии, так и на вредоносное ПО. Вместо мгновенного отключения одним касанием, система требует от пользователей выполнения следующих действий:
- Включите режим разработчика в системных настройках. Это довольно просто и помогает предотвратить случайные или мгновенные обходы защиты, часто используемые в мошеннических схемах с применением силы.
- Проведите быструю проверку безопасности , чтобы убедиться, что никто не уговаривает вас отключить защиту. Мошенники часто оказывают давление на жертв, чтобы те отключили средства защиты.
- Перезагрузите устройство, это отключит любой удаленный доступ или активные телефонные звонки, которые мошенник мог бы использовать для того, чтобы вас обмануть.
- Подождите один день, затем подтвердите изменение с помощью биометрических данных, таких как отпечаток пальца или разблокировка по лицу, или PIN-кода вашего устройства. Эта одноразовая задержка в один день снимает фактор срочности, на который рассчитывают мошенники, и дает вам время подумать.
После завершения процесса вы можете разрешить установку приложений от непроверенных разработчиков на семь дней или на неопределенный срок.
Advanced Flow не означает, что Google Play абсолютно безопасен, и не делает непроверенные приложения по своей сути вредоносными. Проверка разработчика обеспечивает подотчетность: она связывает приложение с проверенным разработчиком, но не гарантирует, что каждое приложение безопасно или подходит для каждого пользователя.
В конечном итоге, решение за вами. Устанавливайте приложения, потому что вы выбрали их, проверив источник, а не потому, что кто-то другой спровоцировал чрезвычайную ситуацию.
Независимо от того, откуда взято приложение — из Google Play или из стороннего источника, — перед установкой стоит задуматься. Проверьте, кто его создал, зачем ему нужны запрашиваемые разрешения, насколько надежен способ загрузки, и откажитесь от установки, если кто-то пытается вас поторопить. Эта небольшая сложность — не просто неудобство, а преимущество.
Мошенники знают о вас больше, чем вы думаете.
Malwarebytes Mobile Security вас от фишинга, мошеннических SMS-сообщений, вредоносных сайтов и многого другого. Благодаря встроенной функции Scam Guard, работающей на базе искусственного интеллекта в режиме реального времени.
