Методология

Карточки бывают двух видов и несут разные факты. Эта страница говорит, какие именно.

Карточки, файл которых мы храним

1. Файл скачивается из источника, записанного в нашей конфигурации, — со страницы релизов или сайта самого разработчика. Из магазинов и зеркал файлы мы не берём.
2. Штатный apksigner от Android проверяет подпись до того, как что-либо записано. Файл, который не проходит проверку, содержит больше одного подписанта или чей отчёт мы не можем прочитать однозначно, отклоняется: карточкой он не станет.
3. Сертификат сверяется с тем, который мы записали для этого приложения. Первый подтверждается вручную: редактор проверяет, что источник — официальная точка распространения разработчика, и записывает отпечаток, URL источника, своё имя и дату.
4. Более поздний релиз, подписанный другим сертификатом, отклоняется, и карточка не обновляется.
5. Отдельно редактор записывает, почему apkproof вообще готов распространять этот файл. Без такой записи у карточки нет страницы и она ничего не отдаёт.
6. Мы кэшируем результат VirusTotal по конкретному файлу и показываем его как счётчик с датой. Отмеченный файл снимается с публичной раздачи.

Карточки, файл которых мы не храним

Файла у нас нет и ни одного мы не проверяли. Карточка ведёт к официальному источнику и приводит справочные данные из его карточки — имя пакета и издателя, которого называет магазин. Ничто на такой карточке не является результатом нашей проверки APK.

Чего всё это не доказывает

• Не то, что приложение безопасно. Подпись говорит, что файл не менялся после подписания, и ничего не говорит о том, что делает код.
• Не то, кто в реальности владеет ключом подписи. Сертификат называет ключ, а не проверенного человека или компанию.
• Не вердикт о вредоносности. Счётчик VirusTotal — датированное показание третьей стороны, а не наша оценка.
• Не одобрение со стороны какого-либо магазина или вендора и не утверждение о том, чего у нас никогда не было.

Если что-то не так

Карточку можно снять с сайта одним действием оператора на время рассмотрения обращения. Если удаление оставлено в силе, мы также перестаём принимать при ingest пакет этого приложения — плюс точный хэш файла и URL источника, когда они нам известны, — поэтому более поздний релиз того же приложения будет отклонён, а не тихо добавлен снова. Ни удаление, ни отказ не являются выводом о нарушении и не являются вердиктом о вредоносности: и то и другое — редакционные решения, которые мы записываем.

Сообщить о нарушении авторских прав · Сообщить о подозрительном файле

Кто отвечает