تغییر کدهای اصلی در بازارهای غیررسمی اصلی‌ترین روش توزیع بدافزار است؛ هش SHA-256 به عنوان یک اثر انگشت دیجیتال، کوچک‌ترین دستکاری را آشکار می‌کند.
فایل نصبی APK را بهتر است از مسیر رسمی محصول دریافت کنید. اگر سازنده برای همان نسخه یک هش SHA-256 منتشر کرده باشد، می‌توانید هش فایل دانلودشده را روی دستگاه خود حساب و دو رشته را مقایسه کنید. تطابق آنها نشان می‌دهد فایل شما با فایل معرفی‌شده توسط آن منبع یکسان است؛ به‌تنهایی امن بودن کد یا ارتباط باینری با سورس را ثابت نمی‌کند.
بررسی عملی چه مراحلی دارد؟
۱. شماره نسخه و منبع فایل را ثبت کنید. ۲. هش منتشرشده را از صفحه رسمی همان نسخه بگیرید؛ اگر مهاجم هم فایل و هم صفحه هش را عوض کند، مقایسه بی‌فایده است. ۳. با ابزار معتبر محلی SHA-256 فایل را محاسبه کنید. ۴. همه نویسه‌های هش را مقایسه کنید. در صورت تفاوت، فایل را نصب نکنید و نسخه را دوباره از منبع رسمی بگیرید.
Proof Lab لیوارا محاسبه هش فایل را در مرورگر انجام می‌دهد و فایل را برای این آزمون بارگذاری نمی‌کند. استفاده آفلاین از آزمون، همان فایل و همان هش رسمی را می‌سنجد؛ خود این صفحه ممیزی امنیتی محصول نیست.
هش، امضا و ساخت بازتولیدپذیر
هش برابر فقط تطابق بایت‌ها را نشان می‌دهد. امضای APK رابطه فایل با کلید امضاکننده را بررسی می‌کند، ولی داشتن امضا به معنی نبود آسیب‌پذیری نیست. اثبات برابری باینری منتشرشده با کد منبع به فرایند ساخت بازتولیدپذیر و آزمون مستقل همان نسخه نیاز دارد. مقایسه هش به‌تنهایی چنین اثباتی فراهم نمی‌کند.
مرز امنیتی بعد از نصب
بدافزار روی دستگاه، دسترسی غیرمجاز به صفحه باز، بازیابی ناامن و کلید مخاطب اشتباه می‌توانند محتوای گفتگو را در معرض خطر قرار دهند، حتی اگر هش APK کاملاً مطابق باشد. مدل تهدید Livara Chat و چک‌لیست پیام‌رسان امن این لایه‌ها را جداگانه بررسی می‌کنند.
