Насколько безопасно использовать Aptoide?

Как и в случае с последним обновлением в Google Play, теперь больше не отображается полный список разрешений, запрашиваемых приложением при установке / обновлении ¹ , я чувствую, что моя конфиденциальность нарушена. Хуже того, приложение может получить дополнительные разрешения при обновлении, и пользователь не узнает ^2,3 .

Поэтому я ищу альтернативы.

TL; DR:

Я знаю, что у нас есть Какие альтернативные рынки приложений для Android? , но а) это более или менее список других рынков (без предоставления сведений ) ⁴ , и б) в нем даже не упоминается Aptoide .

Я не хочу, чтобы другое приложение постоянно работало в фоновом режиме, чтобы «проверить действительность лицензии», поэтому такие вещи, как Amazon Appstore или Google+ , отсутствуют. AppBrain - это просто еще один интерфейс Google Play - настолько приятный, что он не решает проблему, поскольку для установки и обновления приложений ему просто нужно перенаправить его в Google Play - что я, скорее всего, собираюсь » бежать».

Я уже проверил F-Droid несколько дней назад и чувствую, что он вполне соответствует моим потребностям (перейдите по ссылке для получения подробной информации) - но только с 1.200 приложений (по состоянию на 6/2014) он оставляет слишком много пробелов.

С другой стороны, Aptoide обслуживает более 120 000 приложений . Как следует из названия, он используетрепозитории в стиле APT , к которым я привык из Linux (Debian и производные). Это даже позволяет вам иметь свой собственный репо для обмена приложениями между устройствами (или с друзьями). Все приложения предлагаются бесплатно, поэтому нет необходимости в «сервере лицензий». Но насколько это безопасно для конечного пользователя? Я гуглил (и нырнул) часами, но не смог найти никакого источника по этому поводу. Вместо этого я нашел много ссылок типа «платные приложения бесплатно», «черный рынок» и другие вещи, ориентированные на пиратство, что, безусловно, не то, что мне нужно. Я более чем готов платить за хорошие приложения ⁵ , так что «получаю их бесплатно» это не намерение, стоящее за моим вопросом. подобноF-Droid , Aptoide имеет несколько репозиториев - но я не мог понять, есть ли « надежный » основной репозиторий, как с F-Droid .

В описании пакета есть соответствующая информация (например, эта ), в которой указаны меры безопасности, такие как сканирование на наличие вредоносных программ, проверка подписи и проверка третьей стороной. Но, как показывает соответствующая веб-страница , эта информация, по-видимому, частично зависит от отзывов пользователей (которые могут быть сфальсифицированы / манипулированы) или даже не представлена ​​пользователю (информация о пакете, например имена 3 сканеров, которые использовались для проверки, я не могу найти эту информацию на веб-странице). Несмотря на то, что я мог бы искать вещи через информацию о пакете, я не могу, например, попросить моих родителей старше 70 лет сделать это. На этой странице , Aptoide также указует на то , как увидеть результаты своих мер безопасности, а также четко говорится:

Платформа Aptoide Anti-Malware анализирует приложения во время выполнения и отключает потенциальные угрозы во всех магазинах.

(Акцент мой) - который предлагает защиту от вредоносного ПО, сравнимую с защитой Google Play (как это сочетается с этими «слухами о черном рынке»? Может быть, они просто не удаляют вредоносные приложения, а только отмечают их?).

Итак, наконец

Вопрос:

Есть ли способ безопасно использовать Aptoide в качестве источника для приложений? Если да, то как? ⁶ Если нет, то почему?

Бонусные баллы за «идиотский» способ, который можно рекомендовать менее опытным пользователям.

Сноски

¹ Я знаю, что было бы возможно открытьвеб-страницу приложения Google Play Store , прокрутить ее и щелкнуть соответствующую ссылку, когда она будет найдена, но вы не можете назвать это удобным для пользователя или ожидать, что пользователи будут делать это при каждом обновлении.
² Например, при первой установке он запросил «ничего не подозревающий»READ_PHONE_STATEс обычным обоснованием. С обновлением, он может запроситьCALL_PHONE,PROCESS_OUTGOING_CALLSи другие - и приложение Play не принесетчто до,как они принадлежат к «же группе».
³ Чтобы определить «новые разрешения», нужно было сравнить права доступа установленной версии с правами текущей версии. Повеселись!
⁴ Я только что отредактировал два ответа и добавил некоторые подробности о AppBrain и F-Droidчтобы заполнить эти пробелы
⁵ Я купил много приложений в Google Play (или пожертвовал непосредственно разработчику), и, например, F-Droid имеет кнопки пожертвования на странице каждого приложения, чтобы сделать это возможным
⁶ Я мог представить, зная (и ограничивая ваше использование) "безопасных хранилищ Aptoide" это может быть достигнуто. Но, как я уже писал, я не мог понять, какие из них следует считать «безопасными». В статье Aptoide в Википедии говорится, что при установке установлено «репо по умолчанию», и необходимо добавить дополнительные репо вручную; так что, может быть, придерживаться того, что первое безопасно.

Спасибо, что подняли эти вопросы. Вот некоторая информация об Aptoide, которая, я надеюсь, будет полезна для вас и сообщества Stackexchange / Android:

1. Вредоносные программы - это то, к чему мы относимся очень серьезно. В настоящее время у нас есть 3 различные системы для обнаружения вредоносных программ по мере их поступления в любой магазин приложений на базе Aptoide:
   • мы запускаем 3 разных антивируса в эмуляторах во время выполнения
   • у нас есть собственная система подписей для обнаружения повторяющихся угроз
   • мы внедрили цепочку доверия, основанную на подписи разработчика
2. Задача создания безопасной среды для конечного пользователя - это движущаяся цель. Мы работаем с несколькими университетами и исследовательскими центрами, и в недавней статье (еще не опубликованной) мы хорошо сравниваем с другими магазинами приложений. Мы также предложили европейский исследовательский проект с 2 антивирусными компаниями и 3 университетами / исследовательскими центрами для решения этой темы. Предстоит проделать большую работу, и обратная связь от сообщества важна.
3. F-Droid на самом деле очень похож на Aptoide. Они являются вилкой Aptoide и поддерживают все концепции, которые мы разработали, например, несколько магазинов. У них более централизованный подход и центральная подпись, которая, конечно, отличается от нашего подхода.
4. В Aptoide у нас есть марка "Trusted". Если вы видите марку «Доверенные» в приложении, мы на 99,99% уверены, что приложение не содержит угрозы для конечного пользователя.

Бест,
Пауло Трезентос (соучредитель Aptoide)

После ответа Пауло , еще нескольких обменов почтой с ним, я уже написал подробное описание в своем ответе на другой вопрос - а также в статье на моем собственном сайте: Рынки Android: Насколько безопасны альтернативные источники?

После этого я пристально следил за Aptoide с тех пор и продолжаю делать - поэтому позвольте мне добавить еще несколько деталей (включая некоторые пункты, уже упомянутые ранее, для контекста):

• Aptoide - это не «отдельная область для приложений», таких как Google Play или Amazon App-Store. Это довольно сравнимо с тем, что Launchpad для Ubuntu: каждый и его младшая сестра могут открыть здесь свой собственный репозиторий, который представлен как «магазин», отделенный от других. Хотя есть глобальный поиск (для приложений и магазинов).
• Существует только один репозиторий, который «вручную курирует» сам Aptoide, который называется « Приложения ». Здесь команда Aptoide решает, какие приложения входят в репозиторий. Здесь я …
  • не нашел ни одного «пиратского платного приложения», будь то за деньги или бесплатно
  • проверил подпись некоторых приложений и нашел их соответствие те из Google Play для всех я проверил
  • не помню ни одного приложения без «доверенного» штампа (это означает, что помеченное приложение было проверено на наличие вредоносных программ с несколькими сканерами (включая собственный «вышибал» Aptoide)), подписи были проверены на соответствие сигнатурам других рынков (в основном Google Play) ) и многое другое - подробности см. в моем уже упомянутом другом ответе )

Таким образом, мой вывод на самом деле довольно безопасно использовать этот репозиторий .

Однако я также взглянул на несколько других репозиториев, где вы действительно можете найти множество явно «пиратских приложений» (платные приложения от GPlay «бесплатно» всегда являются сигналом для этого). В этих местах не только часто пропускался «доверенный» штамп, но вместо этого я часто обнаруживал «недоверенный» штамп - это означает, что приложение, вероятно, было заражено (детали отличались; чаще всего я обнаружил, что проблема заключается в подписи: «это был использован в другом месте, чтобы подписать другой пакет разработчика "на 99% обязательно указать" взломать ").

Подводя итог: здесь нельзя дать общий ответ (это будет ответ на вопрос, является ли «Земля» безопасным местом для жизни). Насколько безопасно использовать Aptoide, во многом зависит от вашего выбора хранилища. Как известно, один из них курируется вручную и, я бы сказал, так же безопасен, как Google Play , Amazon App Store и другие. Некоторые из них можно считать довольно безопасными, особенно если вы знаете об их владельцах и придерживаетесь приложений, показывающих «доверенный» щит.

Избегайте приложений, которым не назначен (в настоящее время зеленый) «доверенный» щит, особенно держитесь подальше от тех, кто показывает (в настоящее время желтый) «ненадежный» щит, лучше также придерживайтесь только хранилища приложений - и Aptoide должен быть безопасным местом для вас ,

Я считаю хранилище приложений достаточно безопасным, чтобы связать его из списков моих приложений - рядом с F-Droid и Google Play.

Aptoide - это известный пиратский сайт для приложений Android. Если вы думаете, что любой сайт, который сознательно распространяет пиратское программное обеспечение, является безопасным, вы настроены довольно оптимистично.

Недавно я выпустил свое Android-приложение Westward Dystopia ТОЛЬКО в магазине Google Play и через несколько дней обнаружил, что оно предлагается на Aptoide. Когда я связался с компанией, чтобы удалить контент, они сказали мне, что не будут, если я сначала не зарегистрировался для их обслуживания и не открыл счет с ними.

Это НЕ тот способ, которым работает законный сайт. Я бы не стал доверять им настолько, насколько мог их бросить. Пользователи остерегаются.