Perché le app sono firmate?

6

Dal sito web Android :

Android requires that all apps be digitally signed with a certificate before they can be installed.

La firma garantisce che solo lo sviluppatore originale possa pubblicare un aggiornamento per la propria app. Non garantisce che nessuna app falsata venga consegnata all'utente al primo posto. Lo sviluppatore non può monitorare se Google fornisce versioni "reali" dei propri apk o di quelli falsi. Quindi l'utente finale deve fidarsi di google. Perché non fare completamente affidamento su google e rimuovere la firma? Gli sviluppatori si autenticano su google tramite il loro account google e quindi ogni app è tracciabile verso il suo sviluppatore. E il percorso da Google all'app Play Store può essere protetto tramite https.

    
posta user10008 08.09.2014 - 18:55
fonte

3 risposte

5

In realtà, la firma del codice è semplicemente un modo per verificare che un'app provenga dall'app store. Non ha nulla a che fare direttamente con chi è l'app o quali sono state le intenzioni dei progettisti delle app.

Il problema dell'introduzione di malware è principalmente dovuto al fatto che non viene catturato dai filtri di Google ( consulta il wiki per le procedure di autenticazione dei dettagli ).

Inoltre, la firma del codice in sé non è sufficiente perché esistono vulnerabilità .

Oltre a tutto ciò che hai dichiarato, la firma del codice consente allo sviluppatore di rilasciare aggiornamenti della propria app senza dover "autenticarsi" [completamente] su Google. Essere firmati in codice significa anche che in teoria è più facile rintracciare fisicamente nel caso in cui abbiate caricato malware, quindi la firma del codice si comporta come una specie di impronta legale (sto semplificando eccessivamente il problema / i dettagli).

La linea di fondo è che lo sviluppatore originale non può fare altro che guardare e segnalare interpretazioni malevole della propria app (per non parlare, molte app "legit" sono semplicemente sfruttabili).

Se ti fidi di "fare completamente affidamento su Google" che cambierebbe gli obblighi legali e molto probabilmente aumenterebbe i costi delle app, visto che Google ora dovrebbe applicare vigorosamente ogni app per evitare azioni legali.

    
risposta data 08.09.2014 - 19:38
fonte
4

La firma delle applicazioni elimina la dipendenza da Google per qualcosa di diverso dal fornire il sistema operativo. Un utente può installare un apk e verificarne la firma, indipendentemente dal fatto che l'apk sia scaricato da Google o ad es. copiato su una scheda SD.

Una volta scaricato un apk, non esiste un modo diretto per tracciare la sua origine. È impossibile sapere dopo quale URL è stato scaricato il file. Una firma in apk attesta l'autenticità del file fino a quando la chiave pubblica può essere tracciata allo sviluppatore originale.

La firma dell'apk garantisce che un'applicazione falsa non può essere installata inosservata, in linea di principio. In pratica, questa garanzia è discutibile poiché l'identità del firmatario non è fornita all'utente in alcun modo legato alla proprietà della chiave privata corrispondente. Tuttavia, uno sviluppatore può verificare l'autenticità di un'app scaricata confrontando l'apk con la versione caricata, o semplicemente verificando che l'apk sia firmato correttamente con la sua chiave pubblica.

Per quanto riguarda il motivo per cui tutti gli apk devono essere firmati, è una questione di semplicità di implementazione: non è necessario distinguere tra app firmate e non firmate. Google fornisce una chiave di debug, per la quale la parte privata è inclusa nell'SDK e chiunque può creare la propria coppia di chiavi; a scopo di sicurezza, un apk firmato dalla chiave di debug o da una chiave sconosciuta non è più sicuro di quanto sarebbe se non fosse firmato.

    
risposta data 09.09.2014 - 01:17
fonte
3

L'utente non ha bisogno di fare affidamento su Google. Possono anche utilizzare il marketplace di Amazon o lo sviluppatore può inviare il .apk direttamente all'utente.

    
risposta data 09.09.2014 - 17:59
fonte

Leggi altre domande sui tag