Come si può rilevare se Apple / Google / etc. ha modificato un'applicazione di terzi distribuita tramite i loro App Store?

Lo sviluppatore dell'applicazione può controllare, se lo desidera, semplicemente scaricando e installando l'applicazione da sé e confermando che ciò che ottiene corrisponde a ciò che ha caricato.

Gli utenti occasionali dei mercati non possono verificare da soli che le applicazioni scaricate non siano state modificate dal mercato delle app. Ma possiamo probabilmente contare sul fatto che gli sviluppatori si lamentino pubblicamente se rilevano questo tipo di comportamento scorretto con la loro app. Il fatto che non abbiamo visto lamentele pubbliche di questo tipo suggerisce che probabilmente è inesistente o relativamente raro; è difficile immaginare che Google o Apple stiano facendo questo su larga scala, perché sarebbe troppo facile per qualcuno rilevarlo e diffondere le notizie.

Si noti che, nei principali mercati delle app (come Android Market e iPhone App Store) la connessione tra il mercato delle app e il telefono dell'utente è protetta tramite SSL, quindi gli intercettatori e gli uomini in mezzo non possono modificare l'applicazione mentre è in transito. Quindi è proprio Google e Apple che dobbiamo fidarci.

Quindi, nel grande schema delle cose, probabilmente non vale la pena preoccuparsi di questa minaccia. Google e Apple hanno molti incentivi a non manomettere le app che vengono offerte tramite il loro negozio. Dovresti preoccuparti di più della minaccia di app canaglia, squallide o sgradevoli create dallo sviluppatore in questo modo.

Are there any realistic methods for verifying that Apple or whoever has not tampered with third party application distributed through their App Store?

Non so nulla dell'Apple Store e dei suoi meccanismi, o dell'archivio di Windows o di quello che viene chiamato Ubuntu, ma non è questo il caso della firma del codice?

Se Apple / Google / NextBigCompany non sono riusciti a trovare una collisione hash utilizzabile e la tua chiave privata è ragionevolmente ben protetta, ciò dovrebbe consentire una distribuzione sicura. Dopotutto, questo è l'intero punto dello schema di autenticazione.

Come sottolinea Thomas, non vi è alcuna garanzia che l'azienda non possa modificare il file binario una volta caricato in memoria. Infatti, nel caso del sistema operativo Windows, in realtà lo fanno deliberatamente (per rendere il vostro lavoro binario, non fatevi prendere dal panico, non è cattivo, vedere le correzioni IAT). Ma devi decidere di fidarti di loro ad un certo punto.

Se Apple e altri non consentono app con firma del codice, dovrebbero farlo molto bene.