APK — это архив, в котором упаковано android-приложение: код, ресурсы и манифест с тем, что программе разрешено делать. У каждого файла есть криптографическая подпись издателя — единственный признак, технически связывающий файл с автором. Имя файла и иконка к подписи отношения не имеют и подделываются без усилий.
Что такое APK
APK (Android Package) — ZIP-архив фиксированной структуры.
- AndroidManifest.xml — имя пакета, версия, разрешения (сеть, файлы, камера), компоненты.
- classes.dex — скомпилированный код в формате, понятном виртуальной машине Android.
- resources.arsc и res/ — изображения, строки интерфейса, макеты экранов.
- META-INF/ — подпись издателя и контрольные суммы файлов архива.
Систему не интересует источник файла — она читает манифест и проверяет подпись.
Подпись приложения
Каждый APK подписывается закрытым ключом издателя. Подпись гарантирует: файл не менялся после подписания, а обновления подписаны тем же ключом, что и первая версия.
Подпись не гарантирует, что за ключом стоит та компания, чьё название написано в приложении, — ключ сгенерирует кто угодно. Две сборки с одним названием и логотипом, но разными ключами, — это разные программы.
Идентификатор пакета
У каждого приложения есть идентификатор пакета (package name) — техническое имя вида com.company.vpnapp, отдельное от названия и иконки. По нему система различает приложения, а не по тому, что видит пользователь.
Два файла с названием «VPN» и похожей иконкой могут иметь разные идентификаторы — тогда это разные программы, даже если одна копирует интерфейс другой.
Магазин против файла
Магазин приложений (Google Play, RuStore) добавляет слои, которых нет при установке APK напрямую:
| Магазин | Файл APK | |
|---|---|---|
| Проверка перед публикацией | Сканирование, модерация | Нет |
| Источник подписи | Привязан к аккаунту издателя | Неизвестен без сверки |
| Обновления | Автоматически, тем же ключом | Вручную |
| Отзыв сборки | Магазин снимает вредоносное приложение | Файл не отзовут |
| Совместимость с устройством | Проверяется | Не проверяется |
Файл вне магазина лишён всех этих слоёв разом. Это не всегда опасно — так распространяются и официальные приложения, — но проверка ложится на того, кто устанавливает.
Предупреждение «неизвестный источник»
При установке APK не из магазина Android показывает предупреждение: файл получен из источника, который система не может проверить обычным образом. Это техническое сообщение, а не оценка файла — цепочка магазин → аккаунт издателя → сканирование в этом случае пропущена, и только это оно означает.
Как сверяют файл с официальной сборкой
Файл сопоставляют с официальной сборкой по трём признакам.
- 1Идентификатор пакета — совпадает ли с тем, что указывает издатель.
- 2Отпечаток подписи (сертификата) — сверяется с эталоном, если издатель его публикует.
- 3Контрольная сумма файла (хеш) — сверяется со значением на официальной странице издателя.
Ни один признак не заменяет два других: название и иконка ничего не проверяют, а хеш без подтверждённого источника для сравнения тоже бесполезен. Смысл — в подтверждённом первоисточнике всех трёх значений, а не в случайном каталоге.
Почему это чувствительно для VPN-приложений
VPN-клиент получает доступ к сетевому трафику устройства: видит, куда идут запросы, и может их перенаправлять. Ошибка в происхождении файла здесь касается всего трафика целиком, а не отдельной функции. Формат APK одинаков и для добросовестного, и для недобросовестного приложения — разница в том, кто держит ключ подписи и что делает код внутри.
Официальные и сторонние сборки VPN-клиентов, включая то, что публикуют разработчики на GitHub, разобраны в материале про сборки. Рейтинг сервисов — в каталоге VPN.
FAQ
Чем APK отличается от приложения из магазина? Технически это тот же формат — магазин тоже распространяет APK через свою инфраструктуру. Разница в слоях вокруг файла: модерации перед публикацией, привязке подписи к аккаунту издателя, автообновлениях. Файл, полученный напрямую, лишён этих проверок, и ответственность переходит на того, кто устанавливает.
Означает ли предупреждение «неизвестный источник», что файл опасен? Нет, это не оценка конкретного файла. Система сообщает, что цепочка проверки через магазин пропущена — она физически не может знать, вредонос перед ней или легитимная сторонняя сборка. Предупреждение фиксирует факт пропуска проверки, а не вердикт о файле и не запрещает установку — решение остаётся за пользователем.
Может ли поддельное приложение иметь то же название и иконку, что настоящее? Да, это частый способ подделки: название, иконка и описание копируются полностью, поскольку система их визуально не проверяет и не связывает с кодом. Технически программы различают идентификатор пакета и подпись — эти признаки не видны на экране и не копируются автоматически вместе с внешним видом, их приходится подделывать отдельно.
Что гарантирует подпись приложения, а что нет? Подпись гарантирует, что файл не менялся после подписания и что все версии пакета выпущены одним ключом. Она не гарантирует, что владелец ключа — действительно та компания, чьё имя указано в приложении: систему не интересует юрлицо за ключом, только техническое совпадение подписи между версиями одного пакета.
Как понять, что скачанный файл соответствует официальной сборке? Надёжный способ — сверить три признака с официальным источником издателя: идентификатор пакета, отпечаток подписи и контрольную сумму файла. Совпадение только одного из них, например названия, ничего не доказывает: название подделывается тривиально и никак не связано с кодом, который реально исполняется внутри архива. </content>
Материал имеет информационный характер и не является финансовой или юридической консультацией. Перед сделкой проверяйте актуальные условия выбранного обменника.
В индустрии криптовалют с 2014 года. Бывший репортёр Forklog и Bits.media, автор более 200 публикаций про обмен, AML-практики и регуляторные изменения в России. С 2021 года ведёт редакцию TopChange: отвечает за методологию рейтинга, тайные покупки и проверки резервов.
