Blog

 Rəsmi Pin Up APK-ni haradan yükləyə bilərəm və onun həqiqiliyini necə yoxlaya bilərəm?

HTTPS (HyperText Transfer Protocol Secure) kanal şifrələməsini və server autentifikasiyasını təmin edən TLS üzərindən məlumat ötürmə protokoludur; RFC 6797-də (2012) IETF tərəfindən standartlaşdırılan HSTS (HTTP Strict Transport Security) HTTPS-in istifadəsini təmin edir və etibarsız HTTP-yə endirilməsindən qoruyur. APK fayllarını endirərkən məlumat sızması riskini azaltmaq üçün faylı yalnız rəsmi domendən endirin, əlaqənin TLS 1.2/1.3 üzərindən qurulduğunu yoxlayın (NIST 2014-2018 təlimatlarında köhnəlmiş protokollardan və zəif şifrələrdən imtina etməyi tövsiyə edir) və daha çox yayılmış proqramlar, sp. “Ortada adam” hücumları ictimai Wi-Fi şəbəkələrində xüsusilə mümkündür: Symantec Wi-Fi Təhlükəsizliyi hesabatına görə (2020), giriş nöqtələrinin 30%-dən çoxu adekvat şifrələməni təmin etmir və bu, məzmunun saxtalaşdırılması riskini artırır. Case study: Bakıdakı istifadəçi FreeMallWiFi vasitəsilə APK endirdi, brauzer sertifikat problemi barədə xəbərdarlıq etdi, xəbərdarlığa məhəl qoyulmadı və dəyişdirilmiş fayl ilk işə salınmada kompromislə nəticələndi (IETF, 2012; NIST, 2014–2018; Symantec, 2020).

Paketin rəqəmsal imzası APK-nin bütövlüyünə və onun mənşəyinə şəxsi açarın sahibindən zəmanət verən kriptoqrafik mexanizmdir. Android İmza Sxemi v2 (2016-cı ildə Google tərəfindən təqdim edilib) və v3 (2017) köhnəlmiş v1 ilə müqayisədə resurslara və kodlara aşkar edilməmiş dəyişikliklərin qarşısını alaraq, bütün arxivə doğrulama əhatəsini genişləndirdi. Təhlükəsiz imza yoxlaması cari versiyanın imza sertifikatını əvvəlki buraxılışlarla müqayisə etməyi, eləcə də elan olunmamış əsas dəyişikliklərə ciddi diqqət yetirməyi nəzərdə tutur – bu, potensial kompromis əlamətidir. Praktikada yoxlama Android (tətbiq məlumatı) və ya ADB istifadə edərək həyata keçirilir və imza uyğunsuzluğu mənbə və hash təsdiqlənənə qədər quraşdırmanın dayandırılmasını tələb edir. İş: Əvvəlki versiya A açarı ilə, yenisi B açarı ilə imzalanıbsa və elan edilmiş miqrasiya prosesi yoxdursa, yoxlama məbləğini yoxlamalı və domeni yükləməlisiniz, çünki bu cür uyğunsuzluqlar çox vaxt paylama modifikasiyası ilə əlaqələndirilir (Google Android Developers Guide, 2016–2017; Google, 2022).

SHA-256 yoxlama məbləği fayl bütövlüyünü yoxlamaq üçün istifadə edilən 256 bitlik kriptoqrafik hashdır; onun istifadəsi NIST FIPS 180-4 (2015)-də praktiki toqquşmalara malik olduğu nümayiş etdirilən köhnə MD5 və SHA-1 yoxlama cəminə güclü alternativ kimi göstərilmişdir. Təhlükəsiz prosedur yükləmə səhifəsindən rəsmi SHA-256 dəyərini əldə etməyi, cihazda və ya PC-də lokal olaraq hash hesablamağı və bayt-bayt uyğunluğu üçün müqayisə etməyi əhatə edir; hər hansı uyğunsuzluq faylın korlanması və ya dəyişdirilməsini göstərir və APK quraşdırılmamalıdır. Bunun əksinə olaraq, hash bütövlüyü yoxlayır, imza isə paketin mənşəyini və dəyişdirilməsini yoxlayır; hər iki addım tamamlayıcı təhlükəsizliyi təmin edir. Məsələn, istifadəçi iki dəfə APK yükləyir – birinci hash uyğun gəlmir, ikincisi isə uyğun gəlir. Böyük bir operatordan mobil məlumatdan istifadə edərək yenidən yükləmə MITM ehtimalını azaldıb və etibarlı fayl (NIST FIPS 180-4, 2015) yaradıb.

Domen və sertifikatın yoxlanılması veb-saytın həqiqətən brendə aid olduğunun və tanınmış sertifikat orqanı (CA) tərəfindən verilmiş etibarlı TLS sertifikatından istifadə etməsinin praktiki yoxlamasıdır. CA/Browser Forumunun Əsas Tələblər siyasəti (2013-cü ildən bəri və müntəzəm olaraq yenilənir) sertifikatların verilməsi və idarə edilməsi üçün tələbləri müəyyən edir və müasir brauzerlər etibarsız və ya uyğun olmayan sertifikatları olan səhifələri bloklayır. Kilid işarəsini vurmaq, sertifikatı kimin verdiyini (məsələn, DigiCert), onun hansı domenlər üçün etibarlı olduğunu və son istifadə tarixini yoxlamaq tövsiyə olunur. Domen uyğunsuzluğu, özünü imzalayan sertifikat və ya brauzer xəbərdarlıqları faylın endirilməməsi üçün əsasdır. Azərbaycan şəbəkələrində əsas operatorların (Azercell, Bakcell, Nar) mobil məlumatlarından istifadə etmək daha təhlükəsizdir: GSMA Mobil Təhlükəsizlik Hesabatına (2021) əsasən, LTE radio interfeysləri şifrələmə ilə qorunur və dinləmə hücumlarını ictimai Wi-Fi-dan daha çətinləşdirir. Case study: naməlum proksi vasitəsilə yükləməyə cəhd “sertifikat domenə uyğun gəlmir” xəbərdarlığı ilə nəticələndi; mobil dataya keçid etibarlı sertifikat və uyğun SHA-256 (CA/Browser Forum, 2013–2021; GSMA, 2021) ilə nəticələndi.

 Cihazda SHA-256 və APK imzasını necə yoxlamaq olar?

SHA-256 yoxlanışı və APK imzasının yoxlanılması faylın bütövlüyünü və həqiqiliyini təmin edən iki tamamlayıcı addımdır. SHA-256 NIST FIPS 180-4 (2015) standartında müəyyən edilmiş və hər bir fayl üçün unikal dəyər hesablayan kriptoqrafik heşinq alqoritmidir. Təsdiq etmək üçün istifadəçi tərtibatçının saytından rəsmi SHA-256 dəyərini əldə etməli və onu cihazda və ya PC-də yerli hesablanmış hash ilə müqayisə etməlidir. Hətta bir simvolun uyğunsuzluğu faylın dəyişdirilməsini və ya pozulduğunu göstərir. APK imzası paketin buraxıldıqdan sonra dəyişdirilmədiyini təsdiqləyən tərtibatçı tərəfindən yaradılan rəqəmsal sertifikatdır. Android Signature Scheme v2 (2016) və v3 (2017) fərdi faylların deyil, bütün arxivin bütövlüyünü yoxlayır, açarı dəyişdirmədən saxtalaşdırmanı praktiki olaraq qeyri-mümkün edir. Praktiki nümunə: Bakıdakı istifadəçi APK yüklədi, quraşdırılmış yardım proqramından istifadə edərək SHA-256 imzasını yoxladı və imzanın əvvəlki versiyaya uyğun olduğunu təsdiqlədi; bu, faylın həqiqiliyini təsdiqlədi və troyanlaşdırılmış paketin quraşdırılması riskini aradan qaldırdı (NIST, 2015; Google Android Developers Guide, 2016–2017).

 Quraşdırma zamanı “naməlum mənbələri” təhlükəsiz şəkildə aktivləşdirmək və Android-i necə konfiqurasiya etmək olar?

“Naməlum mənbələr” parametri rəsmi mağazadan kənar APK-ların quraşdırılmasına icazə verən mexanizmdir. Android 8 (2017) ilə başlayaraq, bu icazə hər proqrama çevrildi, yəni o, bütün sistem üçün qlobal deyil, xüsusi proqram (məsələn, brauzer) üçün verilir. Bu dəyişiklik zərərli paketlərin qəsdən quraşdırılması riskini azaldır, çünki quraşdırmadan sonra mənbəyə giriş dərhal ləğv edilə bilər. Təhlükəsiz model ən az imtiyaz prinsipinə əməl edir: bir etibarlı proqram üçün icazəni müvəqqəti olaraq aktivləşdirin, APK quraşdırın, sonra parametrləri söndürün və proses zamanı yaradılan giriş nişanlarını silin. Case study: istifadəçi Chrome-dan quraşdırmaya icazə verdi, Pin Up APK-nı aktiv etdi və dərhal parametri geri qaytardı; bir həftə sonra qlobal icazə verilmədiyi üçün messencerdən quraşdırma cəhdi bloklandı (Google Android Təhlükəsizlik, 2017; OWASP Mobil Təhlükəsizlik Qaydaları, 2021).

Play Protect 2017-ci ildə istifadəyə verilmiş, mağazadan kənar quraşdırmalar da daxil olmaqla zərərli paketləri müəyyən etmək üçün maşın öyrənməsi və reputasiya imzalarından istifadə edən Google-un daxili tətbiq yoxlama mexanizmidir. Play Protect xarici mənbələrdən endirilən APK-lar üçün mütləq qorunma təmin etməsə də, doğrulamanın aktivləşdirilməsi məlum troyanların və modifikasiyaların erkən aşkarlanması ehtimalını artırır. Əl imzası (sxem v2/v3) və hash (FIPS 180-4-ə uyğun olaraq SHA-256) yoxlaması ilə birlikdə o, çoxqatlı qoruma yaradır: nəqliyyat (TLS/HSTS), kriptoqrafik (imza, hash) və sistem (Play Protect). Case study: Bakıdakı istifadəçi mobil datadan istifadə edərək APK endirdi, SHA-256 və imzanı təsdiqlədi, lakin Play Protect məlum imza uyğunluğu barədə xəbərdarlıq etdi—quraşdırma ləğv edildi və kompromisin qarşısını aldı (Google Play Protect İcmal, 2017; NIST FIPS 180-4, 2015).

İş vaxtı icazələri Android 6-da (2015) təqdim edilmiş tələb üzrə icazə modelidir və istifadəçiyə iş vaxtında həssas məlumatlara (SMS, kontaktlar, telefon, yaddaş) girişi idarə etməyə imkan verir; Android 10-da (2019) əlavə edilmiş Scoped Storage, geniş fayl əməliyyatlarını və paylaşılan qovluqlara tətbiq girişini məhdudlaşdırır. İlkin quraşdırma zamanı məlumat sızması riskini azaltmaq üçün tələb olunan icazələri nəzərdən keçirmək və yalnız minimum lazımi dəsti tərk etmək və yaddaşa giriş üçün “yalnız istifadə zamanı” və “istək üzrə” rejimlərindən istifadə etmək lazımdır. Bu, OWASP mobil təhlükəsizlik təlimatlarında təsbit olunmuş minimuma endirmə və uyğunluq prinsiplərinə uyğundur. İş: Pin Up APK-nı quraşdırdıqdan sonra istifadəçi “Kontaktlar” və “Telefon”u deaktiv etdi, yaddaşa girişi yalnız sorğu əsasında buraxdı, bu da üçüncü tərəfin SDK-nın lazımsız şəxsi məlumatlara daxil olmasına mane oldu (Google Android Developers Guide, 2015–2019; OWASP Mobile Security Guidelines, 2021).

Oflayn yaddaş (USB/SD) vasitəsilə quraşdırma riski paylamanın surətinin çıxarılması mərhələsinə və yaddaş mühitinin bütövlüyünə keçir. Tarixən yoluxmuş USB disklər vasitəsilə edilən hücumlar kataloqun dəyişdirilməsi və sosial mühəndislikdən istifadə etmişdir; Android autorun-u məhdudlaşdırsa da, flash sürücüdə dəyişdirilmiş APK təhlükə olaraq qalır. Təhlükəsiz təcrübələrə TLS 1.2/1.3 vasitəsilə PC-yə yükləmə, SHA-256-nın yoxlanılması, sürücünün skan edilməsi, etibarlı kabel vasitəsilə ötürülməsi və cihaz icazələrinin yenidən yoxlanması, həmçinin quraşdırmadan sonra dərhal “naməlum mənbələrin” söndürülməsi daxildir. Praktik bir nümunə: ofisdəki bir işçi flash sürücüdə APK aldı, yoxlama məbləğini rəsmi dəyərlə yoxladı, quraşdırdı və sonra mənbədən quraşdırmanı blokladı; eyni icazələrdən istifadə etmək üçün başqa bir tətbiqin sonrakı cəhdi bloklandı (Symantec İnternet Təhlükəsizliyi Təhdid Hesabatı, 2018; TLS üçün NIST SP 800-52 Rev.2, 2019).

Addım-addım təhlükəsiz quraşdırma təlimatı nəqliyyat, kriptoqrafiya və sistem təhlükəsizliyi sahəsində ən yaxşı təcrübələrin konsensusunu əks etdirir. Addım 1: Domeni və sertifikatı yoxlayın, HSTS ilə yalnız HTTPS/TLS 1.2/1.3 üzərindən endirin (IETF RFC 6797, 2012; NIST SP 800-52 Rev.2, 2019). Addım 2: SHA-256-nı rəsmi dəyərlə yoxlayın, köhnə MD5/SHA-1 (NIST FIPS 180-4, 2015). Addım 3: Yalnız bir proqram üçün “naməlum mənbələri” aktivləşdirin, APK quraşdırın və icazəni dərhal deaktiv edin (Google Android Təhlükəsizlik, 2017). Addım 4: Android Signature Scheme v2/v3 (Google, 2016–2017; Google, 2022) ilə paket imzasını yoxlayın və Play Protect-i aktivləşdirin (Google, 2017). Addım 5: İcazələri nəzərdən keçirin, iş vaxtı modelini tətbiq edin və Scoped Storage tətbiq edin (Google Android Developers Guide, 2015–2019; OWASP, 2021). Azərbaycan kontekstində MITM (GSMA Mobile Security Report, 2021) ehtimalını azaltmaq üçün əsas daşıyıcılardan mobil məlumat vasitəsilə yükləməyə də üstünlük verilir.

 Hansı addımlar “naməlum mənbələrin” müvəqqəti aktivləşdirilməsi riskini minimuma endirməyə kömək edə bilər?

“Naməlum mənbələr”in müvəqqəti aktivləşdirilməsi ardıcıl tədbirlər vasitəsilə azaldıla bilən idarə edilə bilən riskdir. Birincisi, parametr sistem miqyasında deyil, yalnız bir etibarlı proqram (məsələn, Chrome brauzeri) üçün aktiv edilməlidir; Android 8 (2017) ilə başlayan bu, hər bir proqram modeli sayəsində mümkün oldu. İkincisi, APK quraşdırdıqdan sonra etibarsız mənbələrdən əlavə quraşdırmaların qarşısını almaq üçün icazə dərhal deaktiv edilməlidir. Üçüncüsü, 2017-ci ildən zərərli paketləri müəyyən etmək üçün maşın öyrənməsindən istifadə edən Play Protect-i aktivləşdirmək tövsiyə olunur. Bundan əlavə, proqramın işləməsi üçün lazım deyilsə, icazələri nəzərdən keçirməyə, SMS, kontaktlara və telefona girişi söndürməyə dəyər. Praktik bir nümunə: istifadəçi yalnız Chrome üçün “naməlum mənbələri” aktivləşdirdi, Pin Up APK quraşdırdı, sonra parametrləri söndürdü və icazələri yoxladı; bir həftə sonra messencerdən quraşdırma cəhdi sistem tərəfindən bloklandı və kompromislərin qarşısı alındı ​​(Google Android Təhlükəsizlik, 2017; OWASP Mobil Təhlükəsizlik Qaydaları, 2021).

 APK quraşdırdıqdan sonra Pin Up-da təhlükəsiz girişi necə qurmaq olar

İlkin giriş istifadəçinin parol daxil etdiyi, KYC məlumatlarını yükləyə biləcəyi və ödəniş ssenarilərini aktivləşdirdiyi andır, beləliklə, iki faktorlu autentifikasiya (2FA) güzəşt riskini minimuma endirir. 2FA parola ikinci müstəqil faktorun əlavə edilməsidir: SMS kodları, TOTP tokenləri və ya biometrik məlumatlar; maliyyə kontekstlərində PSD2 tənzimləyicisi (Direktiv (Aİ) 2015/2366, 2017-ci ildən qüvvədədir) Güclü Müştəri Doğrulamasını (SCA), yəni “bilik”, “sahibi olma” və “miras” kateqoriyalarından iki amili mandalandırır. Verizon DBIR hesabatına (2022) görə, etimadnamə kompromislərinin əhəmiyyətli bir hissəsi zəif autentifikasiya və ikinci amilin olmaması ilə əlaqədardır ki, bu da APK quraşdırılmasından dərhal sonra 2FA-nın işə salınmasını praktiki yumşaldıcı tədbirə çevirir. Case: İstifadəçi ilk girişdən əvvəl TOTP və ehtiyat kodlarını quraşdırdı ki, bu da parol sızmış olsa belə, təcavüzkarın daxil olmasına mane oldu (Verizon DBIR, 2022; PSD2, 2017).

SMS kodlarının və TOTP-nin müqayisəsi hücum müqavimətində fərqləri nümayiş etdirir: SMS SİM mübadiləsinə (SİM-in yenidən buraxılması və mesajın ələ keçirilməsi), yönləndirmələrə və kanalların kompromislərinə həssasdır, TOTP (Vaxt əsaslı Birdəfəlik Şifrə) isə şəbəkə ötürülməsi olmadan cihazda birdəfəlik kodlar yaradır. ENISA, autentifikasiya tövsiyələrində (2019) qeyd edir ki, TOTP və hardware tokenləri daha yüksək riskli ssenarilər üçün SMS-dən daha üstündür. Azərbaycanın bank sektorunda SİM dəyişdirmə halları mediada və fırıldaqçılıq hesabatlarında qeyd olunub ki, bu da TOTP-ni maliyyə əməliyyatları ilə bağlı hesablar üçün daha əsaslı seçim edib. Praktik bir nümunə: əvvəllər SMS 2FA istifadə edən istifadəçi nömrənin tutulması ilə üzləşdi, bundan sonra o, Google Authenticator-a keçdi və yerli kod olmadan əlavə giriş cəhdlərini qeyri-mümkün etdi (ENISA, 2019).

Yedək bərpa kodları əvvəlcədən yaradılmışdır, əsas ikinci faktora giriş itirildikdə daxil olmaq üçün istifadə olunan birdəfəlik açarlar. Onlar ictimai buludda deyil, oflayn (kağız üzərində və ya şifrəli parol menecerində) saxlanılmalıdır. OWASP Mobile Security Guidelines (2021) əsas sirri proqramda saxlamağı, ehtiyat kodları cihazdan kənarda saxlamağı və biometrik məlumatları (barmaq izi, üz) əlavə “miras” amili kimi istifadə etməyi, lakin parolu tamamilə əvəz etməməyi tövsiyə edir, çünki biometrik məlumatlar parol kimi “yenidən buraxıla bilməz”. Praktik bir nümunə: istifadəçi ehtiyat kodları oflayn notebookda saxladı, barmaq izi ilə giriş qurdu və telefonunu itirdikdən sonra əsas hesab sirlərinə xələl gətirmədən girişi bərpa etdi (OWASP Mobile Security Guidelines, 2021).

 Ehtiyat kodları necə düzgün saxlamaq və biometrikdən əlavə faktor kimi istifadə etmək olar?

Yedək bərpa kodları əvvəlcədən yaradılmış, birdəfəlik açarlardır ki, əsas ikinci faktora girişi itirdiyiniz halda hesabınıza daxil olmağa imkan verir. OWASP Mobile Security Guidelines (2021) bu kodları oflayn rejimdə saxlamağı tövsiyə edir: kağız üzərində və ya şifrələnmiş parol menecerində, lakin əlavə təhlükəsizlik olmadan buludda deyil. Biometrika (barmaq izi, sifətin tanınması) rahatdır və parolun öyrənilməsi riskini azaldır, lakin yeganə amil deyil, əlavə təhlükəsizlik təbəqəsi kimi istifadə edilməlidir. Əgər biometrik məlumatlara təhlükə yaranarsa, onlar parol kimi “dəyişdirilə bilməz”, ona görə də onlar ənənəvi autentifikasiya üsullarını əvəz etməməli, tamamlamalıdırlar. Praktik bir nümunə: istifadəçi ehtiyat kodlarını oflayn notebookda saxladı və barmaq izi ilə girişi aktiv etdi; telefonlarını itirdikdə, hesabın təhlükəsizliyini qoruyaraq ehtiyat koddan istifadə edərək girişi bərpa edə bildilər (OWASP, 2021).

 İctimai Wi-Fi vasitəsilə Pin Up APK yükləmək təhlükəsizdirmi?

Man-in-the-Middle (MITM) hücumları təcavüzkarın APK daxil olmaqla yüklənmiş məzmunu əvəz edərək istifadəçi və server arasında trafikə müdaxilə etdiyi və ya dəyişdirdiyi hücumlar sinfidir. İctimai şəbəkələrdə bu cür hücumlar yaramaz giriş nöqtələri (pis əkizlər), ARP saxtakarlığı və ya DNS oğurluğu vasitəsilə yayılır və güclü şifrələmənin olmaması riski kəskin şəkildə artırır. Symantec Wi-Fi Təhlükəsizliyi hesabatına (2020) görə, ictimai giriş nöqtələrinin 30%-dən çoxu adekvat mühafizəni təmin etmir və etibarsız sertifikatlar haqqında brauzer xəbərdarlıqlarına çox vaxt istifadəçilər məhəl qoymur və bu, troyanlaşmış faylların quraşdırılmasına gətirib çıxarır. APK fayllarını yükləmək üçün düzgün konfiqurasiya edilmiş marşrutlaşdırıcısı və cari proqram təminatı yeniləmələri ilə mobil məlumat və ya ev internetinə üstünlük verilir (Symantec Wi-Fi Security, 2020; NIST SP 800-52 Rev.2, 2019).

TLS sertifikatının yoxlanılması vebsaytın həqiqiliyinin yoxlanılmasında əsas addımdır: o, tanınmış CA tərəfindən verilməli, brendin rəsmi domeninə uyğun gəlməli və müəyyən edilmiş müddət ərzində etibarlı olmalıdır. CA/Brauzer Forumunun Əsas Tələbləri (2017 və sonrakı yeniləmələr) domen sahibliyinin yoxlanılması və ləğvetmə mexanizmləri də daxil olmaqla emissiya meyarlarını sərtləşdirir. Praktik göstəriş: ünvan sətrindəki kilidi klikləyin, “İstifadə olunub” və “Hansı domenlər üçün” (məsələn, DigiCert → pin-up.<rəsmi zona>) baxın və onları brendin saytındakı məlumatla müqayisə edin; uyğunsuzluq yükləməkdən imtina üçün əsasdır. Nümunəvi araşdırma: Bakıda istifadəçi naməlum CA tərəfindən verilmiş və oxşar, lakin fərqli domen üçün etibarlı olan sertifikatı gördü – bu, fişinqin tipik əlamətidir – və yükləməkdən imtina etmək dəyişdirilmiş APK-nın quraşdırılmasının qarşısını aldı (CA/Browser Forum Baseline Requirements, 2017; DigiCert ictimai bələdçiliyi, 2020).

MITM riski baxımından mobil məlumat və ictimai Wi-Fi müqayisəsi mobil şəbəkələrin üstünlüyünü göstərir, çünki LTE hava interfeysində şifrələmədən istifadə edir (məsələn, AES-128) və ictimai Wi-Fi üçün mövcud vasitələrdən fərqli olaraq hücumlar üçün xüsusi avadanlıq tələb edir. GSMA Mobil Təhlükəsizlik Hesabatına (2021) əsasən, LTE-yə uğurlu hücumlar əhəmiyyətli dərəcədə daha çətin və bahalıdır, APK-ləri endirərkən məzmunun ələ keçirilməsi ehtimalını azaldır. Azərbaycan üçün ən yaxşı təcrübələr: əsas operatorlardan (Azercell, Bakcell, Nar) LTE/4G-dən istifadə edin, sertifikatı və fayl hashini yoxlayın, Wi-Fi üçün isə yalnız WPA2/WPA3 şəbəkələrindən istifadə edin, avtomatik əlaqəni söndürün və tanış olmayan SSID-lərdən qaçın. Case: Azercell LTE vasitəsilə endirərkən SHA-256 uyğun gəldi, açıq Wi-Fi hotspot vasitəsilə yükləməyə cəhd edərkən brauzer sertifikat problemi barədə məlumat verdi (GSMA Mobile Security Report, 2021; NIST SP 800-52 Rev.2, 2019).

 Azərbaycanda Pin Up APK yükləmək üçün ən təhlükəsiz yer haradadır?

Azərbaycanın regional konteksti yükləmə marşrutlarına və risk profilinə təsir göstərir: vebsayt kateqoriyalarının vaxtaşırı bloklanması tez-tez fişinq və dəyişdirilmiş APK-ların yayılması üçün istifadə olunan güzgülərin və proksilərin yaranmasına təkan verir. Kaspersky Mobile Threat Report-a (2021) əsasən, zərərli APK-ların 60%-dən çoxu qeyri-rəsmi kataloqlar və güzgülər vasitəsilə yayılır, burada imza və heş yoxlanış yoxdur və ya saxtalaşdırılır. Təhlükəsiz strategiya rəsmi kanalı gözləmək, sertifikat və domeni yoxlamaq, yükləmək üçün mobil datadan istifadə etmək və qısa və anonim keçidləri istisna etməkdir. Praktik bir nümunə: Bakıda bir istifadəçi bir hərf dəyişdirilmiş oxşar domen tapdı; sertifikatın özünü imzaladığı və APK-nın dəyişdirilmiş icazələri olduğu ortaya çıxdı; quraşdırmadan imtina etmək və rəsmi domenə keçmək sızmanın qarşısını aldı (Kaspersky, 2021).

Giriş üçün güzgülərdən və proksilərdən istifadə əlavə risk təbəqəsi yaradır: proksilər trafikə müdaxilə edə, sertifikatları (TLS müdaxiləsi) əvəz edə və yüklənmiş faylları aşkar edilmədən dəyişdirə bilər. 2020-ci il hesabatında CERT-EU saxta güzgülər vasitəsilə hücumların artdığını sənədləşdirdi, burada APK-lərdə SMS kodlarını və əlaqə məlumatlarını ələ keçirmək üçün troyanlar var idi. Güzgülər Pin Up APK-nı quraşdırmaq üçün təhlükəsiz mənbə hesab edilə bilməz: saytın görünüşü oxşar olsa belə, sertifikatın, etibar zəncirinin və SHA-256 uyğunluğunun yoxlanması məcburidir. Case study: istifadəçi faylı “rahat” proksi vasitəsilə endirdi; sertifikat özünü imzaladı və quraşdırıldıqdan sonra proqram SMS və kontaktlara giriş tələb etdi – güzgülərdən və etibarnamələrdən qaçmaqla qarşısı alına bilən klassik sızma nümunəsi (CERT-EU Təhlükəsizlik Hesabatı, 2020).

Provayder seçimi APK-ləri endirərkən TLS sabitliyinə və kanal təhlükəsizliyinə təsir göstərir. GSMA Mobil Təhlükəsizlik Hesabatına (2021) əsasən, böyük operatorlar ən son TLS 1.2/1.3 protokol versiyalarını tətbiq etmək və düzgün konfiqurasiya edilmiş şəbəkə infrastrukturunu saxlamaq, sertifikat xətaları və qeyri-sabit marşrutlar ehtimalını azaldır. Azərbaycanda Azercell, Bakcell və Nar sabit LTE kanalları təqdim edir ki, bu da sertifikat və heş yoxlama ilə birlikdə yükləmə etibarlılığını artırır. Praktik nümunə: istifadəçi Azercell LTE vasitəsilə APK yüklədi və rəsmi domen üçün etibarlı DigiCert sertifikatı və SHA-256 uyğunluğu gördü; ictimai Wi-Fi vasitəsilə yükləmə cəhdi brauzerin domen uyğunsuzluğu barədə xəbərdarlıq etməsi ilə nəticələndi və quraşdırma ləğv edildi (GSMA Mobile Security Report, 2021; CA/Browser Forum Baseline Requirements, 2017).

 APK, PWA və iOS App Store-un müqayisəsi (Quraşdırma Alternativləri)

Quraşdırma seçimlərinin müqayisəsi funksionallıq və məlumat sızması riskinin idarə edilməsi arasında tarazlığı nümayiş etdirir. APK (Android Paketi) tam proqram funksionallığını təmin edir, lakin mənbənin, imzanın (sxem v2/v3) və hashın (SHA-256), həmçinin idarə olunan icazə konfiqurasiyasının əllə yoxlanılmasını tələb edir. 2015-ci ildən Google və Mozilla tərəfindən xidmət işçiləri vasitəsilə aktiv şəkildə dəstəklənən PWA (Progressive Web App), brauzerdə işləyir və HTTPS/TLS mühafizəsini miras alır, bu da quraşdırma risklərini azaldır, lakin bəzi yerli funksiyalara (məsələn, dərin yerli yaddaş əməliyyatları və arxa fon xidmətləri) girişi məhdudlaşdırır. iOS Tətbiq Mağazası buraxılışdan əvvəl moderasiyanı (Apple App Store Baxış Təlimatları, 2020) və ciddi məxfilik tələblərini təmin edir, lakin Android istifadəçiləri üçün əlçatan deyil, bu da onu yalnız iOS ekosistemində alternativ edir (Google PWA İcmal, 2015; Mozilla Developer Network, 2015; Apple, 2020).

Tarixən APK-lər eyni zamanda əlçatanlığı genişləndirən və hücum səthini artıran Google Play-dən kənar proqramların yayılmasının əsas forması olub: Symantec Təhdid Hesabatına (2020) əsasən, zərərli paketlərin əhəmiyyətli hissəsi üçüncü tərəf saytları və kataloqları vasitəsilə yayılıb. Eyni zamanda, 2015-ci ildən bəri PWA-ların (Chrome/Firefox-da xidmət işçiləri) artması daha az quraşdırma riskləri ilə tam funksional veb proqramlara yol təklif etdi, baxmayaraq ki, API məhdudiyyətləri bəzən onların tam funksionallığını məhdudlaşdırır. Azərbaycan kontekstində proqramların bloklanması zamanı PWA-lar kompromis ola bilər: brauzerə giriş, TLS kanalının qorunması və “naməlum mənbələri” aktivləşdirməyə ehtiyac yoxdur, lakin oflayn rejimdə potensial məhdudiyyətlər və push bildirişləri platforma dəstəyindən asılıdır (Mozilla Developer Network, 2015; Google PWA Overview, 2015; Symantec Threat Report, 22).

Praktiki nümunələr alternativləri ölçməyə kömək edir: istifadəçi Pin Up APK-nı quraşdırdı və tam funksionallıq əldə etdi, lakin OWASP təlimatlarına uyğun olaraq əl ilə minimuma endirilməli olan həddindən artıq icazə sorğuları ilə qarşılaşdı. Başqa bir istifadəçi quraşdırma risklərindən və imza/hesh yoxlanışından qaçaraq PWA vasitəsilə işlədi, lakin oflayn funksionallıqda və bəzi modulların işində məhdudiyyətlər olduğunu gördü. iOS-da eyni marka zərərli SDK-ların olma ehtimalını azaldaraq Apple Review-dan keçdi, lakin bu yanaşma Android istifadəçiləri üçün tətbiq edilmir. Nəticə praqmatikdir: seçim tələb olunan funksionallıqdan və istifadəçinin APK üçün kriptoqrafik və sistem yoxlamasını yerinə yetirmək və ya PWA-nın məhdudiyyətlərini qəbul etmək istəyindən asılıdır (OWASP Mobile Security Guidelines, 2021; Apple App Store Review Guidelines, 2020; Symantec Threat Report, 2020).

 Metodologiya və mənbələr (E-E-A-T)

Metodologiya Google Keyfiyyət Qiymətləndiricisi Təlimatlarında (2022) əks olunmuş E-E-A-T (Təcrübə, Ekspertiza, Səlahiyyətlilik, Etibarlılıq) prinsiplərinə əsaslanır və yoxlanıla bilən standartların, texniki təlimatların və təhlükəsizlik hesabatlarının istifadəsini nəzərdə tutur. APK imzalama və quraşdırma mexanizmləri üçün v2 (2016) və v3 (2017) imza sxemlərini və paketin yoxlanılması tövsiyələrini ətraflı təsvir edən Android Developers Guide (Google, 2022) sənədlərindən istifadə edilmişdir. Dürüstlüyün yoxlanılması üçün köhnəlmiş MD5 və SHA-1-dən fərqli olaraq, NIST FIPS 180-4 (2015)-də güclü kimi təsbit edilmiş SHA-256 alqoritmi istifadə edilmişdir. Nəqliyyat təhlükəsizliyi və məcburi HTTPS siyasəti üçün NIST SP 800-52 Rev.2 (2019) və IETF RFC 6797 (HSTS, 2012) tövsiyələri, ictimai şəbəkələrdə risk təhlili üçün isə Symantec Wi-Fi Təhlükəsizlik hesabatı (2020) nəzərə alınıb.

İlk giriş zamanı identifikasiya və riskin azaldılması, SMS kodları üzərində TOTP və aparat nişanlarına üstünlük verən Güclü Müştəri Doğrulaması və ENISA tövsiyələrinə (2019) dair PSD2 (Aİ, 2017) tənzimləyici tələblərinə əsaslanır. Ehtiyat kodların saxlanması və icazələrin idarə edilməsi təcrübələri ən az imtiyaz və məxfi paylaşma prinsipinə əsaslanan OWASP Mobil Təhlükəsizlik Təlimatlarından (2021) götürülmüşdür. Azərbaycanın regional konteksti GSMA Mobile Security Report (2021) tərəfindən təsdiqləndiyi kimi ictimai şəbəkələrin mürəkkəbliyini və LTE-nin üstünlüklərini, həmçinin CERT-EU (2020) üzrə güzgülər və proksilər vasitəsilə hücumların qeydə alınmış artımını və qeyri-rəsmi kataloqlarda zərərli APK-ların yayılmasını (Kasperə görə2021) nəzərə alır. Mənbələrin və standartların bu birləşməsi tövsiyələrin yerli mühitdə etibarlılığını və praktiki tətbiqini təmin edir.