Sovelluskaupat ja sivulataus: mistä sovellus kannattaa asentaa

Yleinen nyrkkisääntö kuuluu, että sovelluskaupasta ladattu sovellus on turvallinen ja kaupan ulkopuolelta ladattu vaarallinen. Sääntö on suunnilleen oikeansuuntainen mutta liian karkea, ja se johtaa kahteen virheeseen. Ensimmäinen on luottaa kaupan sovellukseen ilman mitään arviota, koska "kaupassahan se on tarkastettu". Toinen on pitää kaikkea sivulatausta yhtä riskialttiina, vaikka työnantajan oma sovellusjakelu ja huijausviestin liitteenä tullut asennuspaketti ovat aivan eri asioita.

Ero syntyy siitä, mitä kauppa oikeasti tekee sovellukselle ennen julkaisua ja mitä se ei tee. Tässä artikkelissa käydään se läpi mekanismina. Haittaohjelmien toimintaa ja huijaussovellusten tunnusmerkkejä käsitellään erikseen aihealueella tietoturva, ja sovellusten pyytämät oikeudet on selitetty omassa artikkelissaan sovellusten käyttöoikeuksista.

Mitä kauppa tarkastaa ja mitä se jättää tarkastamatta

Kauppaan pääsy alkaa kehittäjätilistä. Kehittäjä tunnistautuu, maksaa maksun ja sitoutuu kaupan sääntökirjaan. Tämä on hallinnollinen este, ei tekninen: se nostaa kynnystä ja jättää jäljen, mutta ei estä ketään aikeissaan.

Varsinainen tarkistus koostuu automaattisesta analyysistä ja pistokoemaisesta ihmisen tekemästä arviosta. Kumpikin kohdistuu tiettyihin asioihin ja on sokea muille.

Tästä seuraa yksi ohje, joka kannattaa sisäistää: kauppa suodattaa karkeimman roskan pois, mutta sovelluksen valinta on edelleen sinun. Kaupassa oleva sovellus voi olla täysin laillinen, sääntöjen mukainen ja silti kerätä sinusta paljon enemmän kuin haluaisit.

Automaattinen seula näkee hetken, ei tulevaisuutta

Automaattinen analyysi tapahtuu kahdella tavalla. Staattinen analyysi lukee asennuspaketin sisällön avaamatta ohjelmaa: mitä rajapintoja se kutsuu, mitä oikeuksia se pyytää, mitä kirjastoja se sisältää ja mihin osoitteisiin sen koodissa viitataan. Dynaaminen analyysi käynnistää sovelluksen eristetyssä ympäristössä ja katsoo, mitä se tekee: minne se ottaa yhteyttä, mitä se lukee ja mitä se lähettää.

Molemmilla on sama perusrajoite. Ne katsovat sovellusta yhtenä hetkenä. Moderni sovellus on kuitenkin harvoin valmis kokonaisuus, koska se hakee ohjeensa, mainoksensa ja usein osan toiminnallisuudestaan palvelimelta. Sovellus voi käyttäytyä esimerkillisesti tarkistuksen aikana ja muuttaa käytöstään myöhemmin, kun palvelin niin käskee tai kun kehittäjä myy sovelluksen eteenpäin.

Toinen rajoite on päivitysten kevyempi käsittely. Ensimmäinen julkaisu käydään läpi tarkimmin. Päivitykset menevät pääosin samaa putkea, mutta pistokoemainen ihmistarkastus osuu niistä pieneen osaan. Siksi haitallinen toiminnallisuus ilmestyy usein vasta päivityksessä, ei ensijulkaisussa.

Kolmas rajoite on mittakaava. Kauppoihin tulee valtava määrä uusia sovelluksia ja päivityksiä jatkuvasti, joten prosessin on pakko olla pääosin automaattinen. Automaatti puolestaan on hyvä tunnistamaan sitä, mikä muistuttaa aiemmin nähtyä, ja huono tunnistamaan sitä, mikä on uutta.

Allekirjoitus on kaupan tärkein tekninen lupaus

Jokainen asennuspaketti on allekirjoitettu. Kehittäjällä on avainpari: salainen avain, joka pysyy hänellä, ja siihen liittyvä julkinen osa, joka kulkee paketin mukana. Käyttöjärjestelmä tarkistaa asennettaessa, että paketin sisältö vastaa allekirjoitusta. Jos yksikin tavu on muuttunut matkalla, allekirjoitus ei täsmää ja asennus keskeytyy.

Tärkein seuraus tulee vasta päivityksissä. Käyttöjärjestelmä hyväksyy sovelluksen päivityksen vain, jos päivitys on allekirjoitettu samalla avaimella kuin jo asennettu versio. Tämä sitoo päivityskanavan yhteen tekijään. Kukaan ulkopuolinen ei voi työntää laitteeseesi "päivitystä" jo asentamaasi sovellukseen, koska hänellä ei ole avainta.

Allekirjoitus ei kerro, että kehittäjä on rehellinen. Se kertoo, että tämä versio tulee samalta taholta kuin edellinen.

Mekanismi muistuttaa sitä, miten HTTPS ja varmenteet toimivat verkkosivuilla. Varmentaja todistaa, että sivusto hallitsee verkkotunnusta, ei että sivusto on luotettava. Sovelluksen allekirjoitus todistaa alkuperän jatkuvuuden, ei sovelluksen hyvyyttä. Sekä varmenteissa että sovellusallekirjoituksissa tarkistus perustuu tiivisteeseen, eli sisällöstä laskettuun tunnisteeseen, joka muuttuu heti jos sisältö muuttuu.

Kauppa on myös päivityskoneisto

Kaupan aliarvioiduin tehtävä on päivitysten jakelu. Kun sovelluksesta löytyy haavoittuvuus, korjaus leviää kaupan kautta laitteisiin ilman että kenenkään pitää tehdä mitään. Tämä on käytännössä merkittävin turvallisuusero kaupan ja sivulatauksen välillä, ja se koskee kaikkia sovelluksia, myös täysin rehellisiä.

Kaupalla on myös mahdollisuus poistaa sovellus jakelusta jälkikäteen, jos siitä paljastuu ongelma. Poisto kaupasta ei kuitenkaan tarkoita, että sovellus katoaisi laitteestasi. Se lakkaa saamasta päivityksiä ja häviää haustuloksista, mutta jää asennettuna toimimaan. Osalla alustoista on lisäksi keino poistaa selvästi haitallinen sovellus etänä, mutta siihen ei kannata luottaa suojana.

Sivuladattu sovellus ei ole tässä ketjussa. Osassa on oma sisäänrakennettu päivittäjä, joka tarkistaa uudet versiot kehittäjän palvelimelta, mutta läheskään kaikissa ei ole. Silloin sovellus jää siihen versioon, jonka asensit, ja vanhenee hiljaa. Sama pätee myös kaupasta asennettuihin sovelluksiin, jos automaattiset päivitykset on kytketty pois, mikä on yksi syy jättää automaattiset päivitykset päälle.

Mitä sivulataus teknisesti tarkoittaa

Sivulataus tarkoittaa asennuspaketin asentamista suoraan, kaupan ohi. Puhelimissa käyttöjärjestelmä vaatii tähän erillisen luvan, ja lupa annetaan yleensä sille sovellukselle, joka asennuksen käynnistää: selaimelle, tiedostosovellukselle tai viestisovellukselle. Lupa on siis kysymys muodossa "saako tämä ohjelma asentaa sovelluksia", ei kertaluonteinen kuittaus.

Kun asennat kaupan ohi, kolme asiaa siirtyy sinun vastuullesi:

1. Alkuperä. Sinä päätät, että juuri tämä tiedosto tulee siltä taholta, jolta luulet sen tulevan.
2. Eheys. Sinä varmistat, ettei pakettia ole muutettu matkalla. Osa kehittäjistä julkaisee paketin rinnalla tiivisteen, jonka voit laskea itse ja verrata.
3. Päivitykset. Sinä huolehdit siitä, että uusi versio tulee asennettua, kun sellainen julkaistaan.

Käyttöjärjestelmässä oleva oma tarkistus voi silti skannata myös kaupan ohi asennetut sovellukset, ja käyttöoikeusmalli sekä sovellusten eristäminen toisistaan toimivat normaalisti. Sivulataus ei siis pura kaikkia suojauksia, mutta se poistaa portin ja päivitysautomatiikan.

Tietokoneessa sivulataus on normaali tapa asentaa

Puhelimissa kauppa on oletus ja sivulataus poikkeus. Työpöytäkoneissa asetelma on päinvastainen: ohjelmat on aina asennettu asennustiedostosta, ja käyttöjärjestelmien omat kaupat tulivat mukaan vasta myöhemmin. Siksi sama toimenpide tuntuu koneella tavalliselta ja puhelimella epäilyttävältä, vaikka tekninen ero on pienempi kuin miltä näyttää.

Työpöytäkäyttöjärjestelmissä on silti oma tarkistuksensa. Ne varoittavat allekirjoittamattomasta tai tuntemattomalta tekijältä tulevasta ohjelmasta, tarkistavat allekirjoituksen ja voivat estää käynnistyksen kokonaan, kunnes käyttäjä nimenomaisesti sallii sen. Varoitus on siis sama kysymys kuin puhelimessa, vain eri sanoin: tiedätkö kuka tämän on tehnyt.

Ero on kuitenkin merkittävä yhdessä asiassa. Työpöytäohjelma saa perinteisesti käyttöönsä kaikki samat oikeudet kuin kirjautunut käyttäjä, kun taas puhelinsovellus ajetaan eristyksissä ja pyytää oikeuksia erikseen. Siksi väärä asennus koneella voi tehdä enemmän vahinkoa kuin väärä asennus puhelimella, vaikka puhelinta pidetään yleisesti herkempänä laitteena.

Vaarallisin sivulataus on se, jota sinulta pyydetään. Huijaus etenee usein niin, että viestissä tai puhelussa ohjataan asentamaan "pankin varmennussovellus" tai tukisovellus, joka on käytännössä etähallintaohjelma. Jos joku pyytää sinua sallimaan asennukset tuntemattomista lähteistä, kyseessä on lähes aina huijaus, ei tuki.

EU:ssa avautuneet vaihtoehtoiset jakelukanavat

Digimarkkinasäädös velvoittaa suurimmat alustayhtiöt sallimaan sovellusten jakelun myös oman kauppansa ulkopuolelta. Käytännössä tämä on tuonut kolme reittiä: alustan oma kauppa, vaihtoehtoiset sovelluskaupat ja kehittäjän suora jakelu omalta sivultaan.

Vaihtoehtoinen kanava ei tarkoita, että tarkistukset katoaisivat. Alusta voi edelleen vaatia, että paketti käy läpi teknisen tarkastuksen ja saa alustan hyväksymän allekirjoituksen ennen kuin se voidaan asentaa. Tällainen tarkastus kohdistuu tyypillisesti haitallisuuteen ja tekniseen kelvollisuuteen, ei sisältösääntöihin. Toisin sanoen vaihtoehtoisesta kaupasta voi löytyä sovelluksia, joita alustan omat säännöt eivät sallisi, ilman että perustason tekninen seula puuttuu.

Toteutukset ovat muuttuneet useaan otteeseen ja niistä käydään edelleen kiistaa. Siksi kannattaa tarkistaa oman laitteen ja oman maan tilanne laitteen asetuksista sen sijaan että luottaisi vuosi sitten luettuun ohjeeseen. Vaihtoehtoista kauppaa arvioidaan samoilla kysymyksillä kuin mitä tahansa palvelua: kuka sen ylläpitää, mitä se tarkastaa ja miten se hoitaa päivitykset.

Työnantajan oma sovellusjakelu

Työpaikoilla sovellukset tulevat usein kolmatta reittiä. Organisaatiolla on laitehallinta, joka jakaa sisäiset sovellukset suoraan hallinnoituihin laitteisiin. Sovellukset on allekirjoitettu organisaation omalla kehittäjätunnuksella, eivätkä ne näy julkisessa kaupassa lainkaan.

Tämä on hallittua sivulatausta: tarkistuksen tekee työnantajan IT eikä kaupan automaatti, ja päivitykset tulevat laitehallinnan kautta. Malli toimii, kun laite on työnantajan hallinnassa ja pelisäännöt on kerrottu. Ongelmat alkavat silloin, kun sama tehdään omalle puhelimelle epävirallisesti tai kun työntekijät ottavat käyttöön omia työkalujaan ohi sovitun, mikä on varjo-IT:n tavallisin muoto.

Jos työnantaja pyytää asentamaan laitehallinnan omaan puhelimeesi, kysy mitä se näkee ja mitä se voi tehdä. Laitehallinta voi tyypillisesti asentaa ja poistaa sovelluksia, vaatia näytön lukituksen ja tyhjentää työprofiilin. Se on iso valtuus, ja sen laajuudesta kannattaa sopia ennen asennusta.

Kysymykset, jotka kannattaa käydä läpi ennen asennusta

Nämä kysymykset toimivat sekä kaupassa että sen ulkopuolella. Ne vievät pari minuuttia ja karsivat suurimman osan huonoista valinnoista.

1. Kuka sovelluksen on tehnyt? Etsi kehittäjän nimi ja katso, mitä muuta se on julkaissut. Yhden sovelluksen kehittäjä, jolla ei ole verkkosivua, on eri asia kuin tunnettu toimija.
2. Tulinko tänne itse? Jos päädyit asennussivulle viestin, mainoksen tai puhelun kautta, palaa alkuun. Hae sovellus kaupan hausta tai palvelun virallisilta sivuilta.
3. Mitä oikeuksia se pyytää ja miksi? Taskulamppu ei tarvitse yhteystietoja. Oikeudet näkyvät kaupan sivulla ennen asennusta.
4. Vastaako nimi ja kuvake tuttua palvelua liiankin tarkasti? Jäljitelmät ovat yleinen tapa kalastella tunnuksia, ja ne ovat hyvin lähellä oikeaa.
5. Milloin sitä on viimeksi päivitetty? Vuosia päivittämätön sovellus ei todennäköisesti saa myöskään korjauksia haavoittuvuuksiin.
6. Miten se ansaitsee rahaa? Maksuton sovellus ilman mainoksia ja ilman maksullista versiota rahoitetaan jollakin, ja se jokin on usein data.
7. Sivulatauksessa: mistä paketti tulee ja miten se päivittyy? Jos et osaa vastata kumpaankaan, älä asenna.

Jos sovellus on avoimen lähdekoodin projekti, arviointiin tulee lisää työkaluja mutta myös uusia sudenkuoppia. Ne käsitellään erikseen artikkelissa avoimesta lähdekoodista käyttäjän kannalta.