Tải app là đưa một gói cài vào máy, và rủi ro nằm ở người đã đóng gói chứ không ở lời hứa bên trong gói. Với QQ88, gói từ cửa hàng của hệ điều hành còn có tên nhà phát hành để đối chiếu, còn gói nhận qua tin nhắn thì không, nên cài tệp đó là cài đặt tay. Tệp bạn sắp mở đến từ nhà phát hành đã đối chiếu, hay từ một tin nhắn lạ?
Tải app QQ88 nên được đối chiếu nhà phát hành trước khi cài bằng cách nào?
Cửa hàng của hệ điều hành hiện tên nhà phát hành cạnh gói cài, và đó là dòng để so với lần cài trước. Gói đến từ tệp đính kèm thì không có dòng này. Khi tải app mà thiếu dòng nhà phát hành, mọi bước sau đó đều dựa trên phỏng đoán.
Cài từ cửa hàng khác cài từ một tệp gửi kèm ở điểm nào?
Cài từ cửa hàng đi qua danh sách có ghi nhà phát hành, còn cài từ tệp gửi kèm là nhận một gói nằm ngoài danh sách đó. Hai đường không có cùng mức thông tin về người ký gói. Đó chính là cài đặt tay, và tải app theo cách này đặt toàn bộ việc kiểm lên người dùng.
Tên nhà phát hành cần trùng với điều gì?
Tên nhà phát hành cần trùng với tên đã thấy ở lần cài trước, hoặc tên người dùng tự ghi lần đầu. Một tên mới là một bên khác, dù đi kèm logo quen. Khi tải app, chỉ nên dựa vào dòng trên cửa hàng hoặc trong hồ sơ gói, không dựa vào câu trong tin nhắn.
Vì sao logo giống nhau không đủ để nhận gói?
Logo chỉ là một tấm ảnh, và ảnh có thể sao chép trong vài giây. Tên nhà phát hành và chữ ký gói không làm giả được bằng cách thay ảnh, nên kẻ gửi tệp hay gắn logo cũ để đánh lạc hướng. Khi tải app mà chỉ nhìn logo, người dùng đã bỏ qua đúng dòng cần đọc.
Nhà phát hành và chữ ký gói cài được đọc ở những mục nào?
Trên QQ88, tên nhà phát hành là dòng cần đọc trước khi bấm cài, kể cả khi máy hỏi có cho cài đặt tay không. Thứ tự hợp lý là đọc tên, đọc quyền gói xin, rồi mới quyết định. Giao diện có thể quen mắt, nhưng nó không cho biết ai đứng sau lần tải app đang chờ xác nhận.
| Nguồn gói cài | Điều cần thấy | Rủi ro nếu thiếu |
|---|---|---|
| Cửa hàng hệ điều hành | Tên nhà phát hành trùng lần trước | Tên lạ là một bên khác |
| Tệp gửi trong tin nhắn | Không có trang nhà phát hành | Không biết ai đã đóng gói |
| Hồ sơ cấu hình trên máy | Tổ chức đứng tên hồ sơ | Có thể xin quyền rất rộng |
| Bản nhận là cập nhật | Cùng nhà phát hành với bản cũ | Khác tên là một gói khác |
Mục nhà phát hành trên cửa hàng nằm ở đâu trong việc kiểm?
Mục nhà phát hành là dòng chữ cạnh tên ứng dụng và trước nút cài, nên nó là điểm dừng đầu tiên. Người dùng đọc dòng đó rồi so với mốc đã ghi từ lần trước. Nếu dòng trống hoặc là tên lạ, cách an toàn là dừng lại.
Hồ sơ cấu hình trên máy khác một ứng dụng thường ở điểm nào?
Một số máy nhận một hồ sơ cấu hình do một tổ chức đứng tên, và hồ sơ đó có thể xin quyền rộng hơn nhiều so với ứng dụng thường. Khi tải app theo đường này, tên tổ chức trên hồ sơ là dòng bắt buộc phải đọc. Không rõ tổ chức là ai thì không nên cài hồ sơ.
Quyền tin nhắn, danh bạ và quyền điều khiển máy nói điều gì?
Mỗi quyền là một cánh cửa gói được mở trên máy, và ứng dụng xem nội dung không cần đọc tin nhắn. Khi gói xin quyền rộng như vậy, đó là lý do để dừng và hỏi gói có đúng nhà phát hành đã biết không. Cấp quyền trước rồi mới đối chiếu tên là làm ngược thứ tự.
Ví dụ một tệp trong tin nhắn khác gói trên cửa hàng ra sao?
Giả sử một tệp được gửi kèm câu hãy cài cho nhanh, và tệp đó không có trang nhà phát hành để so. Với QQ88, gói cùng chức năng trên cửa hàng vẫn có dòng tên để đặt cạnh mốc cũ, nên hai cách tải app khác nhau ở chỗ có dữ liệu để kiểm hay không. Không có dòng tên thì tệp trong tin nhắn không qua được bước kiểm.
Quyền mà ứng dụng xin cho thấy rủi ro cài đặt tay ra sao?
Cài đặt tay nghĩa là máy được yêu cầu tin một gói không đi qua danh sách cửa hàng, và gói đó có thể xin quyền ngay lúc cài. Khi quyền đã cấp, gói đọc được dữ liệu máy cho phép. Vì vậy rủi ro của việc tải app bằng tệp lạ nằm ở người đóng gói và ở quyền, không ở câu thưởng trên màn hình.
Gói cài tay có thể làm gì sau khi được cấp quyền?
Sau khi được cấp quyền, gói cài tay có thể hiện một giao diện quen để người dùng gõ mật khẩu, rồi đọc chuỗi đó. Nó cũng có thể chạy ngầm sau khi người dùng tưởng đã xong. Đây là hệ quả của việc không biết ai ký gói, và lời hứa trong ảnh không xóa được hệ quả đó.
Bản cập nhật bên trong ứng dụng cần cùng nhà phát hành không?
Bản cập nhật cần mang cùng tên nhà phát hành với bản đang có, vì bản mang tên khác thực chất là một gói khác. Tính năng mới không chứng minh được chữ ký. Mỗi lần tải app ở dạng cập nhật vì thế cần qua đúng bước đối chiếu như lần đầu.
Phần thưởng hiện trong ứng dụng có nói gì về gói cài không?
Phần thưởng hiện trong ứng dụng không nói gì về người đã ký gói, vì màn hình thưởng chỉ xuất hiện sau khi gói đã chạy. Những chữ đó không thay được dòng nhà phát hành bị bỏ qua lúc cài. Việc kiểm gói phải xong trước, còn phần thưởng không làm một lần tải app an toàn hơn.
Kết luận về gói cài
Cài tệp ngoài cửa hàng là nhận một gói không đi qua danh sách của hệ điều hành, nên người đóng gói có thể khác người đứng tên trang. Đối chiếu nhà phát hành với lần cài trước là cách biết gói đã bị tráo hay chưa. Với QQ88, rủi ro của việc tải app bằng tệp gửi kèm nằm ở chữ ký và ở quyền mà gói xin. Trung tâm An ninh mạng Quốc gia Anh nhắc trong trang về cập nhật phần mềm và ứng dụng rằng gói cài nên đến từ kênh đã đối chiếu, và mỗi lần tải app đều nên theo nguyên tắc đó. Các bài cùng nhóm nằm ở mục Hướng Dẫn.