Quão seguro é usar o Aptoide?

Como na atualização mais recente do Google Play, agora é possível ver a lista completa de permissões solicitadas por um aplicativo na instalação / atualização ¹ , sinto minha privacidade invadida. Pior ainda, um aplicativo pode obter permissões adicionais com uma atualização e sem que o usuário saiba ^2,3 .

Então, eu estou procurando alternativas.

TL; DR:

Sei que temos Quais são os mercados alternativos de aplicativos para Android? , mas a) é mais ou menos uma lista de outros mercados (sem fornecer antecedentes) ⁴ eb) nem menciona o Aptoide .

Eu não quero outro aplicativo que precise ser executado permanentemente em segundo plano para "verificar a validade da licença", para que coisas como a Amazon Appstore ou AndroidPIT sejam lançadas. O AppBrain é apenas mais um front-end para o Google Play - por mais legal que seja, não resolve o problema, pois para instalações e atualizações de aplicativos, é necessário redirecionar para o Google Play - o que estou prestes a " fugir".

Eu já fiz o check-out do F-Droid há alguns dias e sinto que é bastante adequado às minhas necessidades (siga o link para obter detalhes) - mas com apenas cerca de 1.200 aplicativos (a partir de 6/2014) ele deixa muitas lacunas.

Diz -se que o Aptoide, no outro extremo , atende a mais de 120.000 aplicativos atualmente. Como o nome sugere, ele usarepositórios no estilo APT , com os quais estou acostumado no Linux (Debian e derivados). Ele ainda permite que você tenha seu próprio repositório privado para compartilhar aplicativos entre dispositivos (ou com amigos). Todos os aplicativos são oferecidos gratuitamente, portanto, não há necessidade de um "servidor de licenças". Mas quão seguro é para o usuário final? Pesquisei no Google (e abaixei) por horas, mas não consegui encontrar nenhuma fonte sobre isso. Em vez disso, encontrei muitos links do tipo "aplicativos pagos de graça", "mercado negro" e outras coisas relacionadas à pirataria - o que definitivamente não é o que estou procurando. Estou mais do que aberto a pagar por bons aplicativos ⁵ , então "obtê-los de graça" não é a intenção por trás da minha pergunta. GostarF-Droid , o Aptoide possui vários repositórios - mas não consegui descobrir se existe um repositório principal "confiável", como o F-Droid .

Há informações relacionadas disponíveis na descrição do pacote (por exemplo, esta ), indicando medidas de segurança, como verificação de malware, validação de assinatura e validação de terceiros. Mas, como mostra a página da Web correspondente , essas informações parecem depender, pelo menos em parte, dos comentários do usuário (que podem ser falsificados / manipulados) ou nem sequer são apresentadas ao usuário (as informações do pacote, por exemplo, nomes de 3 scanners usados ​​para verificar, I não consegue encontrar essas informações na página da web). Embora eu possa procurar informações através de informações do pacote, não posso pedir, por exemplo, que meus pais com mais de 70 anos o façam. Por esta página , Aptoide também aponta como para ver os resultados de suas medidas de segurança, e afirma explicitamente:

A plataforma Aptoide Anti-Malware analisa aplicativos em tempo de execução e desativa possíveis ameaças em todas as lojas.

(Ênfase minha) - que sugere uma proteção contra malware comparável à do Google Play (como isso se encaixa com esses "rumores do mercado negro"? Talvez eles simplesmente não removam aplicativos ofensivos, mas apenas os marcam ?).

Então finalmente

A questão:

Existe uma maneira de usar o Aptoide com segurança como fonte de aplicativos? Se sim, como? ⁶ Se não, por que não?

Pontos de bônus por uma maneira "à prova de idiotas" que pode ser recomendada a usuários menos experientes.

Notas de rodapé

¹ Sei que seria possível abrir apágina do aplicativona Google Play Store , rolar por ele e clicar no link correspondente quando encontrado - mas você não pode chamar isso de fácil utilização ou esperar que os usuários façam isso a cada atualização.
^{2 Por} exemplo, na primeira instalação, solicitou o "desavisado"READ_PHONE_STATEcom a justificativa usual. Com uma atualização, ele poderia solicitarCALL_PHONE,PROCESS_OUTGOING_CALLSe outros - e o aplicativo Play não apresentaria isso, pois eles pertencem ao "mesmo grupo".
³ Para descobrir "novas permissões", era preciso comparar as da versão instalada com as da presente. Diverta-se!
⁴ Acabei de editar duas respostas e adicionei alguns detalhes sobre o AppBrain e o F-Droidpara preencher essas lacunas
⁵ Eu comprei muitos aplicativos no Google Play (ou doei diretamente para o desenvolvedor) e, por exemplo, o F-Droid possui botões de doação na página de cada aplicativo para tornar isso possível
⁶ Eu poderia imaginar sabendo (e restringindo seu uso para) "repositórios seguros do Aptoide" isso pode ser alcançado. Mas, como eu escrevi, não conseguia descobrir quais considerar "seguras". O artigo do Aptoide na Wikipedia sugere que há um "repositório padrão" na instalação, e mais repositórios precisam ser adicionados manualmente; portanto, pode ser que o primeiro seja seguro.

Obrigado por fazer essas perguntas. Aqui estão algumas informações sobre o Aptoide que eu espero que sejam úteis para você e a comunidade Stackexchange / Android:

1. Malware é algo que levamos muito a sério. Atualmente, temos três sistemas diferentes para detectar malware à medida que eles chegam em qualquer loja de aplicativos Aptoide:
   • nós executamos 3 antivírus diferentes em emuladores em tempo de execução
   • temos um sistema interno de assinaturas para detectar ameaças recorrentes
   • implementamos uma cadeia de confiança baseada na assinatura do desenvolvedor
2. A tarefa de criar um ambiente seguro para o usuário final é um alvo em movimento. Estamos trabalhando com várias universidades e centros de pesquisa e, em um artigo recente (ainda não publicado), comparamos bem com as outras lojas de aplicativos. Também propusemos um projeto de pesquisa europeu com 2 empresas de antivírus e 3 universidades / centros de pesquisa para lidar com esse tópico. Há muito trabalho a ser feito e o feedback da comunidade é importante.
3. O F-Droid é de fato muito semelhante ao Aptoide. Eles são um fork do Aptoide e mantêm todos os conceitos que desenvolvemos, como várias lojas. Eles têm uma abordagem mais centralizada e uma assinatura central que, é claro, diferente da nossa abordagem.
4. Na Aptoide, temos o selo "Confiável". Se você vir o carimbo Confiável em um aplicativo, temos 99,99% de certeza de que o aplicativo não contém uma ameaça para o usuário final.

Best,
Paulo Trezentos (cofundador da Aptoide)

Após a resposta de Paulo , mais algumas trocas de correspondência com ele, eu já escrevi uma descrição detalhada em minha resposta a outra pergunta - e também em um artigo em meu próprio site: Android Markets: Qual é a segurança de fontes alternativas?

Depois disso, acompanhei de perto o Aptoide desde então e ainda o faço - deixe-me adicionar mais alguns detalhes (incluindo alguns pontos já mencionados anteriormente, para o contexto):

• O Aptoide não é uma "área única para aplicativos", como o Google Play ou a Amazon App-Store. É bastante comparável ao que o Launchpad é para o Ubuntu: todos e sua irmãzinha podem abrir seu próprio repositório aqui, que é apresentado como uma "loja" separada dos outros. Há uma pesquisa global (por aplicativos e lojas), no entanto.
• Há apenas um repositório que é "curado manualmente" pelo próprio Aptoide, chamado " Aplicativos ". Aqui, a equipe do Aptoide decide quais aplicativos estão entrando no repositório. Aqui eu …
  • não encontrou um único "aplicativo pago pirateado", seja por dinheiro ou de graça
  • verifiquei as assinaturas de alguns aplicativos e as encontrei correspondentes às do Google Play para todas as que verifiquei
  • não se lembra de nenhum aplicativo sem o selo "confiável" (ou seja, o aplicativo tão marcado foi verificado quanto a malware com vários scanners (incluindo o próprio "segurança" do Aptoide)), as assinaturas foram verificadas para coincidir com as de outros mercados (principalmente o Google Play ) e muito mais - veja minha outra resposta já mencionada para obter detalhes sobre isso)

Portanto, minha conclusão é que é bastante seguro usar este repositório .

No entanto, também dei uma olhada em vários outros repositórios - onde você realmente pode encontrar muitos "aplicativos pirateados" (os aplicativos pagos do GPlay "de graça" sempre são um sinal disso). Nesses locais, não apenas o carimbo "confiável" estava faltando com frequência - mas, em vez disso, frequentemente encontrei o carimbo "não confiável" - o que significa que o aplicativo provavelmente estava contaminado (os detalhes diferiam; na maioria das vezes eu achava a assinatura o problema: " foi usado em outro lugar para assinar outro pacote de desenvolvedores "tem 99% de certeza de indicar um" hack ").

Resumindo: Uma resposta geral não pode ser dada aqui (isso seria responder à pergunta se "a Terra" é um lugar seguro para se viver). O quão seguro é usar o Aptoide depende muito da sua escolha do repositório. Sabe-se que um deles é organizado manualmente e, ouso dizer, tão seguro quanto o Google Play , a Amazon App Store e outros. Alguns podem ser considerados bastante seguros - especialmente se você conhece os proprietários deles, e se apega a aplicativos que mostram o escudo "confiável".

Evite que os aplicativos não recebam o escudo (atualmente verde) "confiável", especialmente fique longe dos que exibem o escudo (atualmente amarelo) "não confiável", é melhor se ater apenas ao repositório de aplicativos - e o Aptoide deve ser um local seguro para você .

Eu considero os aplicativos repositório seguro o suficiente para vinculá-lo a minhas listas de aplicativos - ao lado do F-Droid e do Google Play.

O Aptoide é um site de pirataria conhecido para aplicativos Android. Se você acha que qualquer site que distribua software pirateado é seguro, você está sendo bastante otimista.

Lancei recentemente meu aplicativo Android Westward Dystopia na Google Play Store SOMENTE e, em poucos dias, ele foi oferecido no Aptoide. Quando entrei em contato com a empresa para remover o conteúdo, eles me disseram que não, a menos que eu me registrasse primeiro no serviço e abrisse uma conta com eles.

NÃO é assim que um site legítimo é executado. Eu não confiaria neles até onde poderia jogá-los. Os usuários devem ficar atentos.