Tern

Устанавливает и обновляет приложения для Android напрямую от разработчиков, предварительно проверяя каждый файл. Подходит для телефонов, планшетов и Android TV.

Перед установкой Android-приложений проверяется источник их публикации разработчиками.

Большинство приложений для Android с открытым исходным кодом размещают свои релизы на GitHub, GitLab, Codeberg или в собственных репозиториях за несколько дней до того, как они появятся в каком-либо магазине приложений, если таковые вообще когда-либо появятся. Obtainium показал, что телефон может самостоятельно отслеживать эти страницы релизов. Tern тоже выполняет эту работу, а затем тщательно проверяет, что ему было передано: кто подписал файл, является ли это запрошенное вами приложение и совпадает ли оно с контрольной суммой, предоставленной издателем. Только после этого установщик Android видит его.

Это нативное приложение размером около 7 МБ, без аналитики и без учетной записи. Оно взаимодействует только с теми источниками, откуда поступают ваши приложения, и с местами, указанными в файле PRIVACY.md, такими как хост иконок или места, где вы выполняете поиск, и ни с кем от своего имени. Каждый запрос указывает, что он исходит от Tern.

Каждая подпись проверяется дважды: собственным верификатором Tern и системой Android. Каждое приложение привязано к сертификату, полученному при первой установке. Для 15 известных приложений Tern знает сертификат, полученный до этого. Он считывает данные с сайтов, репозиториев и ресурсов, которые считывает Obtainium, а также из восьми сторонних магазинов приложений после их включения, и устанавливает программу через Android, Shizuku, Dhizuku, root или другое приложение-установщик. Виджет, плитка быстрых настроек и ярлыки запуска позволяют проверять и обновлять настройки вне приложения. Android TV управляется с помощью пульта дистанционного управления, а телефон может отправлять на него ссылки, зашифрованные кодом, который отображается на экране телевизора. При выборе Orbot все операции проходят через Tor, и ничто не может их обойти. Экспорт в Obtainium включает в себя ваш список и ваши настройки, и Tern также может создать аналогичный файл для Obtainium.

Что именно проверяется

Прежде чем что-либо загрузить, Tern считывает с сервера имя пакета файла, код версии и сертификат подписи с помощью нескольких запросов диапазона. Для файла размером 6 МБ потребовалось 4 запроса и 106 КБ. То, что он считывает, является утверждением, и на экране отображается «утверждения», пока Android не подтвердит это.

После загрузки:

Хеш SHA-256 файла сравнивается с контрольной суммой издателя, если таковая имеется: дайджест релиза GitHub, подписанный индекс F-Droid, .sha256файл .sha256.txt рядом с загружаемым файлом, SHA256SUMSфайл контрольной суммы, содержащий его имя, или хеш в примечаниях к релизу. Подпись проверяется дважды: собственным верификатором Tern (схема подписи APK v1, v2, v3 и v3.1) и Android. Если результаты проверки расходятся относительно того, кто подписал файл, он отклоняется. Android не считывает каждую часть разделенного пакета во всех версиях, и часть, которую он пропускает, должна пройти проверку только Tern. Подписывающим лицом должен быть тот же человек, что и для уже установленного у вас приложения, и тот, кто для него закрепил свой сертификат. Закрепитель устанавливается при первой установке и сохраняется вместе с экспортированными файлами, поэтому переустановка на новом телефоне будет осуществляться с использованием того же сертификата. Для 15 известных приложений Tern использует собственный сертификат разработчика, каждый из которых подтвержден вторым источником, поэтому проверяется даже их первая установка. Файл, относящийся к другому пакету, более старой версии, чем установленная, или тестовая сборка, будет отклонена. Установка считается успешной, когда Android сообщает об успешном завершении, а менеджер пакетов отображает новый код версии.

https://github.com/munzzyy/tern

Домашняя страница: https://tern.munzzyy.dev