如何验证 Proton APK
- 阅读
- 1 分钟
- 类别
- 安全与隐私
哈希校验是一种单向数学运算（校验和），对计算机文件执行后会创建唯一的数字指纹。如果文件以任何方式被更改（哪怕只有一个字节），指纹也会随之改变。
哈希校验只是将您下载的文件的数字指纹与该文件应有的数字指纹（由我们发布）进行比较。如果指纹不匹配，则不应信任下载的文件。请立即联系我们的支持团队。
如果指纹与我们网站上发布的指纹校验和一致，则可以确信您下载的文件正是我们希望您下载的文件。
Proton 为用于签署我们 APK 文件的证书（而非 APK 文件本身）发布 SHA256 加密哈希校验和。您可以（也应该）使用这些校验和来验证所下载的文件没有以某种方式被篡改或损坏。
SHA256 是什么？
SHA256 代表 Secure Hash Algorithm（新窗口）（安全哈希算法）256 位。它是由美国政府设计的 SHA-2（安全哈希算法 2）系列中的加密哈希函数之一。SHA256 是一种安全算法，用于为几乎任何类型的数据创建唯一的数字指纹，并可用于对从互联网下载的文件进行哈希校验。
什么是签名证书？
Android 要求所有 APK 在安装到设备或更新之前都必须使用证书进行数字签名。这既保证了完整性（文件未被损坏或篡改），也保证了身份验证（文件确实来自我们）。只要签名证书是真实的，您就可以确信 APK 是安全的。
要验证签名证书是否安全，您可以将其与我们发布在 APK 下载页面（通常位于页面的常见问题部分）上的 SHA256 校验和进行哈希校验。
请注意，本支持文章中显示的哈希校验和仅作示例之用。请参阅您想要检查的文件的下载页面，以获取正确的校验和。
如何对 APK 的签名证书进行哈希校验
要对用于签署我们 APK 的证书进行哈希校验：
1. 下载（新窗口）并安装 Java。
2. 获取 apksigner 工具。
安装 Android Studio（新窗口） 软件开发套件时会包含此工具，您也可以使用以下链接下载：
如果您安装了 Android Studio，apksigner 可以在您的 SDK/build-tools 文件夹中找到。要找到 SDK 文件夹的位置， 请打开 Android Studio，然后前往Projects → More actions → SDK Manager。
SDK 文件夹的位置显示在Android SDK location下方。您的 build-tools 文件夹位于 SDK 文件夹中。
如果您只是使用上述链接下载 apksigner，请将其解压缩到任意方便的位置。
3. 在 Windows 上打开 Windows PowerShell 或命令提示符，在 macOS 上打开终端（Terminal），在 Linux 上打开终端窗口，然后运行以下命令：
[Path to apksigner] verify --print-certs [path to APK file]
例如，在安装了 Android Studio 的 Windows 上：
C:\Users\Dougie\AppData\Local\Android\Sdk\build-tools\34.0.0\apksigner verify --print-certs C:\Users\Dougie\Downloads\ProtonMail-Android.apk
在 macOS 或 Linux 上，apksigner 工具已解压至 ~/Downloads/android-14 文件夹。
~/Downloads/android-14/apksigner verify --print-certs ~/Downloads/ProtonMail-Android.apk
4. 找到以 Signer #1 certificate SHA-256 digest 开头的行，并将该校验和与我们网站上发布的 APK 校验和进行比较。如果两者一致，则说明 APK 文件是安全的，可以信任。
注意：我们部分 APK 的证书目前使用 APK Signature Scheme（新窗口） v1 签名。appsigner 工具也会检查 v2 签名，因此运行该工具时您可能会看到一些警告。只要 SHA256 哈希校验一致，就可以放心忽略这些警告。