APK Info Viewer

Analisi statica dei pacchetti Android con APK Info Viewer

L'installazione di un'applicazione Android da fonti esterne al canale ufficiale comporta la necessità di verificare l'integrità e i requisiti del file prima della sua esecuzione sul dispositivo. Il tool APK Info Viewer è un'utilità di analisi statica progettata per ispezionare il contenuto e i metadati di un file Android Application Package (APK) direttamente all'interno del browser web. Senza installare né eseguire l'applicazione, lo strumento estrae le informazioni tecniche dichiarate nel pacchetto, consentendo di confrontarle con i rilasci ufficiali degli sviluppatori e di identificare eventuali anomalie.

Il processo di analisi avviene interamente a livello locale tramite un Worker nel browser dell'utente. Questo approccio garantisce che nessun file o dato sensibile venga caricato su server esterni, mantenendo l'operazione riservata e sicura.

---

Requisiti di input e gestione dei file

Lo strumento accetta l'inserimento di un singolo file con estensione .apk e dimensione massima di 500 MB. L'interfaccia presenta l'area di rilascio con le etichette Trascina un.apk qui o clicca per sceglierlo e Un file.apk, fino a 500 MB.

Durante il caricamento e l'analisi, il sistema gestisce diversi scenari ed errori specifici:

• Dimensione eccedente: Se il file supera il limite di 500 MB, l'analisi viene interrotta con il messaggio di errore: \"Questo file supera i 500 MB, oltre i limiti di sicurezza di una scheda del browser.\".
• Formati non supportati:
  • I pacchetti divisi (come XAPK o APKM) non possono essere analizzati direttamente. In questo caso, il sistema restituisce l'errore: \"Questo è un pacchetto diviso XAPK, un contenitore di diversi APK. Estrai l'APK di base e ispeziona quel file.\".
  • I file Android App Bundle, utilizzati per la pubblicazione sul Google Play Store ma non installabili direttamente, mostrano il messaggio: \"Questo è un Android App Bundle (.aab), un formato di pubblicazione e non un APK installabile. Ispeziona invece l'APK compilato.\".
  • Qualsiasi altro file non riconosciuto come APK genera l'errore: \"Questo non sembra un APK: nessun file AndroidManifest.xml leggibile trovato all'interno.\".
• Errori di lettura e integrità: Se il file è corrotto o incompleto, compare la dicitura \"Il pacchetto sembra danneggiato o troncato, quindi il suo contenuto non ha potuto essere letto.\". Problemi generici di accesso al file mostrano \"Impossibile leggere il file. Scegline un altro.\", mentre altri fallimenti imprevisti mostrano \"Ispezione non riuscita. Prova un altro file.\".
• Inserimenti multipli: Se l'utente seleziona più file contemporaneamente, lo strumento elabora esclusivamente il primo elemento della lista, mostrando la nota \"Un file alla volta: ispezione del primo in corso.\".

Struttura del report tecnico

Una volta completata l'analisi, l'interfaccia mostra lo stato Report pronto. e organizza i dati estratti in sezioni dedicate. L'utente può salvare queste informazioni offline tramite il pulsante Scarica report o azzerare la schermata con il comando Pulisci.

Requisiti di sistema (Requisiti)

Questa sezione definisce la compatibilità del pacchetto con le diverse versioni del sistema operativo Android:

• Android minimo (lMinSdk): Indica la versione minima richiesta per l'esecuzione. Viene mostrata come Android ‹version› (API ‹level›) o semplicemente API ‹level›.
• Android di destinazione (lTargetSdk): Specifica il livello di API per cui l'applicazione è stata ottimizzata.
• SDK max ‹n› (lMaxSdk): Se presente nel manifesto, indica il limite massimo di compatibilità del sistema operativo.

Permessi richiesti (Permessi)

Il tool elenca tutti i permessi che l'applicazione richiede al sistema operativo. Per agevolare l'analisi di sicurezza, i permessi classificati da Android come sensibili per la privacy (ad esempio l'accesso alla posizione, alla fotocamera o ai contatti) vengono contrassegnati con il badge Pericoloso e ordinati prioritariamente in cima alla lista.

Componenti dell'applicazione (Componenti)

Vengono estratti e catalogati i quattro componenti fondamentali dichiarati nel file AndroidManifest.xml:

• Activities: Le schermate visibili dell'interfaccia utente.
• Services: I processi eseguiti in background.
• Receivers: I componenti che ricevono e gestiscono i messaggi di broadcast del sistema.
• Providers: I moduli per la gestione e la condivisione dei dati.

Per ciascun componente viene evidenziato lo stato di accessibilità esterna tramite l'etichetta esportato. Nel caso dei Providers, viene mostrata anche l'autorità di riferimento o la dicitura Nessuno. Per garantire la leggibilità dell'interfaccia, lo strumento mostra un massimo di 100 voci per categoria; se questo limite viene superato, le rimanenti vengono raggruppate sotto la dicitura + altri ‹count›.

Codice nativo e Risorse (Codice nativo / Risorse)

La sezione Codice nativo mostra le architetture di processore supportate (ABIs) e il numero di librerie native incluse. La sezione Risorse offre invece una panoramica quantitativa dei file interni al pacchetto:

• Densità schermo (lDensities)
• File di risorsa (lResFiles)
• File di asset (lAssets)
• File di codice (.dex) (lDexFiles)
• File nel pacchetto (lEntries)

---

Firme e impronte crittografiche

La sicurezza e l'autenticità di un APK dipendono dai certificati di firma digitale applicati dallo sviluppatore. APK Info Viewer analizza i blocchi di firma v1 (PKCS#7) e i blocchi di firma APK (v2, v3 e v3.1) per estrarre i metadati dei certificati X.509.

Per ogni firmatario individuato (Firmatario ‹n›), la sezione Firme mostra:

• Soggetto (lSubject)
• Emesso da (lIssuer)
• Numero di serie (lSerial)
• Valido da (lValidFrom) e Valido fino al (lValidTo)
• Algoritmo di firma (lSigAlg) e Algoritmo chiave (lKeyAlg)
• Le impronte digitali crittografiche del certificato nei formati MD5, SHA-1 e SHA-256.

Se l'APK non contiene firme valide o è stato alterato senza una corretta riscrittura dei blocchi, l'interfaccia mostra l'avviso: "Nessun blocco di firma riconosciuto trovato: il pacchetto potrebbe non essere firmato o essere stato modificato.".

Nota di sicurezza: Lo strumento si limita a estrarre e mostrare i metadati dei certificati. Non esegue la verifica crittografica dell'integrità delle firme, non convalida la catena di attendibilità dei certificati e non verifica l'identità reale dell'editore nel mondo reale.

La sezione finale Hash del file mostra invece le impronte MD5, SHA-1 e SHA-256 dell'intero file APK caricato, utili per verificare che il file corrisponda esattamente a quello distribuito dallo sviluppatore originale.

---

Domande frequenti (FAQ)

Cosa posso scoprire da un APK senza installarlo?

Molte cose: nome pacchetto e versione dell'app, le versioni di Android richieste, tutti i permessi richiesti, le schermate e i componenti in background dichiarati, i tipi di processore per cui è incluso codice nativo e i certificati con cui è stato firmato.

Questo strumento può dirmi se un APK è un malware?

No — e diffida di qualsiasi strumento che prometta un verdetto da una rapida scansione. Qui ottieni i fatti: permessi, componenti, firmatari e hash. Confrontali con quanto pubblicato dallo sviluppatore e considera permessi inattesi o un firmatario diverso dalla versione ufficiale come motivi per desistere.

Quali file sono supportati?

File APK singoli fino a 500 MB. I pacchetti divisi (XAPK, APKM) e gli Android App Bundles (.aab) sono contenitori o formati di pubblicazione anziché un singolo pacchetto installabile, quindi vengono rifiutati con un messaggio chiaro anziché con un report confuso.

Cosa dicono i dettagli della firma?

Ogni app Android è firmata e il certificato identifica chi l'ha pubblicata. Puoi vedere quali schemi di firma possiede il pacchetto (v1, v2, v3) e il soggetto, la finestra di validità e le impronte MD5, SHA-1 e SHA-256 di ciascun firmatario. Due APK con impronte corrispondenti provengono dallo stesso editore — sta comunque a te giudicare se ti fidi di quell'editore.

Cosa significa il badge “Pericoloso” su un permesso?

È la classificazione ufficiale di Android: i permessi pericolosi possono accedere a dati privati (posizione, contatti, fotocamera, microfono, memoria), quindi il sistema chiede all'utente prima di concederli. Il badge non è un'accusa; un'app di mappe che chiede la posizione è normale. Segnala semplicemente i permessi che vale la pena leggere due volte.