APK Info Viewer

Lokale statische analyse van Android-applicaties

De APK Info Viewer is een gratis online tool waarmee u de inhoud en metadata van een Android-apppakket (APK) kunt inspecteren voordat u het op een apparaat installeert. De tool werkt volledig binnen de webbrowser van de gebruiker via een lokale Worker. Dit betekent dat er geen bestanden of gegevens naar een externe server worden geüpload, en dat het APK-bestand nooit wordt uitgevoerd of geïnstalleerd op uw apparaat.

Door gebruik te maken van statische analyse helpt deze utility om de technische eigenschappen van een APK-bestand te verifiëren en deze te vergelijken met officiële releases van ontwikkelaars. Dit proces is cruciaal voor het vaststellen van de integriteit van een applicatie zonder de risico's die gepaard gaan met het uitvoeren van onbekende code.

Vereisten en beperkingen voor invoer

De tool is ontworpen voor de inspectie van individuele pakketbestanden en hanteert strikte regels voor de invoer:

• Bestandsformaat: Alleen bestanden met de extensie .apk worden geaccepteerd.
• Grootte: De maximale bestandsgrootte is 500 MB. Indien een bestand deze limiet overschrijdt, wordt de inspectie afgebroken met de foutmelding: \"Dit bestand is groter dan 500 MB — groter dan een browsertabblad veilig kan inspecteren.\".
• Aantal: Er kan slechts één bestand per keer worden geanalyseerd. Als u meerdere bestanden tegelijk probeert te uploaden, verwerkt de tool alleen het eerste bestand en toont de melding: \"Eén bestand tegelijk — de eerste wordt geïnspecteerd.\".

Foutafhandeling bij incompatibele of beschadigde bestanden

Tijdens het inladen en parseren kunnen specifieke foutmeldingen optreden op basis van het bestandstype of de status van het bestand:

• Android App Bundles: Bestanden in het .aab-formaat worden geweigerd met de melding: \"Dit is een Android App Bundle (.aab) — een publicatieformaat, geen installeerbare APK. Inspecteer in plaats daarvan de gebouwde APK.\".
• Gesplitste pakketten: XAPK- of APKM-bestanden activeren de foutmelding: \"Dit is een XAPK-gesplitst pakket — een container met verschillende APK's. Pak de basis-APK uit en inspecteer dat bestand.\".
• Niet-APK bestanden: Als het bestand geen leesbaar manifest bevat, toont de tool: \"Dit lijkt geen APK te zijn: geen leesbaar AndroidManifest.xml aangetroffen.\".
• Beschadigde bestanden: Bij een afgebroken of corrupt pakket verschijnt de melding: \"Het pakket lijkt beschadigd of afgebroken, waardoor de inhoud niet kon worden gelezen.\".
• Leesfouten: Algemene problemen met het inlezen van het bestand resulteren in: \"Het bestand kon niet worden gelezen. Kies het opnieuw.\".
• Algemene fouten: Overige onvoorziene fouten tijdens de analyse tonen: \"Inspectie mislukt. Probeer een ander bestand.\".

De anatomie van een APK-analyse

Wanneer u een bestand in de interface sleept (waar de labels Sleep een APK hierheen of klik om te kiezen en Één.apk-bestand, maximaal 500 MB zichtbaar zijn), doorloopt de tool verschillende fasen. Dit proces wordt weerspiegeld in de statusindicatoren:

1. Klaar. Zet een APK neer om deze te inspecteren.
2. ‹name› lezen…
3. Bestandshashes berekenen — ‹percent›%
4. Pakket verwerken…
5. Rapport gereed.

Na afronding kunt u met de actieknop Rapport downloaden de resultaten opslaan, of de interface leegmaken met de knop Wis, waarna de status Gewist. of Rapport gedownload. verschijnt.

SDK-versies en compatibiliteit

In de sectie Vereisten toont de tool hoe de applicatie zich verhoudt tot verschillende Android-versies:

• Minimale Android: De minimale OS-versie die vereist is om de app te kunnen starten. Dit wordt weergegeven als Android ‹version› (API ‹level›) of simpelweg API ‹level›.
• Doel-Android: De API-versie waartegen de app is gecompileerd en geoptimaliseerd. Dit bepaalt welk runtime-gedrag en welke beveiligingsrichtlijnen van het OS van toepassing zijn.
• max. SDK ‹n›: Indien de ontwikkelaar een expliciete maximale API-limiet heeft gedefinieerd, wordt dit hier getoond.

Machtigingen en componenten controleren

Sortering van machtigingen

In de sectie Machtigingen worden alle door de app vereiste permissies opgesomd. Om de privacyrisico's direct inzichtelijk te maken, past de tool een specifieke sortering toe: machtigingen die door het Android-besturingssysteem als "Gevaarlijk" zijn geclassificeerd omdat ze toegang geven tot privégegevens, worden met prioriteit bovenaan de lijst geplaatst en voorzien van een opvallende Gevaarlijk-badge.

Applicatiecomponenten en exportstatus

De sectie Componenten splitst de interne structuur van de app op in vier hoofdcategorieën:

• Activities: De visuele schermen van de applicatie.
• Services: Achtergrondprocessen zonder interface.
• Receivers: Componenten die luisteren naar systeembrede of app-specifieke signalen.
• Providers: Interfaces voor het delen van gegevens tussen applicaties.

Voor elke component wordt gecontroleerd of deze de eigenschap geëxporteerd bezit. Een geëxporteerde component kan worden aangeroepen door andere applicaties op het toestel, wat bij onjuiste configuratie een veiligheidsrisico kan vormen. Voor providers wordt daarnaast de specifieke autoriteit getoond, of Geen indien deze ontbreekt.

Om de interface overzichtelijk te houden, geldt er een weergavelimiet van maximaal 100 items per componentcategorie. Zodra er meer componenten aanwezig zijn, wordt de lijst afgekort met het label +‹count› meer.

Technische resources en handtekeningen

Native code en bronbestanden

De tool analyseert de fysieke samenstelling van het APK-archief en rapporteert dit in de secties Native code en Bronnen:

• Native code: Toont de ondersteunde processortypen (Application Binary Interfaces of ABI's) en het aantal bijbehorende native bibliotheken.
• Schermdichtheden: De specifieke grafische resoluties waarvoor geoptimaliseerde resources aanwezig zijn.
• Bestandstellingen: Gedetailleerde aantallen voor Bronbestanden, Asset-bestanden, Codebestanden (.dex) en het totale aantal Bestanden in pakket.

Handtekeningen en certificaatmetadata

Elke legitieme Android-app moet digitaal ondertekend zijn. De sectie Handtekeningen extraheert X.509-certificaten uit v1 PKCS#7-blokken en APK-ondertekeningsblokken (v2, v3 en v3.1). Per gevonden ondertekenaar (Ondertekenaar ‹n›) worden de volgende gegevens uitgelezen:

Indien er geen geldige handtekeningstructuur wordt aangetroffen, toont de interface de waarschuwing: "Geen herkend handtekeningenblok gevonden — het pakket is mogelijk niet ondertekend of opnieuw gepakt.".

Belangrijke beperking: De tool extraheert en toont deze metadata uitsluitend voor informatieve doeleinden. De tool voert geen cryptografische verificatie uit op de integriteit van de handtekeningen, valideert de vertrouwensketen van de certificaten niet en verifieert de werkelijke identiteit van de uitgever niet in de fysieke wereld.

Bestandshashes

In de sectie Bestandshashes genereert de tool de MD5-, SHA-1- en SHA-256-hashes van het volledige APK-bestand zelf. Deze unieke vingerafdrukken kunnen worden gebruikt om te controleren of het bestand exact overeenkomt met de hash die door de originele ontwikkelaar of een vertrouwde database is gepubliceerd.

---

Veelgestelde vragen

Wat kan ik te weten komen over een APK zonder deze te installeren?

Best veel: de pakketnaam en versie van de app, de benodigde Android-versies, alle machtigingen die de app vraagt, de schermen en achtergrondcomponenten die de app declareert, de processortypen waarvoor de app native code bevat en de certificaten waarmee de app is ondertekend.

Kan dit hulpprogramma vertellen of een APK malware bevat?

Nee — en wees sceptisch over elk hulpprogramma dat een oordeel belooft op basis van een snelle scan. Wat je hier krijgt zijn de feiten: machtigingen, componenten, ondertekenaars en hashes. Vergelijk deze met wat de ontwikkelaar publiceert en beschouw onverwachte machtigingen of een andere ondertekenaar dan de officiële release als redenen om af te zien van installatie.

Welke bestanden worden ondersteund?

Enkele APK-bestanden tot 500 MB. Gesplitste pakketten (XAPK, APKM) en Android App Bundles (.aab) zijn containers of publicatieformaten in plaats van één installeerbaar pakket, dus deze worden geweigerd met een duidelijke melding in plaats van een verwarrend rapport.

Wat vertellen de ondertekeningsgegevens mij?

Elke Android-app is ondertekend en het certificaat identificeert wie de app heeft gepubliceerd. Je ziet welke ondertekeningsschema's het pakket gebruikt (v1, v2, v3) en het onderwerp van elke ondertekenaar, de geldigheidsduur en MD5-, SHA-1- en SHA-256-vingerafdrukken. Twee APK's met overeenkomende vingerafdrukken zijn afkomstig van dezelfde uitgever — of je die uitgever vertrouwt, moet je zelf beoordelen.

Wat betekent de badge “Gevaarlijk” bij een machtiging?

Dat is de officiële classificatie van Android: gevaarlijke machtigingen hebben toegang tot privégegevens — locatie, contacten, camera, microfoon, opslag — dus het systeem vraagt de gebruiker om toestemming voordat ze worden verleend. De badge is geen beschuldiging; een kaarten-app die om locatie vraagt is normaal. Het geeft alleen aan welke machtigingen het waard zijn om extra goed te lezen.