Echtheit pruefen

Ist das die echte App?

Weil es keinen Store gibt, der das für dich prüft, bringt jedes Release alles mit, was du zum Selbstprüfen brauchst. Drei Werte beantworten drei verschiedene Fragen:

Was	Wo	Beantwortet
Fingerabdruck des Signaturzertifikats (SHA-256)	Release-Notizen, Abschnitt „Prüfsummen · Checksums", und die README	Stammt die App von uns?
Prüfsumme der APK (SHA-256)	Release-Notizen, derselbe Abschnitt	Ist die Datei unterwegs verändert worden?
Herkunftsnachweis (GitHub-Build-Attestierung)	am Release, prüfbar mit der GitHub-CLI	Hat genau dieser Build auf genau diesem Stand die Datei erzeugt?

---

Der wichtigste Wert: das Signaturzertifikat

Der Fingerabdruck des Signaturzertifikats ändert sich nie ohne eine vorher angekündigte Schlüsselumstellung. Steht in einem Release ein anderer, stammt die Datei nicht von uns — Android würde ein Update damit über eine bestehende Installation ohnehin verweigern.

Vergleiche ihn am besten nicht mit den Notizen desselben Releases — das beweist nur, dass ein Release zu sich selbst passt. Der unabhängige Vergleichswert steht in der README; er wurde beim Erzeugen des Schlüssels festgehalten, bevor er irgendetwas signiert hat.

Die README schreibt den Wert in Großbuchstaben mit Doppelpunkten (E8:40:20:…), die Release-Notizen in Kleinbuchstaben ohne Trennzeichen (e840205e…). Das ist derselbe Wert in zwei Schreibweisen.

Die Prüfsumme der APK

Damit prüfst du, ob die heruntergeladene Datei genau die ist, die der Build erzeugt hat. Am Rechner zum Beispiel so:

Get-FileHash .\basetool-v0.3.0.apk

Der Wert muss mit „APK" in den Release-Notizen übereinstimmen.

Der Herkunftsnachweis (für Genaue)

Mit der GitHub-CLI lässt sich die APK gegen den Build prüfen, der sie erzeugt hat:

gh attestation verify basetool-v0.3.0.apk --repo krt-profit/basetool-android

---

Und nach der Installation?

Updates, die Obtainium oder du selbst installierst, prüft Android automatisch gegen das Zertifikat der installierten App. Passt es nicht, verweigert Android das Update — siehe Fehlerbehebung. Dann nicht deinstallieren, sondern fragen.

---

Siehe auch: Installation · Updates