Zo controleer je de SHA-256-hash van een APK-bestand

Waarom controleren?

• Een beschadigde download: als het bestand maar gedeeltelijk of met fouten is gedownload, komt de hash anders uit, dus je merkt het voordat er een installatiefout verschijnt.
• Een ander bestand: je bevestigt dat een bestand dat je op een usb-stick of op een andere manier hebt meegebracht, het gepubliceerde bestand is.

De actuele hashwaarde wordt alleen op de downloadpagina gepubliceerd. We schrijven hem niet in deze handleiding, zodat hij nooit verouderd raakt.

Stap voor stap

1. Zoek de gepubliceerde hash

   In het vak “Vingerafdruk van het bestand (SHA-256)” op de downloadpagina zie je een hash van 64 tekens. Je kunt hem kopiëren met de knop Kopiëren.

2. Download de APK naar je computer

   Download de APK alleen met de downloadknop op dezelfde pagina en onthoud waar het bestand wordt opgeslagen.

3. Bereken de hash

   Voer het commando uit dat bij je computer past (de commando’s staan in de tabel hieronder). Het commando geeft een waarde van 64 tekens weer.

4. Vergelijk de twee waarden

   De berekende waarde en de waarde op de pagina moeten letter voor letter overeenkomen. Sommige programma’s tonen hoofdletters; negeer het verschil tussen hoofd- en kleine letters.

5. Ga verder op basis van het resultaat

   Als de waarden overeenkomen, kun je het bestand installeren. Als ze verschillen, wis je het bestand en download je het opnieuw; als ze nog steeds verschillen, installeer het dan niet en schrijf ons.

Commando’s om de hash te berekenen

Vervang de bestandsnaam in het commando door de naam van je eigen bestand. Voer het commando uit in de map waar de APK staat.

Wat de hash wel en niet laat zien

• Het laat zien: dat het bestand hetzelfde is als het bestand op de pagina waar de hash is gepubliceerd.
• Het laat niet zien: dat de pagina zelf echt is. Daarom moet je de APK en de hash alleen van yoldas.io halen, via HTTPS.

Ook bij updates wordt de handtekening gecontroleerd

Alle Yoldaş-versies zijn met dezelfde sleutel ondertekend. Als Yoldaş zichzelf bijwerkt, controleert het vóór het installeren de integriteit van het bestand, de pakketnaam, het versienummer en de handtekening; het installeert nooit een oudere versie alsof ze nieuw is. Details staan op de beveiligingspagina.

Gevorderde gebruikers die dat willen, kunnen het ondertekeningscertificaat van twee versies vergelijken met het commando apksigner verify --print-certs uit de Android SDK Build-Tools; omdat ze met dezelfde sleutel zijn ondertekend, moet de certificaatinformatie hetzelfde zijn.

Volgende stap

Zodra de hash overeenkomt, kun je het bestand in de auto installeren: een APK vanaf een usb-stick installeren of de handleiding voor het installeren van apps op een BYD.