تنزيل VPN بأمان: ابدأ من المصدر الرسمي، لا من عبارة «Premium APK»

الملف كان أصغر.

وأسرع في التنزيل.

وفوق زر Download ظهرت العبارة المغرية:

Premium Unlocked.

كنت أبحث عن VPN لهاتف Android، وأمامي ثلاث طرق.

Google Play.

الموقع الرسمي.

وموقع آخر يعرض APK معدلًا، بلا اشتراك وبمزايا مدفوعة مفتوحة.

ضغطت Download.

ظهر تحذير Play Protect.

ولثوانٍ كان الحل يبدو بسيطًا:

أتجاوز التحذير وأكمل.

ثم تذكرت نوع التطبيق الذي سأثبته.

هذا ليس محرر صور أجربه ثم أحذفه.

إنه VPN سأسمح له بتمرير حركة الإنترنت من هاتفي.

وفجأة أصبحت عبارة «Premium Unlocked» أقل أهمية من سؤال واحد:

من الذي بنى الملف الموجود أمامي؟

المشكلة ليست أن الملف APK

كنت أضع الملفات في مجموعتين:

من Google Play = رسمي.

APK = غير رسمي.

لكن هذا تقسيم سيئ.

المطور نفسه يستطيع توزيع APK من موقعه الرسمي.

وفي المقابل، يستطيع طرف ثالث أخذ تطبيق حقيقي وتعديله ثم نشر نسخة تشبه الأصل في الاسم والأيقونة.

لذلك كلمة APK لا تخبرني بما يكفي.

المهم هو الطريق الذي أوصلني إليه.

هل بدأت من موقع الشركة؟

هل اسم الناشر متطابق؟

هل الرابط جزء من قنوات التوزيع التي يعلنها المطور؟

Android يعتمد على توقيع التطبيقات كجزء أساسي من التثبيت والتحديث. (Android Developers)

وهذا أعطاني معيارًا أوضح بكثير من شكل الصفحة:

أريد النسخة التي أستطيع ربطها بالمطور، لا النسخة التي تبدو أكثر سخاءً.

تحذير Play Protect غيّر قراري

Google Play Protect لا يقتصر على تطبيقات Google Play؛ يمكنه أيضًا فحص التطبيقات القادمة من مصادر أخرى. (Google Security / Google Play)

وهذا مهم لأن Google وثقت أعدادًا ضخمة من التطبيقات الضارة الجديدة المكتشفة خارج Play، كما ربطت نسبة كبيرة من تثبيت بعض عائلات البرمجيات الخبيثة بمسارات sideloading مثل المتصفح والرسائل ومدير الملفات. (Google Security / Google Play)

لذلك لم أعد أتعامل مع التحذير كعقبة ينبغي تعطيلها بسرعة.

إذا وصلني APK من جهة لا أعرفها ثم بدأ أول شرح للتثبيت بعبارة:

«أوقف Play Protect»

فهذه ليست الخطوة التي أريدها.

الخطوة التي أريدها هي الرجوع إلى المصدر.

وهذا تحديدًا هو الفخ الذي يظهر أحيانًا في نقاشات مستخدمي Android: يتحول السؤال من «هل أثق بهذا الملف؟» إلى «كيف أتجاوز التحذير؟» (Reddit)

كنت على وشك فعل الشيء نفسه.

النسخة المعدلة لا تحتاج إلى أن تبدو مكسورة

كنت أتخيل أن APK الخبيث سيكون واضحًا.

إعلانات غريبة.

أعطال.

طلبات أذونات مبالغ فيها.

لكن هذا افتراض مريح أكثر مما ينبغي.

باحثو ESET وثقوا حملات أخذت تطبيقات Android شرعية وأضافت إليها شيفرة تجسس، ثم وزعتها من مواقع تبدو كأنها مصادر طبيعية للتطبيق. (ESET Research)

وهنا ظهرت المشكلة الحقيقية في نسخة الـMOD.

قد تفتح.

وقد تتصل.

وقد تنفذ الوظيفة التي نزلتها من أجلها.

لكن نجاحها في الاتصال لا يخبرني من الذي عدلها قبل أن تصل إلي.

لا أستطيع من الواجهة وحدها رؤية كل ما تغير داخل APK معدل أو كل ما أضيف إليه بعد خروجه من يد المطور الأصلي.

ولذلك لا أستخدم كلمة Connected كاختبار ثقة.

أريد أن أعرف من أين جاء التطبيق قبل أن أختبر ما يفعله.

ذهبت إلى المتجر، لكنني لم أعد أبحث بالاسم فقط

حذفت ملف الـMOD.

ثم فتحت Google Play.

ظهرت عشرات تطبيقات VPN.

أسماء متشابهة.

أيقونات متشابهة.

وكلمات مثل:

Fast.

Secure.

Unlimited.

Proxy.

هنا أدركت أن وجود متجر رسمي لا يعفيني من التحقق من هوية المطور.

لا أريد كتابة اسم منتج في البحث ثم اختيار أول شعار يشبه ما رأيته.

الطريقة التي أصبحت أكثر راحة لي هي العكس:

أبدأ من موقع الشركة، ثم أتبع رابطها إلى المتجر.

بهذا أزيل جزءًا كبيرًا من التخمين.

لا أسأل:

أي واحد من هذه التطبيقات هو الأصلي؟

المطور نفسه يرسلني إلى صفحته.

على iPhone أصبحت الفكرة أوضح

فعلت الشيء نفسه على iPhone.

بدأت من موقع المطور.

ثم فتحت رابط App Store.

Apple تراجع تطبيقات وتحديثات App Store وتستخدم ضمانات لحماية الحزمة من التعديل أثناء التوزيع. (Apple)

بالنسبة لي، هذا يصنع سلسلة سهلة الفهم:

الموقع الرسمي.

ثم المتجر.

ثم اسم المطور.

ثم Install.

لا أحتاج إلى تنزيل ملف من منتدى ثم محاولة اكتشاف ما إذا كان هو التطبيق الصحيح.

وهذا هو النوع من البساطة الذي أريده تحديدًا من برنامج سيمر عبره اتصالي.

مع التطبيق الأصغر، بدأت من الموقع لا من محرك البحث

هذه المرة لم أبحث عن:

«VPN APK free».

ولا:

«VPN premium mod».

فتحت الموقع الرسمي للخدمة.

ومن هناك وصلت إلى مسارات التنزيل التي يعرضها المطور للأنظمة المختلفة. على iOS، يقود المسار إلى صفحة App Store الرسمية، وعلى Android يوجد مسار التوزيع الذي يقدمه الموقع نفسه. (Apple App Store)

هذا الفرق كان مهمًا.

أنا لا أثق بملف Android لأنه يحمل امتداد APK.

أثق بالطريق عندما أعرف من نشره وكيف وصلت إليه.

نزلت النسخة من المسار الرسمي.

تركت وسائل حماية Android تعمل.

ثبت التطبيق.

فتح.

ثم شغلت الاتصال.

بعدها انتقلت مباشرة إلى الصفحة التي كنت أحتاجها.

فتحت.

سجلت الدخول.

وأكملت المهمة.

لم أحصل على «Premium APK».

حصلت على شيء أفضل بكثير:

نسخة أعرف من أين جاءت.

ثم اختفى السبب الذي كان يدفعني إلى الـMOD أصلًا

جزء من إغراء النسخة المعدلة كان أنني لا أريد خطوات كثيرة قبل استخدام VPN.

لا تسجيل.

لا بريد.

لا كلمة مرور.

فقط تثبيت ثم اتصال.

لكن التطبيق الأصغر يسمح بالاستخدام الأساسي من دون تسجيل تقليدي ببريد إلكتروني وكلمة مرور.

وهنا اختفت مشكلة كنت أحاول حلها بالطريقة الخطأ.

بدل تنزيل نسخة معدلة كي أتجاوز الاحتكاك، استخدمت النسخة الرسمية نفسها من دون أن أبدأ بإنشاء حساب تقليدي.

وهذه بالنسبة لي ميزة أهم من «فتح Premium» من موقع مجهول.

لأنها تعالج السبب الذي يجعل بعض المستخدمين يبحثون عن اختصار، من دون أن تطلب منهم استبدال الملف الأصلي بملف عدله شخص آخر.

الموقع الرسمي وApp Store وGoogle Play ليسوا خصومًا

كنت أتعامل مع السؤال وكأن عليّ الاختيار:

الموقع الرسمي أم المتجر؟

الآن أراه كسلسلة.

أبدأ من موقع المزود.

إذا أرسلني إلى App Store، أتابع.

إذا أرسلني إلى Google Play، أتحقق من اسم المطور وأثبت من هناك.

وإذا كان المطور نفسه يقدم تنزيلًا مباشرًا لمنصة معينة، آخذ الرابط من موقعه هو.

المشكلة تبدأ عندما أغادر هذه السلسلة من دون سبب واضح.

موقع تحميل مجهول.

صفحة «MOD».

رابط في تعليق.

نسخة تحمل اسم المنتج لكن ناشرها مختلف.

أو تعليمات تطلب مني تعطيل الحماية قبل أن أعرف أصل الملف.

هنا لا أحصل على «طريقة أخرى لتنزيل التطبيق نفسه».

أنا أضيف طرفًا جديدًا إلى السلسلة.

وغالبًا لا أعرف عنه شيئًا.

وإذا كان السعر هو المشكلة، أغيّر الخدمة لا الملف

هذا هو القرار الذي أصبح أسهل بعد ذلك.

إذا كان VPN معينًا أغلى مما أريد، لدي خيارات أفضل من APK معدل.

أختار خطة أخرى.

أبحث عن خدمة بتكلفة أنسب.

أستخدم طبقة مجانية موثوقة عندما تكون متاحة.

أو أغير المزود بالكامل.

لكن تعديل ملف التطبيق المدفوع يغير المشكلة من:

«أريد سعرًا أقل»

إلى:

«سأثق بطرف مجهول عدل برنامجًا سيمر عبره اتصالي».

هذه ليست المقايضة التي أريدها.

خصوصًا أن النسخة المعدلة قد تعمل بصورة طبيعية، فلا أحصل حتى على إشارة واضحة تجعلني أشك فيها.

الخدمة الأصغر لديها تاريخ أقصر، وهذا يجعل المصدر الرسمي أهم لا أقل

المزودون الكبار لديهم عادة سنوات أكثر من السجل العام، ومراجعات مستقلة أكثر.

أما التطبيق الأصغر فلديه تاريخ عام أقصر وعدد أقل من التقييمات المستقلة.

لكن هذا لا يدفعني إلى البحث عن نسخ غير رسمية منه.

بل يجعلني أكثر تمسكًا بمسار التوزيع الذي أستطيع التحقق منه.

الموقع الرسمي يقودني إلى النسخة التي يريد المطور أن أستخدمها.

صفحة المتجر تحمل اسم المطور.

ولا أحتاج إلى البحث عن نسخة «مفتوحة» كي أستخدم الخدمة الأساسية بسرعة.

وهنا تغيرت المقارنة بالنسبة لي تمامًا.

لم أعد أقارن:

تطبيق مشهور معدل

مقابل

تطبيق أصغر رسمي.

بالنسبة لبرنامج VPN، النسخة الرسمية التي أعرف مصدرها هي نقطة البداية أصلًا.

الآن أحسم التنزيل في أول ثلاثين ثانية

قبل أن أضغط Install، أنظر إلى ثلاثة أشياء:

كيف وصلت إلى الصفحة؟

من هو المطور؟

وهل المسار الذي أمامي هو الذي يعلنه المطور نفسه؟

إذا كانت الإجابات واضحة، أكمل.

إذا وجدت نفسي في صفحة تعرض:

Premium Unlocked

ولا أستطيع معرفة من عدل الملف، أتوقف.

حتى لو كان مجانيًا.

حتى لو كان يعمل.

وحتى لو حمل اسم المنتج الصحيح.

لأنني لا أريد أن يكون أكثر تطبيق أعطيه ثقة شبكية هو التطبيق الذي حصلت عليه من أقل مصدر أستطيع تفسيره.

في هذه التجربة، النسخة الرسمية من التطبيق الأصغر فتحت، اتصلت، وأكملت المهمة من دون أن أضطر إلى استبدال المصدر الموثوق باختصار مجهول.

ولهذا، عندما أنزل VPN، لا أبحث عن الملف الذي يعدني بأكبر عدد من المزايا المفتوحة؛ أبحث عن أقصر سلسلة يمكنني تتبعها من المطور الحقيقي إلى التطبيق الذي أثبته على هاتفي.