APKが特定のソースコードからビルドされていることを確認する

同じアプリの場合、私は持っています：

• アプリストアからのAPK、
• 同じバージョンのソースコードであると主張されているもの。かなり通常のGradleビルドスクリプトと構造を使用します。

APKがそのソースコードから本当にビルドされたかどうかを確認したいと思います。
それを確認するには？

ノート：

• APKは難読化されていません。
• 私は誰かの署名を信頼する理由はありません。私はソースコードのみを信頼しています。
• 私はすでに自分用にアプリを作成しましたが、APKが正常であったかどうかを知りたいです。
• Linuxコマンドラインツールが望ましいですが、どのツールでも問題ありません。

これは、再現可能なビルドでのみ実行でき ます。

「同じソースコード、ビルド環境、ビルドの指示が与えられれば、ビルドは再現可能であり、すべての当事者が、指定されたすべてのアーティファクトのビットごとの同一のコピーを再作成できます。」

したがって、アプリデベロッパーまたはアプリストアが機能するためには、そのメンバーである必要があります。
それ以外の場合の唯一の選択肢は、自分で構築することです。

現在これを行っている開発者の一例がOpen Whisper Systemsです：https : //github.com/WhisperSystems/Signal-Android/wiki/Reproducible-Builds

JavaとAPKの優れた点の1つは、APKをJavaソースコードに完全に逆コンパイルできることです。

ただし、結果のソースコードが同一であるとは限りません。

結果のソースコードを既知のリビジョンと照合するための良い方法の1つは、リポジトリ内の既知のコミットの直前と直後に行われた変更をチェックし、それらの変更が逆コンパイルされたソースにも存在するかどうかを確認することです。

逆コンパイルするには、dex2jarとJD-Guiを使用します。

編集 Linuxツールが欲しかったことに気づきました。私の唯一の経験はWindowsですが、Linuxにも同様のツールが存在することは間違いありません。