Tern: Android-приложения от разработчиков с проверкой каждого файла

⚡ Главное за 5 секунд - Tern — нативное Android-приложение размером около 7 МБ: оно находит и устанавливает приложения там, где их публикуют разработчики, а перед установкой проверяет каждый файл. - Доступно через F-Droid или как tern.apk из последнего релиза; работает на Android 9 и новее на телефонах, планшетах и Android TV. - Ограничение: сторонние магазины приложений отключены по умолчанию, а некоторые источники, которые читает Obtainium, в Tern сознательно не включены. ### 🔍 Что обнаружено Tern читает страницы релизов с GitHub, GitLab, Codeberg, Forgejo/Gitea, F-Droid, IzzyOnDroid, а также веб-страницы, прямые ссылки, Jenkins, SourceHut, SourceForge, itch.io, Telegram и Neutron Code. Восемь сторонних магазинов — Huawei AppGallery, Samsung Galaxy Store, vivo, APKPure, Aptoide, APKCombo, APKMirror и Tencent — можно включить отдельной настройкой. При этом Tern работает без аккаунта и без аналитики, обращается только к источникам приложений и местам из PRIVACY.md, а каждый запрос идентифицирует себя как Tern. Перед загрузкой Tern читает с сервера package name, version code и сертификат подписи через несколько range-запросов; для файла 6 МБ это заняло 4 запроса и 106 КиБ. После скачивания SHA-256 сверяется с контрольной суммой издателя, если она есть: digest релиза GitHub, подписанный индекс F-Droid,.sha256, SHA256SUMS или хэш в release notes. Подпись проверяется дважды — собственным верификатором Tern (APK Signature Scheme v1, v2, v3 и v3.1) и Android. Если они расходятся, файл отклоняется. Для 15 известных приложений Tern заранее знает сертификат разработчика, подтверждённый вторым источником, поэтому проверяется даже первая установка. ### 💡 Почему это важно Большинство open source Android-приложений публикуют релизы на GitHub, GitLab, Codeberg или собственном репозитории за несколько дней до появления в магазинах — если вообще публикуют там. Tern позволяет следовать за этими страницами релизов напрямую, а перед установкой проверяет, кто подписал файл, тот ли это пакет и совпадает ли контрольная сумма. Обновления приходят тихо: после первого подтверждения система Android получает запрос на тихое обновление при каждом новом релизе. Встроенные виджет, плитка Quick Settings и ярлыки позволяют проверять обновления снаружи приложения, а при выборе Orbot весь трафик идёт через Tor. Это практичная замена магазинам для тех, кто хочет получать софт от разработчиков с проверкой подлинности, а не полагаться на посредников. ### 🧩 Контекст Tern продолжает подход Obtainium, который показал, что телефон сам может следить за страницами релизов. Tern делает то же самое и дополнительно «внимательно смотрит» на то, что получил: сверяет подпись, контрольную сумму и источник. Экспорт Obtainium переносит в Tern список приложений и настройки, а Tern умеет писать экспорт для Obtainium обратно. Некоторые источники, читаемые Obtainium, оставлены за пределами Tern намеренно — причины перечислены в docs/COMPARISON.md. Установленный Tern обновляет сам себя через собственный бейдж, так что инструмент остаётся актуальным без ручного скачивания.

🔗 Читать на github.com