Découvrez à travers cet article, comment sécuriser l’installation d’un fichier APKM ou XAPK ?

Installer une application Android a longtemps été une formalité : un seul fichier APK suffisait pour déployer l’application sur l’appareil. Mais depuis, l’écosystème Android a évolué. Le format de fichier Android App Bundle est devenu obligatoire en 2021 pour toutes les nouvelles applications proposées sur le Google Play Store. Ce format permet de déployer des applications plus lourdes, sous la forme d’un paquet qui inclut à la fois le code et les ressources.

Si cette évolution a complexifié l’installation manuelle des applications en dehors du store, les formats de fichiers APKM et XAPK permettent aujourd’hui de regrouper en un seul fichier les différents éléments requis pour une installation manuelle. Mais en tant que DSI ou RSSI, une question se pose : quels sont les risques de sécurité liés à l’utilisation de ces fichiers, et comment sécuriser leur installation ?

APK, XAPK, APKM : quelles différences entre ces différents formats ?

L’APK (Android Package Kit) est le format historique d’Android. Il s’agit d’un fichier unique, prêt à installer, qui contient l’application. Il est par exemple comparable au fichier .exe de Microsoft. Mais ce format n’est plus adapté pour la plupart des applications actuelles. Depuis l’essor de l’Android App Bundle, un seul fichier ne suffit souvent plus pour installer une application complète en dehors du Google Play Store.

C’est là qu’interviennent les formats dits “conteneurs”. C’est notamment le cas du XAPK (eXtended Android Package Kit), qui regroupe simultanément l’APK et des ressources additionnelles, à l’instar d’un fichier OBB (Opaque Binary Blob) qui contient des données supplémentaires indispensables au bon fonctionnement de l’application. Il s’agit donc d’un format adapté aux applications lourdes lorsque l’APK ne suffit pas.

L’APKM est un autre format conteneur qui ne sert pas à intégrer des données volumineuses comme l’XAPK, mais à regrouper plusieurs APK au sein d’une même archive. Cet ensemble d’APK est généré à partir de la solution APKMirror. Il regroupe un APK de base et plusieurs APK de configuration afin de permettre une installation complète en dehors du Play Store sur tous les types d’appareils.

Quels sont les avantages et les inconvénients de ces formats ?
 

En tant que DSI ou RSSI, les formats APKM et XAPK présentent avant tout un intérêt opérationnel. Ils rendent installables des applications qui nécessitent plusieurs éléments en une seule opération, qu’il s’agisse d’un APK accompagné de données additionnelles ou d’une application découpée en plusieurs composants. 

En regroupant tout le nécessaire dans un seul fichier, ils réduisent fortement le risque d’installation incomplète lors d’un déploiement manuel hors Google Play Store. En résumé, ces formats simplifient, accélèrent et fiabilisent l’installation de vos applications Android en dehors du store officiel.

Cependant, ces formats comportent plusieurs inconvénients. D’abord, Android ne prend pas toujours en charge ces formats nativement. L’installation repose alors sur une application tierce, ce qui ajoute un maillon technique à maîtriser. Le risque le plus important concerne la sécurité, car ces fichiers peuvent provenir de sources non officielles ou insuffisamment contrôlées. 

Si les collaborateurs recourent au sideloading en installant des applications n’étant pas issues du Google Play Store, cela peut exposer votre entreprise à des fichiers contenant des malwares ou étant non conformes à votre politique interne. Les versions installées peuvent être altérées, ou ne plus être maintenues par leur éditeur.
Côté expérience utilisateur, vos équipes peuvent être moins familières avec ces formats que l’APK classique. L’installation peut donc sembler plus technique pour certains utilisateurs, surtout en l’absence d’un processus IT bien défini.

Comment sécuriser l’installation des fichiers APKM et XAPK ?

Face à la montée en puissance des installations hors store et à la complexité croissante des applications Android, le défi ne réside plus seulement dans l’installation technique des applications. Pour des raisons de sécurité, il est essentiel d’assurer un suivi des installations applicatives, de savoir d’où proviennent les fichiers et dans quelles conditions ils sont déployés. Il convient donc d’encadrer l’usage de formats comme APKM et XAPK avec un dispositif capable de centraliser, de vérifier et d’industrialiser le déploiement des applications.

Notre solution Cryptosmart mobile s’inscrit précisément dans cette logique. En plus d’assurer la protection de vos communications mobiles, le terminal Cryptosmart intègre un catalogue applicatif. Le déploiement des applications est centralisé via le MDM (Mobile Device Management) Push Manager, ce qui permet à votre entreprise de contrôler le sideloading et de reprendre la main sur les installations. Vous pouvez ainsi veiller à l’intégrité, à l’authenticité et à la conformité des applications installées sur les terminaux de vos collaborateurs.
La solution vous aide également à maîtriser les permissions et à encadrer les mises à jour, deux points essentiels pour réduire les risques liés à l’installation d'applications non approuvées et à la multiplication de versions non validées par votre département IT.

Enfin, cette approche permet d’unifier le modèle de déploiement : vous pouvez ainsi installer des applications au format APK pour des usages simples (SNCF, Air France…), et recourir aux formats APKM ou XAPK lorsque l’app est plus modulaire (Google, Firefox…).

Les formats APKM et XAPK répondent à une évolution majeure d’Android en simplifiant l’installation des applications hors Play Store. Ils exigent cependant un encadrement strict pour éviter les risques liés au sideloading et assurer la maîtrise de la provenance des fichiers et de l’intégrité des versions installées. Cryptosmart Mobile est la solution de référence qui garantit le chiffrement de vos données et sécurise vos communications mobiles à un niveau diffusion restreinte*. Son MDM Push Manager offre un cadre centralisé et sécurisé pour déployer, mettre à jour et contrôler vos applications au format APK, APKM, et XAPK sur l’ensemble de votre parc mobile.

* En cours de renouvellement