«Мене заганяють в огороджений сад». Google перевірятиме особи розробників Android-застосунків

Це нагадує вже наявну, обов’язкову з 2023 року систему перевірки у Play Store. Як пише Google, компанія на власному досвіді переконалася в користі ідентифікації розробників — мовляв, це не дає зловмисникам використовувати власну анонімність для розповсюдження шкідливого програмного забезпечення, вчинення фінансових шахрайств та крадіжки конфіденційних даних.

Як повідомляє видання The Verge, подібні вимоги до розробників у ЄС запровадила й Apple для власної крамниці App Store. Дії компанії відповідають Закону про цифрові послуги (DSA), який вимагає від онлайн-платформ перевіряти статус «торговців», які розповсюджують власні товари й послуги.

«Роблячи Android безпечнішим, ми захищаємо відкрите середовище, яке дозволяє розробникам і користувачам впевнено творити та взаємодіяти, — пояснює Google у блозі розробників Android. — Нова перевірка розробників Android — це додатковий рівень безпеки, який стримує зловмисників і ускладнює поширення шкоди».

Як аргумент Google наводить у своїй заяві від 25 серпня власний нещодавній аналіз. Згідно з ним, через джерела, завантажені з Інтернету, надходило в понад 50 разів більше шкідливого програмного забезпечення, ніж через Google Play, де з 2023 року вимагається перевірка розробника.

«Ми бачили, як зловмисники ховаються за анонімністю, щоб завдати шкоди користувачам, видаючи себе за розробників і використовуючи їхній імідж для створення переконливих підроблених застосунків. Масштаби цієї загрози є значними», — додає Google у блозі.

Google опублікувала й графік поетапного розгортання правил. У жовтні відкриється програма раннього доступу, яка дозволить розробникам випробувати процес перевірки та надати відгук. Доступ відкриється в новій «консолі розробника Android» (для тих, хто публікує застосунки лише поза межами Play) та в Play Console (для тих, які розповсюджує їх як у Play, так і поза нею). Для студентів та розробників-аматорів мають створити окремі акаунти в консолі. Реєстрація відкрита, запрошення обіцяють розсилати поступово.

«Якщо ж ви розповсюджуєте застосунки в Google Play, то, ймовірно, вже виконали вимоги щодо перевірки через наявну процедуру Play Console», — додає Google у блозі розробників Android.

З березня 2026 року верифікація стане обов’язковою для всіх розробників. З вересня 2026 року — повне виконання нових правил у Бразилії, Індонезії, Сінгапурі та Таїланді: з цього моменту будь-який застосунок на сертифікованому пристрої Android у цих країнах має бути створений перевіреним розробником. А вже з 2027 року відбудеться глобальне впровадження.

Google наголошує: розробники все ще зможуть розповсюджувати свої програми безпосередньо серед користувачів за допомогою сайдлоудингу (тобто через сторонні джерела), або ж використовувати будь-яку крамницю застосунків на свій смак. По суті, йдеться не про перевірку контенту самих застосунків, а про викорінення анонімності серед їхніх творців.

«Уявіть собі це як перевірку документів в аеропорту, яка підтверджує особу мандрівника, але є окремою від перевірки безпеки його багажу. Ми будемо підтверджувати, хто є розробником, а не перевіряти вміст їхньої програми чи звідки вона взялася», — пояснює Google у блозі. — Ми вважаємо, що саме так має працювати відкрита система — зберігаючи можливість вибору та підвищуючи безпеку для всіх".

Що змінять нові правила Google

Відкрите завантаження додатків завжди було перевагою Android — але водночас і його ахіллесовою п’ятою. Приміром, у 2016 році група дослідників Сheck Point виявила шкідливе програмне забезпечення Gooligan, яке заразило понад 1,3 мільйона пристроїв шляхом сторонніх методів розповсюдження. Зрештою в Google заявили про впровадження покращень SafetyNet для захисту користувачів від подібних програм у майбутньому.

Утім, нові правила Google щодо розробників вже викликали занепокоєння серед користувачів. На Reddit деякі з них скаржаться на втрату свободи. «Якщо мене заганяють в огороджений сад, я піду до того, де гарніші рослини. Користуюся Android ще з Galaxy S2 — можливо, час побачити, що там на іншій стороні», — пише magnus150.

Також лунають думки, що обмеження неперевірених програм може «перекрити повітря» популярним застосункам, таким як блокувальники реклами на кшталт Adguard, які Google не пропускає у свою крамницю Play. Адже політика Play відкрито забороняє застосунки, які блокують показ реклами в інших програмах, оскільки це зачіпає бізнес-модель розробників, які на ній заробляють.

На Change.org навіть з’явилася петиція з закликом до Google переглянути свої вимоги, називаючи їх загрозою відкритому розповсюдженню програмного забезпечення та конфіденційності. «Уявіть собі, що ви надаєте конфіденційне особисте посвідчення особи державного зразка корпорації для встановлення програми поза межами Google Play», — ідеться в тексті петиції.

Вимагаючи від розробників підтверджувати свою особу навіть поза Play Store, Google намагається закрити давню лазівку, яка дозволяла шкідливому ПЗ поширюватися майже без опору. Для користувачів Android це означає більшу довіру до того, що вони встановлюють. Для Google — наближення Android до регуляторних вимог і свідчення того, що їхня платформа може залишатися і відкритою, і безпечною.

З іншого боку, незалежні розробники, які покладалися на завантаження з інших платформ, тепер муситимуть адаптуватися до нових вимог, навіть якщо Google обіцяє їм спрощений процес. Android все ще дозволятиме вибір — але він більше не буде анонімним. Чи сприймуть користувачі це як посилений захист, чи як посилення контролю з боку Google, залежатиме від того, наскільки гладко нові правила працюватимуть на практиці.