С проверкой разработчиков зависть Google к Apple угрожает разрушить открытое наследие Android.

от

Когда Google представил Android почти 20 лет назад, он был восхвален как мобильная операционная система, предлагающая беспрецедентную свободу по сравнению с более контролируемым iPhone от Apple. Однако с течением лет Android стал все больше похож на подход Apple. В настоящее время пользователи по-прежнему в значительной степени контролируют, какое программное обеспечение работает на их телефонах, но Google планирует изменить это позже в этом году, ограничив эту свободу в стремлении повысить безопасность.

🧐

Купил акции по совету друга? А друг уже продал. Здесь мы учимся думать своей головой и читать отчётность, а не слушать советы.

Прочитать отчет 10-K

Вскоре Google потребует от разработчиков, распространяющих приложения за пределами Google Play Store, регистрироваться под своими юридическими наименованиями и оплачивать сбор. Если они не соблюдают это требование, пользователи не смогут устанавливать эти приложения на большинство устройств Android. Google утверждает, что это изменение важно для безопасности, но оно может оттолкнуть разработчиков от создания для Android и потенциально создать риски для конфиденциальности тех, кто останется.

Хотя это изменение может предложить немного больше безопасности для вашего телефона, оно не предотвратит мошенничество. Что более важно, оно рискует потерять уникальные качества, которые всегда выделяли Android.

Борьба с ветряными мельницами

Магазин Google Play, ранее известный как Android Market, сильно изменился со временем. В начале было мало ограничений, позволяя разработчикам выпускать приложения, которые получали доступ к скрытым функциям телефона, нарушали авторские права или даже пытались получить полный контроль над устройством. Теперь Google имеет строгие меры безопасности для поиска и удаления вредоносных приложений, что значительно повысило безопасность Android. По словам Кристофа Хебейзена, эксперта по безопасности в Lookout, проверка разработчиков могла бы сделать телефоны Android еще более безопасными.

Хотя вредоносное ПО всё ещё иногда появляется в Google Play Store, Google эффективно защищает своих пользователей. По словам Хебейсена, количество вредоносного ПО, обнаруженного в Play Store, значительно ниже, чем на других платформах, а меры безопасности настолько сильны, что многие злоумышленники даже не пытаются распространять вредоносные приложения через него. Они знают, что большинство попыток будут быстро обнаружены и заблокированы, что делает это пустой тратой усилий.

С тем, как Google движется к требованию регистрации для всех разработчиков Android, они подчеркивают успех своих существующих усилий по обеспечению безопасности. Google сообщает, что Play Protect, их встроенная система защиты от вредоносного ПО на сертифицированных устройствах Android, теперь ежедневно сканирует 350 миллиардов Android-приложений – включая приложения из Play Store и те, которые установлены из других источников – по состоянию на начало 2026 года.

Я читал интервью с Hebeisen, и они объяснили кое-что интересное о Google Play Protect. Он предназначен для обнаружения плохих приложений *после* того, как они уже установлены на вашем телефоне, что отличается от того, как Google проверяет разработчиков заранее. Дело в том, что Play Protect может удалять только отдельные приложения – блокировка целого разработчика гораздо эффективнее. Кроме того, вы на самом деле можете отключить Play Protect! Google утверждает, что злоумышленники иногда *говорят* людям отключать его, поэтому они считают, что нужна более сильная защита. Но честно говоря, я не совсем убежден, что это происходит – мне кажется, что это немного оправдание.

Марк Прудхомо, член совета директоров магазина приложений F-Droid, считает эти ситуации трудновероятными, но Google не предоставила подробностей о том, сколько пользователей пострадало. Google только заявила, что за пределами Play Store доступно значительно больше вредоносного ПО, чем внутри него – примерно в 50 раз больше.

Итак, почему Google навязывает эти изменения разработчикам, которые даже не работают на них? По словам Hebeisen, похоже, что Google пытается скопировать подход Apple.

По словам Хебейсена, Google, вероятно, заметил успех Apple и задался вопросом, почему. Он считает, что базовая безопасность не сильно отличается между двумя платформами, но что Android получил больше сообщений о вредоносном ПО. Google, похоже, осознал, что способ разработки, распространения и установки приложений – вся экосистема разработчиков – играет значительную роль в безопасности.

Google последовательно улучшала безопасность Android на протяжении многих лет для борьбы с вредоносным ПО. Они достигли этого, предоставив пользователям больше контроля над разрешениями приложений, требуя регулярных обновлений безопасности для новых телефонов, сканируя все сертифицированные устройства на наличие угроз и усложняя установку приложений из неофициальных источников. Хотя Android сейчас намного безопаснее, чем раньше, он не полностью застрахован от угроз.

Существует предел технической гибкости, которую мы можем предложить, поэтому нам пришлось ввести некоторые ограничения для разработчиков, — объяснил Хебейзен, признав, что эти изменения не обходятся без недостатков. ‘Android традиционно был открытой платформой, где пользователи могли настраивать и делать практически все. Новый процесс проверки разработчиков, требующий обязательной регистрации для распространения приложений, естественно, в некоторой степени ограничивает эту свободу.

Google утверждает, что проверка приложений помогает им быстро удалять вредоносные приложения. Они сосредоточены на приложениях, которые наносят значительный ущерб, обычно определяемом как вредоносное ПО, и утверждают, что их стандарты удаления не изменились. Однако Google не предоставил конкретных деталей о том, что они считают «вредным», и даже те, кто работает с Google, не всегда согласны с тем, что квалифицируется как вредоносное ПО.

Как большой поклонник безопасности приложений, я был очень заинтересован узнать, что Lookout входит в App Defense Alliance вместе с Google. Очевидно, Google отправляет *каждое* приложение в Lookout для проверки перед публикацией в Play Store. Мы анализируем его и даём Google свои отзывы, но, честно говоря, они не *всегда* соглашаются с нами. Это немного расстраивает, потому что иногда приложения всё равно публикуются, даже когда мы думаем, что они могут быть рискованными!

Однако ситуация не всегда однозначна. По словам Хебейзена, некоторые приложения, которые Google помечает как проблемные, на самом деле безвредны. Они часто нарушают условия обслуживания Google способами, которые не влияют напрямую на пользователей, что означает отсутствие полной уверенности в том, что безопасно.

В конечном счете, требование к разработчикам подтверждать свою личность позволяет Google удалять приложения из своего магазина, а также дает Google возможность определять, что представляет собой неприемлемый контент. Команда, стоящая за F-Droid, обеспокоена, поскольку они уже наблюдали, как эти стандарты меняются во всем мире.

Марк Прудхомо из F-Droid отмечает, что, хотя многие утверждают, что хотят остановить вредоносное ПО, им часто не хватает чёткого, согласованного определения того, что на самом деле *является* вредоносным ПО. Он утверждает, что без консенсуса среди экспертов по безопасности и более широкого сообщества эти определения являются произвольными. Это означает, что те, кто определяет вредоносное ПО, могли бы легко изменить свои критерии, потенциально помечая легитимные инструменты, такие как VPN, как вредоносные, просто объявляя их таковыми.

Я слежу за усилиями Google по улучшению безопасности приложений, и хотя их заявления интересны, я не думаю, что проверка разработчиков полностью устранит мошенничество. Удивительно, но злоумышленникам больше не нужно обманом заставлять вас устанавливать вредоносное программное обеспечение. Они находят способы эксплуатировать ваше доверие. Например, они могут использовать пугающее сообщение – например, говоря, что ваша учетная запись Facebook будет заблокирована – чтобы убедить вас установить, казалось бы, безобидное приложение для удаленной поддержки из официального Play Store. После установки они могут получить полный контроль над вашим устройством. Это умная и тревожная тактика.

Важно различать исправление проблем для пользователей приложений и исправление их для соответствия требованиям Google. Требование к разработчикам подтверждать свою личность могло бы помочь Google избежать ответственности за проблемы мобильной безопасности.

По словам Хебейсена, киберпреступники не исчезают; они просто переключат свое внимание и разработают новые, хитрые способы обмана людей, и, вероятно, добьются успеха и в этих новых областях тоже.

Google calling the shots

Play Store полон некачественных AI-приложений и приложений, которые постоянно просят деньги, поэтому легко упустить из виду ценность бесплатного, некоммерческого программного обеспечения на Android. Эти проекты с открытым исходным кодом предлагают важные инструменты для многих пользователей и часто распространяются за пределами Play Store, поскольку некоторые люди предпочитают не полагаться на Google.

Раньше было легко оставаться анонимным в сети, но теперь для доступа ко многим веб-сайтам и сервисам требуется всё больше и больше личной информации. Компании запрашивают такие вещи, как сканирование лиц и удостоверения личности, утверждая, что это делается для защиты детей и уязвимых людей. Однако это также означает, что люди всё чаще вынуждены связывать свои реальные личности со своей онлайн-активностью. Для разработчиков эта тенденция может фактически препятствовать инновациям с открытым исходным кодом, которые так важны для успеха Android.

Основанный в 2009 году, The Guardian Project поддерживает разработку приложений с открытым исходным кодом почти столько же времени, сколько существует Android. Его основатель, Nathan Freitas, объясняет, что многие талантливые разработчики предпочитают оставаться независимыми от Google. Проект помогает этим разработчикам связываться с пользователями и укреплять более широкое сообщество Android.

По словам Фрейтаса, проект Guardian направлен на расширение возможностей каждого – ведь любой может быть активистом, журналистом или просто свидетелем события. Они хотят сделать конфиденциальность доступной для всех, чтобы вам не нужно было быть технически подкованным, чтобы её защитить.

Как энтузиаст технологий, я немного обеспокоен тем, как работает новая система проверки разработчиков от Google. Кажется, что большая её часть полагается на постоянную проверку серверов Google, чтобы убедиться в легитимности приложения. Хотя это и направлено на повышение безопасности, это означает, что вам, вероятно, потребуется подключение к интернету каждый раз при установке приложения. Это серьезная проблема для таких проектов, как ButterBox, которые разрабатываются Guardian Project и F-Droid. ButterBox предназначен для предоставления приложений и сервисов – например, зашифрованного чата и карт – даже когда вы полностью отключены от сети, например, в районах без интернета или электричества. Поскольку ему необходимо работать в автономном режиме, эта новая система проверки, по сути, ломает его. Это жаль, потому что проекты, такие как ButterBox, жизненно важны для обеспечения доступа к важным инструментам в ситуациях, когда традиционные магазины приложений просто не смогут дотянуться.

Фрейтас объяснил, что, пытаясь улучшить ситуацию, они фактически усложнили процесс. Он отметил, что это частая проблема для крупных технологических компаний, которые часто проектируют, ориентируясь на конкретного, идеального пользователя – например, на водителя с Tesla и постоянным высокоскоростным доступом в Интернет в Силиконовой долине. Они склонны забывать, что не у всех такой же опыт.

Даже при сильном 5G-соединении некоторым пользователям Android может быть ограничен доступ к определенным приложениям. Новое требование Google к разработчикам регистрироваться и платить комиссию создает с ними деловую связь, даже для тех, кто ранее не взаимодействовал с Google. Это означает, что приложения могут быть заблокированы на многих Android-устройствах исключительно на основании личности или местонахождения разработчика.

Марк Прудхомо из F-Droid объяснил, что некоторые разработчики создают совершенно валидные приложения, но Google юридически запрещено разрешать им регистрироваться, если они живут в стране, находящейся под санкциями, или связаны с организацией, находящейся под санкциями. Это фактически лишает людей – таких как судьи Международного уголовного суда или жители Кубы – возможности делиться своими работами с миром, независимо от легитимности приложения.

Неясно, какие обсуждения происходили внутри Google перед этим изменением, поэтому мы можем только строить предположения об их причинах. Однако даже F-Droid, группа, открыто критикующая планы Google, признает, что подтверждение личности разработчиков, вероятно, затруднит распространение вредоносного ПО. В то же время, это изменение значительно увеличивает контроль Google.

По словам Ханса-Кристофа Штайнера из F-Droid, хотя это изменение может уменьшить количество вредоносного ПО, оно также блокирует многие полезные приложения. Он сравнил это с тем, что произошло с блокировщиками рекламы и альтернативными приложениями YouTube – Google сначала разрешил их, но позже заблокировал большинство из-за более строгих правил. Штайнер объяснил, что некоторые могут даже утверждать, что эти инструменты наносят ущерб, и в значительной степени.

Штайнер объяснил, что пользователям действительно нужны эти приложения, и они доставляются безопасно. Поскольку Google ограничивает доступ к вещам, которые люди законно хотят, понятно, почему их блокируют за предложение таких вещей, как блокировщики рекламы, альтернативные клиенты приложений и инструменты для получения прав root – все это нарушает правила Google.

Ars Technica спросил Google, смогут ли разработчики из стран, находящихся под санкциями, получить верификацию своих приложений, и будут ли разрешены к прохождению процесса верификации приложения, нарушающие правила, такие как неофициальные приложения YouTube. Google пока не ответил на эти вопросы.

Конфиденциальность — это глобальная проблема для глобальной компании.

Новые правила Google требуют от разработчиков предоставления личной информации, такой как удостоверения личности и сведения о бизнесе, для проверки. Это означает, что Google будет хранить эти данные по всему миру, выходя за рамки текущей информации о разработчиках Play Store. По словам Коринн МакШерри, юридического директора Electronic Frontier Foundation, эта практика может создать новые юридические риски для разработчиков.

Она объяснила, что любая система, предназначенная для проверки удостоверения личности, неизбежно требует хранения данных в базе данных. Эта база данных затем становится уязвимой для юридических запросов от правительств и даже частных организаций. Это особенно вызывает беспокойство, потому что приложения, ориентированные на конфиденциальность, имеют решающее значение для защиты правозащитников и журналистов, и некоторые правительства могут преследовать людей, создающих эти приложения.

Google невероятно популярен во всем мире – это ведущая поисковая система почти во всех странах, кроме Китая и России, и Android телефоны используются чаще, чем iPhones в большинстве стран мира. Из-за такого широкого распространения Google необходимо адаптировать свои правила и настройки конфиденциальности к конкретным потребностям различных регионов.

Легко предположить, что ваши личные данные защищены законами вашей страны, но как глобальная компания мы работаем во многих местах, где эта защита не так сильна и индивидуальные права не являются приоритетными.

В США мы, как правило, защищаем анонимную речь, хотя эта защита в последнее время ослабевает, по словам МакШерри. Он отметил, что США предлагают уровень анонимности, который не является стандартным во многих других странах, и это предположение часто упускается из виду.

Правительства и компании могут быть очень заинтересованы в данных Google для идентификации создателей приложений, даже тех, кто живёт за границей. Как объяснил МакШерри, правительства могут запрашивать информацию о разработчиках приложений, которые они считают проблемными, независимо от местонахождения разработчика. Компании также могут искать суд, который согласится рассмотреть их дело – даже если это означает обращение в другую страну – чтобы заявить о том, что им был причинён ущерб.

МакШерри объяснил, что частные организации могут выбрать возможность подать в суд в странах с самыми простыми и быстрыми судебными системами. Они могли бы тогда получить повестку в суд или аналогичный юридический документ для доступа к желаемой информации.

Как только эта информация станет общедоступной, разработчики рискуют столкнуться с юридическими проблемами, такими как судебные иски или усиленный контроль со стороны правительств. Мы уже видим это, когда многие разработчики предпочитают оставаться анонимными в сети. Правовая среда постоянно меняется, что означает, что то, что законно сегодня, может быть запрещено завтра – просто посмотрите на меняющиеся законы, касающиеся зашифрованной переписки в Европе и VPN в Индии.

Натан Фрейтас из Guardian Project объяснил, что некоторые разработчики в их команде всегда используют вымышленные имена, даже если они из США или Европы. Это делается для защиты их семей и учёта истории их путешествий. Фрейтас лично решил использовать своё настоящее имя, но иногда жалеет об этом, так как теперь это не позволяет ему путешествовать в Индию из-за ограничений страны на VPN-технологии, над которыми работает его команда.

Google заявляет, что должен соответствовать законным запросам на данные пользователей, чтобы продолжать работать в разных странах, и получает значительное количество таких запросов. После периода стабильности в 2010-х годах, эти запросы резко возросли в последние годы. В первой половине 2025 года Google сообщил о получении 664 843 запросов, затронувших 287 027 пользователей – почти в десять раз больше, чем десятилетие назад, и на 18 процентов больше по сравнению с первой половиной 2025 года.

Добавление большего количества разработчиков в базу данных Google увеличивает вероятность юридических запросов на информацию.

Может ли «улучшенный поток» нас спасти?

Когда Google объявила о своих планах в прошлом году, разработчики немедленно выразили протест. Google тогда заявила, что создаст специальную опцию для опытных пользователей, которые хотят избежать нового процесса проверки. Это успокоило многих людей. Однако до сих пор неясно, что именно будет включать в себя эта опция, и у Google ограничены возможности, если она по-прежнему хочет защитить пользователей от вредоносного программного обеспечения.

Установка приложений за пределами официальных магазинов приложений (называемая sideloading) уже немного сложна. Вы будете получать предупреждающие сообщения как при загрузке файла приложения, так и при попытке его открыть, сообщающие вам о том, что установка из неофициальных источников может быть рискованной. Чтобы продолжить, вам необходимо вручную изменить настройку, чтобы разрешить установки из этого конкретного источника – например, из браузера Chrome – прежде чем приложение сможет быть установлено.

Однако, вызывает сомнение, будет ли простое добавление большего количества кликов или предупреждений действительно эффективным. Хебейзен считает, что этот аспект плана является потенциальной слабостью, если Google стремится ограничить распространение вредоносного программного обеспечения.

Как исследователь, я заметил, что злоумышленники успешно обманывают пользователей, заставляя их разрешать установку приложений из неофициальных магазинов. Это вызывает серьезную обеспокоенность: если им уже удается манипулировать пользователями таким образом, насколько проще будет эксплуатировать их, используя этот новый метод?

Команда F-Droid, магазина приложений с открытым исходным кодом, обеспокоена отсутствием ясности от Google относительно её будущих планов. По словам Прудомомье (Prud’hommeaux) из F-Droid, описания Google, ориентированные на «продвинутых» или «опытных» пользователей, являются тревожным сигналом. Он объясняет, что F-Droid предназначен для всех, кто ставит во главу угла конфиденциальность, а не только для технически подкованных людей.

F-Droid недавно заявила, что Google ещё не начала разработку этой новой системы. В то время как Google объявила в ноябре о том, что хотела бы получить первоначальные предложения о том, как сделать её безопасной и чётко предупредить пользователей о потенциальных опасностях, Christoph Hebeisen из Lookout сообщает, что по состоянию на конец февраля 2026 года Google не обращалась к его команде за информацией о дизайне системы. По словам разработчика Prud’hommeaux, разговоры с Google позволяют предположить, что система не будет готова до 2027 года – значительно позже, чем Google планирует начать требовать верификацию приложений в этом сентябре.

Первоначальное предложение Google относительно нового процесса, похоже, было скорее ранней идеей, чем полностью разработанным планом. Мы обратились в Google за более подробной информацией о том, когда этот процесс может быть реализован и что он будет включать в себя, но на данный момент они не предоставили никакой дополнительной информации.

Если Google начнет блокировать приложения, не предоставив сначала разработчикам возможности их проверить, у Google не будет особой причины делать процесс проверки полезным. Они уже достигнут своей цели, оставив разработчиков и пользователей без возможности улучшить ситуацию.

Надейся на лучшее, готовься к худшему.

В настоящее время Google планирует запустить свою новую консоль разработчика и проверки безопасности по всему миру в этом месяце, хотя точные даты могут измениться. Начиная с сентября, Google потребует от разработчиков подтверждать свою личность, сначала в Бразилии, Сингапуре, Индонезии и Таиланде – странах, где чаще встречаются вредоносные программы и мошенничество. Google планирует расширить эти требования к проверке личности на все регионы к 2027 году.

Несмотря на новую политику Google, некоторые группы все еще пытаются повлиять на компанию. Например, F-Droid призывает пользователей обращаться к регуляторам и выражать свое несогласие с проверкой разработчиков. Они также советуют независимым разработчикам не следовать требованиям Google.

Недавно команда F-Droid опубликовала открытое письмо, поддержанное 35 организациями, выражающее серьёзные опасения по поводу того, как недавнее изменение повлияет на Android. Однако, Google, похоже, полна решимости продолжать, несмотря на эти опасения, и может продолжить с изменением, даже если многие независимые разработчики откажутся участвовать в новой системе.

Как пользователь Android, вы обычно имеете ограниченный контроль над безопасностью приложений и полагаетесь на Google, чтобы обеспечить безопасность. Вероятно, вы не задумываетесь об этом, пока не столкнетесь с проблемой, например, при попытке установить приложение без доступа к интернету или желании использовать непроверенное приложение с открытым исходным кодом.

Некоторые разработчики рассматривают возможность полного ухода из разработки под Android. Натан Фрейтас из Guardian Project отмечает, что мобильные веб-технологии значительно улучшились, что делает их более привлекательным вариантом. Он объясняет, что его команда перевела многие проекты на прогрессивные веб-приложения, поскольку они теперь предлагают большие возможности. Их подход прост: если что-то можно создать в веб-браузере, они создадут это там.

Переключение на другие веб-приложения может оказаться полезным, но единственный способ полностью избежать системы проверки Google — это перестать использовать Android вообще. В то время как некоторые телефоны Android не имеют официальной сертификации, они часто имеют недостатки в безопасности, что не является хорошим решением. Лучший вариант — установить ориентированную на конфиденциальность операционную систему Android, такую как LineageOS или GrapheneOS. Это дает вам полный контроль над программным обеспечением вашего телефона, хотя настройка телефонов таким образом становится все более сложной.

Я следил за обсуждением о поддержании открытых Android-проектов, и недавно услышал, как Марк Прудомом из F-Droid выразил некоторый скептицизм относительно использования пользовательских Android ROM в качестве решения. Он считает, что это просто непрактично для большинства пользователей – их установка слишком сложна. Кроме того, производители телефонов часто не помогают, блокируя свои устройства. Как он отметил, почти все телефоны поставляются с Android-сертификацией, и у многих из них заблокированы загрузчики, что еще больше усложняет задачу.

Я понимаю, что есть причины для этих ограничений с устройствами, подключающимися к мобильным сетям. По словам Фрейтаса, всё сводится к тому, что нужно мобильным операторам. Они ожидают, что любой радиокомпонент, подключающийся к их сети, будет функционировать надёжно, по сути *как* телефон. Они не могут позволить подключаться чему угодно и потенциально вызывать проблемы – им нужен определённый уровень стабильности и контроля.

Если вы не можете разблокировать загрузчик вашего телефона, вы ограничены предустановленным программным обеспечением и функциями безопасности, выбранными Google и производителем телефона. В последнее время кажется, что эти функции становятся все более ограничивающими, потенциально ограничивая то, что вы можете делать со своим собственным устройством.

Смотрите также

2026-03-03 15:30