Google анонсировал изменения в Android на 2026 год для борьбы с вредоносным ПО. Вводится верификация разработчиков, но для опытных пользователей предусмотрен обходной путь. «Расширенный процесс» будет доступен до начала принудительного применения верификации в сентябре. — arstechnica.com
Компания Google планирует масштабные изменения в Android в 2026 году, направленные на борьбу с вредоносным ПО во всей экосистеме устройств. Начиная с сентября, Google начнет ограничивать установку приложений из сторонних источников (sideloading) в рамках своей программы верификации разработчиков, но не все с этим согласны. Президент подразделения Android Ecosystem Самеер Самат сообщил Ars Technica, что компания прислушалась к отзывам, и результатом стал недавно представленный расширенный процесс, который позволит опытным пользователям пропустить верификацию приложений.
С новыми ограничениями на sideloading телефоны на Android будут устанавливать только приложения от верифицированных разработчиков. Для верификации разработчикам, выпускающим приложения вне Google Play, потребуется предоставить удостоверение личности, загрузить копию своих ключей подписи и оплатить сбор в размере 25 долларов. Все это кажется довольно обременительным для тех, кто просто хочет создавать приложения без вмешательства Google.
Приложения от неверифицированных разработчиков нельзя будет установить на телефоны Android — если только вы не воспользуетесь новым расширенным процессом, который будет скрыт в настройках разработчика.
При установке приложений из сторонних источников сегодня телефоны Android предупреждают пользователя о переключателе «неизвестные источники» в настройках, и существует процесс, помогающий его включить. Обход верификации отличается и не будет показан пользователям. Вы должны знать, где это находится, и проактивно включить это самостоятельно, причем это не быстрый процесс. Вот шаги:
- Включите параметры разработчика, семь раз нажав на номер сборки ПО в разделе «О телефоне».
- В разделе «Настройки» > «Система» откройте «Параметры разработчика» и прокрутите вниз до пункта «Разрешить неподтвержденные пакеты».
- Переключите тумблер и нажмите, чтобы подтвердить, что вы не действуете под принуждением.
- Введите код разблокировки устройства.
- Перезагрузите устройство.
- Подождите 24 часа.
- По истечении задержки безопасности вернитесь в меню неподтвержденных пакетов.
- Прокрутите мимо дополнительных предупреждений и выберите «Разрешить временно» (семь дней) или «Разрешить бессрочно».
- Установите флажок, подтверждающий понимание рисков.
- Теперь вы можете устанавливать неподтвержденные пакеты на устройстве, нажав опцию «Установить в любом случае» в диспетчере пакетов.
,
Фактическая работа по активации этой функции занимает всего несколько секунд, но 24-часовой обратный отсчет делает ее чем-то, что нельзя сделать спонтанно. Но почему 24 часа? По словам Самата, это сделано для борьбы с растущим использованием атак социальной инженерии с высоким давлением, при которых мошенник убеждает жертву в необходимости немедленно установить приложение, чтобы избежать серьезных последствий.
«В течение этих 24 часов, по нашему мнению, злоумышленникам становится намного сложнее продолжать свою атаку», — сказал Самат. «За это время вы, вероятно, сможете выяснить, что ваш близкий человек на самом деле не находится в тюрьме и что ваш банковский счет на самом деле не подвергается атаке».
Но для тех, кто уверен, что не хочет, чтобы система верификации Google мешала установке любого старого APK, который они находят, им не нужно ждать, пока они столкнутся с неверифицированным приложением, чтобы начать. Вам нужно только один раз выбрать опцию «бессрочно» на телефоне, и после этого вы сможете снова отключить параметры разработчика.
Выбор против безопасности
По словам Самата, Google чувствует ответственность перед пользователями Android по всему миру, и ситуация изменилась: сейчас активно используется более 3 миллиардов устройств.
«Для многих людей в мире телефон — это их единственный компьютер, и он хранит некоторую их самую личную информацию», — сказал Самат. «На протяжении многих лет мы развивали платформу, чтобы она оставалась открытой, но при этом безопасной. И я хочу подчеркнуть: если платформа небезопасна, люди не будут ею пользоваться, и это проигрышная ситуация для всех, включая разработчиков».
,
Но как выглядит эта безопасность? Google уверяет, что его не интересует содержимое приложений, и он не будет проактивно проверять разработчиков при регистрации. Речь идет только о проверке личности — вы должны знать, устанавливая приложение, что это не самозванец и что оно не исходит от известных распространителей вредоносного ПО. Если верифицированный разработчик распространяет вредоносное ПО, он вряд ли останется верифицированным. А что такое вредоносное ПО? Для Самата вредоносное ПО в контексте верификации разработчиков — это пакет приложений, который «причиняет вред устройству пользователя или личным данным, чего пользователь не намеревал».
Таким образом, руткит может быть вредоносным ПО, но руткит, который вы загрузили намеренно, потому что хотите получить root-доступ на своем телефоне, не является вредоносным ПО, с точки зрения Самата. Аналогично, альтернативный клиент YouTube, который обходит рекламу и ограничения функций Google, не причиняет того вреда, который привел бы к проблемам с верификацией.
Google осторожно подходит к развертыванию верификации, но некоторые детали все еще неясны. Правозащитники выразили обеспокоенность тем, что верификация создаст базу данных, которая подвергнет независимых разработчиков риску судебного преследования. Самат утверждает, что Google оспаривает судебные запросы на данные пользователей, если они неправомерны. Компания также предполагает, что не намерена создавать постоянный список личностей разработчиков, который мог бы стать уязвимым для юридических требований. Мы запросили более подробную информацию о том, какие данные Google сохраняет в процессе верификации и как долго, и обновим информацию, если узнаем больше.
Существует также опасение, что разработчики из стран, находящихся под санкциями, не смогут пройти верификацию из-за требуемого сбора. Google отмечает, что процесс верификации может различаться в разных странах и не был создан специально для того, чтобы заблокировать разработчиков из таких мест, как Куба или Иран. Мы запросили подробности о том, как Google будет обрабатывать эти крайние случаи, и обновим информацию, если узнаем больше.
,
Развертывание в 2026 году и далее
Пользователям Android в большинстве стран мира пока не о чем беспокоиться в отношении верификации разработчиков, но этот день настанет. В сентябре принудительное применение верификации начнется в Бразилии, Сингапуре, Индонезии и Таиланде. В этих регионах чаще встречаются случаи выдачи себя за других и управляемые мошеннические схемы, поэтому Google начинает именно оттуда, прежде чем расширить верификацию на весь мир в следующем году. Google подчеркивает, что расширенный процесс будет доступен до первоначального развертывания в сентябре.
Google настаивает на своем утверждении, что пользователи в 50 раз чаще заражаются вредоносным ПО вне Google Play, чем внутри него. По словам Самата, большая часть этого разрыва связана с решением Google в 2023 году начать проверять личности разработчиков. Это заложило основу для универсальной верификации разработчиков. Хотя, безусловно, есть причины, по которым Google может нравиться контроль, который дает ему верификация, команда Android ощущает реальное давление со стороны регуляторов в регионах с проблемами вредоносного ПО, требующих решения проблем безопасности платформы.
«Во многих странах идут разговоры о том, что если это не станет безопаснее, то могут потребоваться регуляторные меры для более жесткого контроля над всем этим», — сказал Самат Ars Technica. «Я не думаю, что в ряде стран это воспринимается как реальная проблема безопасности».
Google уже начал доставлять верификатор на устройства по всему миру — он интегрирован с Android 16.1, запущенным в конце 2025 года. В конечном итоге верификатор и расширенный процесс будут доступны на всех поддерживаемых в настоящее время устройствах Android. Однако интерфейс будет единообразным: Google предоставит все компоненты и экраны предупреждений. Так что то, что вы видите здесь, должно быть похоже на то, что появится на вашем телефоне через несколько месяцев, независимо от того, кто его изготовил.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ryan Whitwam