Google: верификация разработчиков и sideload на Android

Google внедряет новую функцию безопасности для Android, требующую от разработчиков подтверждать свою личность для распространения приложений вне Google Play. Компания начала приглашать разработчиков, работающих исключительно вне магазина приложений, к раннему доступу к этой функции в Android Developer Console.

Несмотря на новые правила, опытные пользователи смогут загружать и устанавливать неподтвержденные приложения. Google учла пожелания разработчиков и продвинутых пользователей, которые хотят сохранить возможность устанавливать софт из любых источников. Разрабатывается новый расширенный механизм, который позволит опытным пользователям осознанно идти на риск установки непроверенных программ.

Компания пока не раскрывает деталей реализации этой функции и критериев определения "опытного пользователя", но активно собирает обратную связь. Ожидается, что подробности появятся в ближайшие месяцы. Google обещает, что новый механизм будет включать четкие предупреждения о рисках, чтобы пользователи не становились жертвами мошенников, обходящих меры безопасности.

В качестве примера Google приводит распространенную в Азии схему: мошенники звонят жертвам, убеждают их скачать вредоносное ПО под видом легитимного приложения. Они представляются сотрудниками банка, сообщают о компрометации счета и инструктируют установить приложение для защиты средств. Злоумышленники также могут давить на жертв, чтобы те игнорировали предупреждения безопасности во время установки. Вредоносное ПО затем крадет учетные данные и перехватывает двухфакторные коды для доступа к банковскому счету.

"Хотя у нас есть продвинутые средства защиты для обнаружения и удаления вредоносных приложений, без верификации злоумышленники могут мгновенно создавать новые опасные приложения", — заявляет Google. "Это превращается в бесконечную игру в 'бей крота'. Верификация меняет правила игры, заставляя их использовать реальную личность для распространения вредоносного ПО, что делает атаки значительно сложнее и дороже в масштабировании".

Стоит отметить, что внедрение требования верификации разработчиков Google находится на ранней стадии и не будет широко доступно до конца 2026 года.