Дилемма Android: безопасность или свобода пользователя

Google только что значительно усложнил установку приложений из-за пределов Play Store. Новый процесс требует 24-часового ожидания для приложений, которые не прошли проверку Google Play Protect. В это время APK загружается на серверы Google для сканирования. Установили приложение из стороннего источника — и ждите целый день, прежде чем им можно будет пользоваться. Логика безопасности проста: вредоносные APK — реальная проблема, особенно в регионах, где сайдлоадинг распространён. Реакция разработчиков и опытных пользователей была... не особенно одобрительной.

Это последнее изменение находится в центре противоречия, которое определяет Android с самого начала: как дать пользователям свободу ставить что угодно и при этом защитить тех, кто не понимает, что делает? Android 18 лет ищет ответ на этот вопрос, и ответ постоянно меняется.

Краткая история установки приложений на Android

Ранний Android был, по сути, диким Западом. Любое приложение можно было установить из любого источника одним нажатием. Переключатель «Неизвестные источники» в настройках был глобальным: включил — и любое приложение на устройстве могло ставить APK. Это было просто, давало пользователю полный контроль и было настоящим кошмаром для безопасности.

Android 8 (Oreo, 2017) перешёл к разрешениям для каждого источника. Вместо глобального переключателя каждое приложение должно было по отдельности запрашивать разрешение «Установка неизвестных приложений». Браузеру можно было разрешить ставить APK, а почтовому клиенту — нет. Это было реальным улучшением: оно ограничило радиус поражения скомпрометированного приложения.

Android 13 добавил ограниченные настройки. Сайдлоадинговые приложения не могли получить доступ к некоторым чувствительным API (службам спец. возможностей, слушателям уведомлений) без прохождения дополнительных диалогов подтверждения. Логика такая: приложения из-за пределов Play Store не проверялись, поэтому они не должны получать лёгкий доступ к самым мощным разрешениям.

Теперь 24-часовой период проверки добавляет ещё один слой трения. Каждая итерация усложняет сайдлоадинг, и каждая оправдывается реальными данными о безопасности. Вопрос в том, не перешло ли совокупное трение черту от «защиты пользователей» к «принуждению их к Play Store».

Почему сайдлоадинг — реальная проблема безопасности

Прежде чем отмахнуться от опасений Google: вредоносное ПО через сайдлоадинг — реальная проблема крупного масштаба. Собственные данные Google показывают, что приложения, установленные из-за пределов Play Store, в 50 раз чаще содержат вредоносный код, чем приложения из Play Store. На рынках вроде Юго-Восточной Азии, где популярны сторонние магазины приложений, уровень заражения заметно выше, чем там, где преобладает Play Store.

Вектор атаки на удивление эффективен. Пользователь получает сообщение — в WhatsApp, по SMS, на почту — со ссылкой на «обновление банковской безопасности», «очиститель телефона» или «бесплатное премиум-приложение». Он скачивает APK, отмахивается от предупреждений безопасности (ведь его приучили их игнорировать) и устанавливает приложение. Вредонос получает доступ к службам спец. возможностей (опять же, уговорив пользователя его выдать) и начинает красть банковские данные, перехватывать SMS-коды подтверждения или шифровать устройство ради выкупа.

Это не какие-то изощрённые атаки. Они работают, потому что социальная инженерия эффективна, а большинство пользователей не понимают модели рисков при установке произвольного кода. Позиция Google такова: трение, то есть замедление и усложнение сайдлоадинга, — самая эффективная защита, потому что оно даёт пользователю время подумать, а Google — время просканировать APK.

Почему разработчики недовольны

Возражения разработчиков касаются не вредоносов. Речь о контроле, дистрибуции и растущих трудностях с доставкой приложений пользователям за пределами экосистемы Google.

Тестирование и разработка. Разработчики постоянно устанавливают сборки напрямую во время разработки. 24-часовое ожидание для каждой тестовой сборки — абсурд. Google освобождает от ограничения приложения, установленные через ADB (Android Debug Bridge), но не все процессы тестирования используют ADB: QA-команды, бета-тестировщики и демонстрации для клиентов часто ставят APK напрямую.
Корпоративное распространение. Компании, которые распространяют внутренние приложения вне Play Store (через MDM-решения), сталкиваются с дополнительным трением. Корпоративные MDM могут обойти часть ограничений, но небольшие организации без MDM-инфраструктуры страдают.
Альтернативные магазины приложений. F-Droid, Amazon Appstore, Samsung Galaxy Store — все эти легитимные каналы распространения с точки зрения Google тоже означают сайдлоадинг. Каждое новое ограничение ухудшает их пользовательский опыт по сравнению с Play Store, а именно этого критики и обвиняют Google.
Регуляторное соответствие. Закон ЕС о цифровых рынках (DMA) обязывает гейткиперов (включая Google) разрешать сайдлоадинг без необоснованных трудностей. Сделать его существенно хуже, технически оставляя возможность, — это именно тот вид «комплаенса для галочки», для предотвращения которого и создавался DMA.

Более глубокие проблемы модели разрешений

Ограничения сайдлоадинга — это пластырь на более глубокой проблеме: модель разрешений Android просит пользователей принимать решения в области безопасности, к которым они не готовы. «Разрешить этому приложению доступ к контактам?» «Разрешить читать SMS?» «Разрешить использовать службы спец. возможностей?» Большинство пользователей не понимают последствий и либо соглашаются на всё, либо отказывают во всём.

Ключевая проблема: разрешения оформлены как бинарный выбор о возможностях, тогда как пользователи мыслят категориями целей. Пользователь не хочет решать, может ли приложение читать SMS. Он хочет решить, может ли приложение подтвердить номер телефона (разумно) или перехватывать двухфакторные коды его банка (неразумно). Для обоих случаев нужно одно и то же разрешение.

<!-- AndroidManifest.xml -->
<!-- Both of these use the same permission: -->
<uses-permission android:name="android.permission.READ_SMS" />
<!-- Use case 1: Auto-fill SMS verification code during signup -->
<!-- Perfectly legitimate, saves the user time -->
<!-- Use case 2: Intercept banking 2FA codes and forward to attacker -->
<!-- Malware, obviously -->
<!-- The permission system can't distinguish between these.
The user is asked to make a security decision that requires
understanding the app's implementation, which they can't see. -->

iOS «решила» это, вообще не разрешая сайдлоадинг (пока регуляторное давление не вынудило открыть ограниченные альтернативы). Это легитимный подход — убрать решение у пользователей полностью, — но у него есть свои издержки: привязка к разработчику, рентоориентированность App Store и невозможность запускать ПО, которое Apple не одобрила.

Какой могла бы быть лучшая система

Ни подход iOS «никакого сайдлоадинга», ни подход Android «сайдлоадинг с растущим трением» не идеальны. Лучшая система должна одновременно решать несколько задач.

Трение, пропорциональное риску. Приложение, которое не запрашивает опасных разрешений и подписано известным разработчиком, должно устанавливаться мгновенно. Приложение, которое запрашивает службы спец. возможностей, доступ к SMS и права администратора устройства, должно проходить более тщательную проверку. Сейчас один и тот же барьер стоит и перед безобидным открытым калькулятором, и перед «прожорливым» приложением, которое запрашивает всё подряд.
Разрешения, привязанные к цели. Вместо общего «чтение SMS» выдавать «чтение SMS для автозаполнения кода подтверждения» — ограниченное разрешение, которое работает только в определённых контекстах API. Android движется в этом направлении с SMS Retriever API, но большинство разрешений остаются широкими.
Прозрачное сканирование без ожидания. Загрузка и сканирование — разумно. 24-часовое ожидание — нет, особенно когда большинство сканирований завершается за минуты. Показывайте пользователю результат проверки, позвольте продолжить сразу, если всё чисто, и сигнализируйте, если найдены проблемы.
Паритет между официальным и сторонними магазинами. Если Play Store может устанавливать приложения мгновенно, то и альтернативные магазины должны уметь то же — при условии, что они реализуют эквивалентные проверки безопасности. Аргумент о безопасности работает, только если ограничения касаются безопасности, а не конкурентного преимущества.

Что стоит сделать разработчикам прямо сейчас

Как бы вы ни относились к подходу Google, практическая реальность такова: трение при сайдлоадинге растёт и вряд ли уменьшится. Если вы распространяете приложения вне Play Store, закладывайте это в планы.

Используйте Play App Signing. Приложения, подписанные через программу Google, могут сталкиваться с меньшим трением при проверке сайдлоадинга, потому что Google может сверить подпись с известными ключами.
Для разработки используйте ADB. Приложения, установленные через ADB, обходят 24-часовое ожидание. Убедитесь, что ваши CI/CD-пайплайны и процессы тестирования используют ADB, а не прямую установку APK.
Рассмотрите Progressive Web Apps. Для приложений, которым не нужна глубокая интеграция с платформой, PWA полностью обходят вопрос магазинов приложений и сайдлоадинга. Они устанавливаются из браузера, обновляются автоматически и не требуют никаких специальных разрешений.
Если вы управляете альтернативным магазином, внедрите надёжное сканирование. Магазины, которые демонстрируют сильные практики безопасности, со временем могут получить исключения или меньшее трение: регуляторная среда движется именно в этом направлении.
Заранее предупреждайте пользователей о задержках. Если ваше распространение опирается на сайдлоадинг, сразу предупредите пользователей о 24-часовом ожидании. Ожидаемая задержка раздражает меньше, чем неприятный сюрприз.

Открытость Android всегда была спектром, а не абсолютом. Каждая версия немного сдвигала этот спектр в сторону большего контроля — оправданного реальными угрозами безопасности и раскритикованного за удивительно удачное совпадение с деловыми интересами. 24-часовая задержка сайдлоадинга — последняя точка на этой траектории и, вероятно, не последняя. Считаете ли вы её разумной защитой или искусственным трением, во многом зависит от того, где, по вашему мнению, должен проходить баланс между безопасностью и свободой. Но техническая реальность очевидна: времена беспрепятственного сайдлоадинга на Android закончились, и разработчикам пора адаптировать свои стратегии распространения.