Vérification des développeurs Android : début de l’accès anticipé

• Le dispositif de vérification des développeurs Android entre en vigueur, avec le lancement d’un programme d’accès anticipé pour les développeurs qui distribuent des applications en dehors de Play
• Ce dispositif ajoute une couche de sécurité supplémentaire pour empêcher la fraude et la diffusion de malwares, en exigeant une vérification basée sur l’identité réelle des développeurs afin d’augmenter le coût d’action des attaquants
• Un type de compte pour étudiants et développeurs amateurs est introduit, avec une procédure de vérification allégée permettant de distribuer des applications à un nombre limité d’appareils
• Un parcours d’installation pour utilisateurs avancés est également en cours de développement, afin que les utilisateurs puissent comprendre le risque et choisir eux-mêmes d’installer des applications non vérifiées
• Google indique améliorer la procédure de vérification en tenant compte des retours de la communauté, avec l’objectif de maintenir un équilibre entre sécurité et accessibilité dans l’écosystème Android

---

Objectif du dispositif de vérification des développeurs Android

• La nouvelle exigence de vérification des développeurs a été conçue comme une couche de défense supplémentaire pour protéger les utilisateurs Android
  • Google vise une approche de sécurité équilibrée tenant compte de différents profils d’utilisateurs
  • Depuis l’annonce initiale, l’entreprise a recueilli les retours d’étudiants, de développeurs amateurs et d’utilisateurs avancés, entre autres
• La prévention des fraudes et arnaques numériques est depuis longtemps un enjeu central de la sécurité Android
  • Cette initiative s’inscrit dans la continuité de fonctionnalités existantes comme la détection des arnaques dans Google Messages, Google Play Protect et les alertes en temps réel contre les appels spam
• Les arnaques en ligne et campagnes de malwares sont récemment devenues plus agressives
  • Les dommages sont particulièrement graves dans les régions où la numérisation progresse rapidement

Pourquoi cette vérification est nécessaire, avec des cas concrets

• Les dispositifs de protection techniques ne suffisent pas à bloquer toutes les attaques de social engineering
  • Les attaquants utilisent des techniques de social engineering sous pression pour pousser les victimes à ignorer les avertissements de sécurité
• Dans un cas observé en Asie du Sud-Est, un attaquant faisait croire à la victime que son compte bancaire avait été piraté,
  puis l’incitait à installer une « application de vérification », qui installait en réalité un malware volant les codes d’authentification à deux facteurs
• Sans procédure de vérification, les attaquants peuvent immédiatement créer et distribuer une nouvelle application malveillante
  • La vérification de l’identité réelle des développeurs augmente le coût d’action des acteurs malveillants et complique la propagation des attaques
  • Cette approche a déjà prouvé son efficacité sur Google Play, et son extension est en cours à l’ensemble de l’écosystème Android

Prise en charge des étudiants et développeurs amateurs

• Certains développeurs craignaient un obstacle à l’entrée lorsqu’ils créent des applications destinées à une distribution à petite échelle, par exemple auprès de leur famille ou de leurs amis
• En réponse, un type de compte dédié aux étudiants et développeurs amateurs est introduit
  • Ce compte permet de distribuer des applications à un nombre limité d’appareils, sans devoir suivre l’intégralité de la procédure de vérification

Renforcement des possibilités pour les utilisateurs avancés

• Un nouveau parcours d’installation est en cours de développement pour les utilisateurs expérimentés prêts à accepter le risque de sécurité
  • Un message d’avertissement indiquera clairement les risques lors de l’installation d’une application non vérifiée
  • Il est conçu pour ne pas pouvoir être contourné, même en cas de contrainte ou d’arnaque
  • Google recueille actuellement les premiers retours sur le design et publiera davantage de détails par la suite

Lancement du programme d’accès anticipé

• Les invitations à l’accès anticipé à la vérification des développeurs commencent dans l’Android Developer Console pour les développeurs qui distribuent des applications en dehors de Play
  • Les invitations pour la Play Console seront proposées ultérieurement
• Une vidéo de démonstration du nouvel environnement console ainsi que des guides et documents FAQ sont disponibles
• Google continue de simplifier l’expérience de vérification à partir des retours des développeurs et de faire avancer la création d’un écosystème sûr

[GN⁺]

Commentaires Hacker News

• Je veux pouvoir installer des applications depuis des boutiques alternatives comme F-Droid et recevoir des mises à jour automatiques, sans l’approbation de Google
  L’installation manuelle via adb doit être autorisée, mais ce n’est pas suffisant
  Je pense que la « protection des utilisateurs » de Google sert en réalité à contrôler les revenus publicitaires. Par exemple, dans le cas de SimpleMobileTools, après la vente des applications, le nouveau propriétaire a pu imposer aux utilisateurs des mises à jour défavorables
  À l’inverse, F-Droid a bloqué ces versions et recommandé le fork open source Fossify Apps (commentaire associé)

  • Au fond, le vrai sujet, c’est le contrôle. Si on contrôle la plateforme et l’accès, on peut dominer le monde
    Ce qu’il faut faire, c’est enseigner le FOSS à la génération suivante. Les habitudes prises tôt durent toute la vie. Les développeurs devraient se porter volontaires pour intervenir à l’école sur ces sujets
  • Autoriser les mises à jour automatiques tout en empêchant les changements malveillants de développeur est contradictoire
    Ni Google ni F-Droid ne peuvent facilement détecter si un développeur a cédé son compte et ses clés
  • « La priorité absolue est de garder les utilisateurs en sécurité » : moi, je n’ai pas envie d’être protégé par Big Brother
  • Si les mises à jour automatiques étaient désactivées par défaut, il n’y aurait pas eu de problème comme celui de SimpleMobileTools
    Les utilisateurs devraient décider eux-mêmes. Personnellement, je bloque par défaut l’accès Internet de toutes les applis.
    Au final, Android lui-même est un OS hostile à l’utilisateur, créé par une entreprise du business de la surveillance
  • Ce qui est drôle, c’est que pour installer Google Drive sur macOS, il faut télécharger soi-même un fichier .pkg
    Ce n’est même pas dans l’Apple Store, alors pourquoi l’interdire sur Android ? N’est-ce pas un double standard ?

• Dès l’annonce de cette politique, Google a laissé entendre que, dans certains pays, elle répondait à des pressions gouvernementales
  Selon le billet officiel du blog, elle sera appliquée au Brésil, en Indonésie, à Singapour et en Thaïlande
  Comme les gouvernements rendent Google responsable du problème des applications frauduleuses, il ne peut pas exister de moyen simple permettant aux utilisateurs non techniques d’installer facilement des « applications non vérifiées »
  Mais pour beaucoup de gens, cette approche est fondamentalement inacceptable

  • Je ne crois pas à l’argument de la pression gouvernementale. Le vrai problème, c’est l’architecture même qui permet aux applications d’accéder aux données personnelles
    Google a mis en place ce système de contrôle complexe pour préserver son modèle économique fondé sur l’atteinte à la vie privée
    Au final, c’est une manière de faire passer progressivement l’interdiction du sideloading
  • Google veut faire disparaître des applications comme YouTube ReVanced
    C’est évident rien qu’en voyant le cas du blocage de yt-dlp
  • Ce n’est pas tant une pression des gouvernements qu’une politique impulsée par Google
    Le fait que gouvernements et entreprises concentrent le pouvoir en contournant les procédures légales est un comportement antidémocratique
  • J’ai acheté le matériel, j’ai donc un droit naturel à le modifier et à le réparer
  • Bloquer les « applications non vérifiées », c’est un peu comme une tragédie des biens communs
    Pour prévenir les fraudes, il faut aussi former les utilisateurs et leur donner de l’information

• Le mot même de « sideloading » est problématique
  Exécuter du code d’une manière prise en charge par le système, c’est simplement une exécution normale
  Ce genre de terme déforme la perception des gens

  • Puisqu’on ne peut pas supprimer le mot, il faut le redéfinir. Nous écrivons nous aussi sur Hacker News depuis un « navigateur sideloadé »
  • Moi, j’installe juste des applis depuis f-droid, je ne « sideloade » pas
  • Pour moi, le sideloading, c’était le fait de transférer physiquement un apk depuis un appareil voisin
  • Le terme est utilisé depuis au moins 2006. Lien vers un livre CNET

• Dans la nouvelle politique de Google, il y aurait un « compte réservé aux étudiants et aux développeurs amateurs », mais au final cela revient à imposer une limite de taille
  Si l’idée est que les petites applications sont plus risquées, alors ce n’est pas cohérent

  • La section suivante sur le « flux avancé pour utilisateurs expérimentés » est l’essentiel
    Elle autoriserait l’installation d’applications non vérifiées, à condition d’en assumer les risques
  • Mais on peut se demander pourquoi il n’est pas simplement possible d’indiquer à l’OS : « je comprends les risques »
  • Si les applications peu installées sont considérées comme plus risquées, faciliter leur diffusion à petite échelle est contradictoire

• J’ai installé F-Droid en réponse au changement de politique de Google
  La sécurité était meilleure que ce que je pensais. Il faut configurer individuellement, application par application, l’autorisation « installer d’autres applications »
  Après avoir installé NewPipe, tout fonctionne très bien même si l’on désactive ensuite le sideloading au niveau système
  Autrement dit, le risque d’installation anarchique d’applications est exagéré
  Or le Play Store contient lui aussi beaucoup d’applications malveillantes : la nouvelle politique de Google n’est donc au fond qu’un renforcement du contrôle

• Google dit préparer un « flux avancé pour utilisateurs expérimentés »
  Si c’est une procédure à faire une seule fois, ce serait bien. Mais j’ai peur qu’ils la rendent aussi pénible que sur macOS d’Apple

  • Le mot « sideloading » a une connotation négative, donc il faudrait un nouveau terme
  • Pourquoi ne pas prévoir une période de refroidissement pour qu’un réglage unique soit possible ?
  • Je me demande si ce flux autorisera aussi les binaires non signés
  • La vraie question, c’est de savoir si les utilisateurs expérimentés seront traités comme des adultes

• Le système actuel est le pire pour tout le monde
  Les apk malveillants peuvent toujours circuler, et dès qu’on atteint une certaine échelle, une vérification devient nécessaire
  J’aimerais plutôt que Google exige une vérification des développeurs tout en autorisant des boutiques tierces comme F-Droid
  Ainsi, les utilisateurs n’auraient pas à récupérer eux-mêmes des apk sur des sites malveillants
  Mais ce genre de solution équilibrée n’est même pas discuté, on ne voit que des réactions émotionnelles

  • En pratique, il y a deux changements
    1. une vérification pour les étudiants et développeurs amateurs
    2. un flux avancé pour les utilisateurs expérimentés
       On ne sait pas encore si le second sera assez puissant pour prendre en charge F-Droid
  • Quand je développe des applis sur mon propre appareil, je veux la liberté de ne pas avoir besoin d’une connexion Internet
  • Pourquoi aurais-je besoin d’un store pour installer une appli sur un téléphone qui m’appartient ?
  • F-Droid refuse de suivre le nombre d’installations parce que cela porte atteinte à la vie privée
    Si Google se met à vérifier les app stores, ce sera encore une autre forme de gatekeeping

• Google affirme que « la protection des utilisateurs est la priorité absolue », mais dans la réalité il laisse de côté des problèmes comme la sécurité des comptes ou le contrôle des notifications
  Si une appli malveillante peut intercepter les notifications, cela signifie que le sandboxing est faible
  Au final, Google fonctionne donc avec un modèle de blocage a posteriori par contrôle centralisé
  Les vrais problèmes sont l’échec de l’isolation et les retards de correctifs

  • Ce type de déclaration met plutôt en lumière des failles dans l’architecture de sécurité
    Une vérification séparée des seules applications demandant des permissions sensibles suffirait
  • Le langage des entreprises est toujours le même. Il y a la mort, les impôts, et la novlangue d’entreprise
  • Leur priorité absolue, c’est la monétisation
  • En réalité, l’objectif est de bloquer des applications comme YouTube ReVanced ou uBlock Origin
  • Bien sûr, il est vrai que Google investit énormément dans la sécurité. Mais il faut des améliorations concrètes

• Le mot « autoriser » est au cœur du problème
  Que Google me dise ce qu’il « autorise » sur un appareil que j’ai acheté n’a aucun sens
  C’est pour cela que je me prépare à passer à GrapheneOS. Une fois le débat public retombé, Google renforcera à nouveau ses politiques de verrouillage
  Je pense qu’il est désormais indispensable de sortir de l’écosystème Google

  • Moi aussi, je réduis progressivement ma dépendance aux services Google. Je transfère mes données de Drive et Photos
    J’aimerais aussi reprendre moi-même la gestion de mes e-mails. Google a ruiné son filtre anti-spam et augmenté ses prix
    Ils ont imposé des fonctionnalités d’IA en augmentant le tarif, alors que je n’en veux pas
    Je vais tester postmarketOS et GrapheneOS
    La fonction de doublage IA de YouTube me met tellement mal à l’aise que je cherche aussi des alternatives
  • UbuntuTouch peut aussi être une option à considérer. Il peut exécuter des apk Android

• Google a annoncé un assouplissement de la procédure de vérification obligatoire
  L’entreprise dit développer un « flux avancé » qui permettra aux utilisateurs expérimentés d’assumer les risques et d’installer des applications non vérifiées

  • Mais la procédure de sideloading est déjà compliquée, donc j’ai peur qu’elle soit encore durcie
    Tant que ce n’est pas un blocage total, je reste dans un optimisme prudent
  • Si la vraie priorité avait été la sécurité, ils auraient créé cette procédure dès le départ
    Malgré tout, ce changement ressemble à un signal positif
  • Cela dit, cela ne concerne que le côté utilisateur
    Si un développeur veut toujours distribuer une appli via une boutique tierce ou un site web, il devra encore passer par une procédure de vérification