گوگل: کاربران باتجربه همچنان می‌توانند برنامه‌های تأییدنشده اندروید را سایدلود کنند

شرایط جدید سایدلود اپلیکیشن‌ها در اندروید؛ تأیید هویت توسعه‌دهندگان و حفظ حق کاربران باتجربه

شرکت گوگل در راستای افزایش امنیت کاربران اندروید، اجرای قابلیت جدیدی را آغاز کرده که توسعه‌دهندگان برنامه‌هایی را که خارج از فروشگاه پلی استور منتشر می‌شوند، ملزم به تأیید هویت می‌کند. با این حال، گوگل اعلام کرده است که کاربران حرفه‌ای همچنان می‌توانند با پذیرش ریسک‌های امنیتی، برنامه‌های تأییدنشده را سایدلود (بارگذاری جانبی) کنند.

دعوت از توسعه‌دهندگان برای دسترسی زودهنگام

گوگل به‌تازگی توسعه‌دهندگانی را که صرفاً برنامه‌های خود را خارج از پلی استور توزیع می‌کنند، به نسخه دسترسی زودهنگام قابلیت تأیید هویت در «کنسول توسعه‌دهنده اندروید» (Android Developer Console) دعوت کرده است. این اقدام بخشی از قانون تازه امنیتی گوگل است که هدف آن ایجاد لایه‌ای از مسئولیت‌پذیری برای توزیع‌کنندگان نرم‌افزار است.

حفظ توانایی سایدلود برای کاربران حرفه‌ای

گوگل در این اعلامیه توضیح داد که علی‌رغم قانون جدید تأیید هویت، به کاربران باتجربه این امکان را خواهد داد تا حتی برنامه‌هایی را که هویت توسعه‌دهنده آن‌ها تأیید نشده است، روی دستگاه‌های اندرویدی خود بارگذاری جانبی کنند.

• این تصمیم پس از دریافت بازخورد از سوی توسعه‌دهندگان و کاربران حرفه‌ای اتخاذ شد که مایل بودند توانایی دانلود برنامه‌های تأییدنشده را حفظ کنند.
• گوگل در حال ایجاد شرایطی است که به کاربران باتجربه اجازه می‌دهد با پذیرش آگاهانه ریسک‌ها، نرم‌افزارهای بدون تأیید هویت را نصب کنند.
• جزئیات دقیق درباره نحوه عملکرد این قابلیت یا معیار تشخیص «کاربر باتجربه» هنوز مشخص نیست و گوگل اعلام کرده در ماه‌های آینده اطلاعات بیشتری منتشر خواهد کرد.

این شرکت تأکید کرده است که فرایند سایدلود برای کاربران باتجربه به‌گونه‌ای طراحی خواهد شد که آن‌ها قربانی فریب کلاهبرداران برای دور زدن کنترل‌های امنیتی نشوند و هشدارهای کاملاً روشن درباره خطرات احتمالی به آن‌ها نمایش داده شود.

تغییر معادله در مقابله با بدافزارها

یکی از انگیزه‌های اصلی گوگل برای اجرای این قانون، مقابله با حملات رایج بدافزاری است. به عنوان مثال، یکی از حملات شایع در آسیا شامل فریب قربانیان برای نصب بدافزار از طریق بارگذاری جانبی است:

کلاهبرداران با جعل هویت کارمندان بانک، به قربانی هشدار می‌دهند که حسابش در خطر است. سپس او را تحت فشار قرار می‌دهند تا برای «امن‌سازی سرمایه»، یک برنامه مخرب را از طریق سایدلود نصب کند و هشدارهای امنیتی را نادیده بگیرد. پس از نصب، بدافزار اطلاعات ورود و کدهای احراز هویت دومرحله‌ای لازم برای دسترسی به حساب بانکی قربانی را سرقت می‌کند.

گوگل اعلام کرده است که اگرچه از لایه‌های پیشرفته‌ای برای شناسایی و حذف برنامه‌های مخرب استفاده می‌کند، اما بدون تأیید هویت، عاملان مخرب می‌توانند فوراً برنامه‌های زیان‌بار تازه‌ای ایجاد کنند و این وضعیت به یک «بازی بی‌پایان ضربه‌زدن و حذف‌کردن» تبدیل می‌شود. تأیید هویت توسعه‌دهندگان «معادله را تغییر می‌دهد»، زیرا عاملان مخرب ناچار می‌شوند از هویت واقعی برای توزیع بدافزار استفاده کنند، که این امر حملات را به‌شدت دشوارتر و پرهزینه‌تر خواهد کرد.

زمان‌بندی انتشار گسترده

اجرای الزام تأیید هویت توسعه‌دهندگان هنوز در مراحل آغازین خود قرار دارد و این فرایند تا اواخر سال ۲۰۲۶ به‌طور گسترده برای عموم منتشر نخواهد شد.