- Android geliştirici doğrulama sistemi resmen devreye alındı ve Play dışında uygulama dağıtan geliştiriciler için erken erişim programı başlatıldı
- Bu sistem, dolandırıcılık ve kötü amaçlı yazılım dağıtımını önlemek için ek bir güvenlik katmanı olarak tasarlandı; geliştiricilerin gerçek kimlik tabanlı doğrulama sürecinden geçmesini isteyerek saldırganların hareket maliyetini artırıyor
- Öğrenci ve hobi geliştiricilere yönelik hesap türü eklendi; bu sayede sınırlı sayıda cihaza uygulama dağıtabilmeleri için daha hafif bir doğrulama süreci sunuluyor
- İleri düzey kullanıcılar için kurulum akışı da geliştiriliyor; kullanıcıların riski anlayarak doğrulanmamış uygulama kurulumunu doğrudan seçebilmesini sağlayan bir özellik içeriyor
- Google, topluluk geri bildirimlerini yansıtarak doğrulama sürecini iyileştiriyor ve Android ekosisteminde güvenlik ile erişilebilirlik dengesini koruyacak şekilde geliştirmeyi sürdürüyor
Android geliştirici doğrulama sisteminin amacı
- Yeni geliştirici doğrulama gereksinimleri, Android kullanıcılarını korumak için ek bir savunma katmanı olarak tasarlandı
- Google, farklı kullanıcı türlerini dikkate alan dengeli bir güvenlik yaklaşımını hedefliyor
- İlk duyurunun ardından öğrenciler, hobi geliştiriciler ve ileri düzey kullanıcılardan geri bildirim toplandı
- Dolandırıcılık ve dijital sahtekarlığı önleme, uzun süredir Android güvenliğinin temel konularından biri
- Google Messages’daki dolandırıcılık tespiti, Google Play Protect ve gerçek zamanlı spam arama uyarıları gibi mevcut özelliklerle bağlantılı
- Son dönemde çevrimiçi dolandırıcılık ve kötü amaçlı yazılım kampanyaları daha saldırgan hale geliyor
- Özellikle dijitalleşmenin hızla ilerlediği bölgelerde bunun etkisi daha ağır görülüyor
Doğrulamanın gerekliliği ve gerçek örnekler
- Teknik koruma mekanizmaları tek başına tüm sosyal mühendislik saldırılarını engellemekte yetersiz kalabiliyor
- Saldırganlar, kullanıcıları güvenlik uyarılarını görmezden gelmeye zorlayan baskıcı sosyal mühendislik teknikleri kullanıyor
- Güneydoğu Asya’da gözlemlenen bir örnekte saldırgan, kurbana banka hesabının hacklendiğini söyleyip
“doğrulama uygulaması” kurmasını sağlıyor, ancak gerçekte iki aşamalı doğrulama kodlarını çalan bir kötü amaçlı yazılımı yükletiyor
- Doğrulama süreci olmazsa saldırganlar anında yeni kötü amaçlı uygulamalar üretip dağıtabiliyor
- Geliştiricinin gerçek kimlikle doğrulanması, kötü niyetli aktörlerin faaliyet maliyetini artırıyor ve saldırıların yayılmasını zorlaştırıyor
- Bu yaklaşım Google Play’de etkisini zaten kanıtladı ve şimdi Android ekosisteminin geneline genişletiliyor
Öğrenci ve hobi geliştiricilere destek
- Bazı geliştiriciler, aile veya arkadaş gibi küçük bir hedef kitleye dağıtılacak uygulamalar geliştirirken giriş engelinden endişe duyuyordu
- Bunun üzerine öğrenci ve hobi geliştiricilere özel hesap türü getirildi
- Bu hesapla uygulamalar sınırlı sayıda cihaza dağıtılabiliyor ve tam doğrulama sürecinden geçmek gerekmiyor
İleri düzey kullanıcı yetkilerinin güçlendirilmesi
- Güvenlik riskini üstlenmeye istekli deneyimli kullanıcılar için yeni bir kurulum akışı geliştiriliyor
- Kullanıcıların doğrulanmamış uygulama kurarken riski açıkça anlaması için uyarı mesajları gösterilecek
- Sistem, zorlama veya dolandırıcılık durumlarında bile kolayca aşılamayacak şekilde tasarlanıyor
- Şu anda tasarıma ilişkin ilk geri bildirimler toplanıyor; ayrıntıların ileride paylaşılması planlanıyor
Erken erişim programı başladı
- Play dışında uygulama dağıtan geliştiriciler için Android Developer Console üzerinden geliştirici doğrulama erken erişim davetleri gönderilmeye başlandı
- Play Console davetleri daha sonra sunulacak
- Yeni konsol deneyimini gösteren video ile kılavuz ve SSS belgeleri yayımlandı
- Google, geliştirici geri bildirimlerini yansıtarak doğrulama deneyimini sadeleştirmeyi ve güvenli bir ekosistem oluşturmayı sürdürdüğünü belirtiyor
1 yorum
Hacker News görüşleri
Google’ın onayı olmadan F-Droid gibi alternatif uygulama mağazalarından uygulama yükleyip otomatik güncelleme almak istiyorum
adb ile elle yüklemeye izin verilmeli ama bu yeterli değil
Google’ın “kullanıcı koruması”nın aslında reklam geliri kontrolü için olduğunu düşünüyorum. Örneğin SimpleMobileTools olayı gibi, uygulama satıldıktan sonra yeni sahip kullanıcı aleyhine güncellemeleri zorla dağıtabildi
Buna karşılık F-Droid bu tür sürümleri engelledi ve açık kaynak fork olan Fossify Apps’i önerdi (ilgili yorum)
Bizim yapmamız gereken şey sonraki nesle FOSS öğretmek. Çünkü küçük yaşta edinilen alışkanlıklar ömür boyu sürer. Geliştiriciler okullarda bu konular üzerine konuşma yapmak için gönüllü olmalı
Ne Google ne de F-Droid geliştiricinin hesabı ve anahtarları devredip devretmediğini tespit etmekte zorlanmadan bunu anlayabilir
Kararı kullanıcı vermeli. Ben tüm uygulamalarda internet erişimini varsayılan olarak engelliyorum.
Sonuçta Android’in kendisi gözetim işi yapan bir şirket tarafından yapılmış, kullanıcıya düşman bir işletim sistemi
Apple Store’da da yok; peki Android’de neden buna izin verilmiyor? Çifte standart değil mi?
Google bu politikayı ilk duyurduğunda bazı ülkelerde bunun devlet baskısından kaynaklandığını ima etmişti
resmî blog yazısına göre Brezilya, Endonezya, Singapur ve Tayland’da uygulanacakmış
Devletler dolandırıcı uygulamalar yüzünden Google’ı sorumlu tuttuğu için, teknik olmayan kullanıcıların “doğrulanmamış uygulamaları” kolayca yükleyebileceği bir yol var olamaz
Ama bu yaklaşım pek çok kişi için temelden kabul edilemez
Google bu karmaşık kontrol yöntemlerini mahremiyet ihlali temelli iş modelini sürdürmek için oluşturdu
Sonuçta bu, sideloading yasağını “kurbağayı yavaş yavaş haşlama” yöntemiyle meşrulaştırma süreci
yt-dlp engelleme örneğine bakınca bu açıkça görülüyor
Devletlerin ve şirketlerin yasal süreci atlayarak gücü merkezileştirmesi demokratik olmayan bir tutum
Dolandırıcılığı önlemek için kullanıcı eğitimi ve bilgi sağlama da birlikte yürümeli
“Sideloading” kelimesinin kendisi sorunlu
Sistemin desteklediği bir yöntemle kod çalıştırmak sadece normal çalıştırmadır
Bu tür kelimeler insanların algısını çarpıtıyor
Google’ın yeni politikasında “öğrenci/hobi geliştiriciye özel hesap” geleceği söyleniyor ama sonuçta bu ölçek sınırı koymak demek
Küçük uygulamaların riskli olduğu mantığına dayanıyorsa bu kendi içinde tutarsız
Doğrulanmamış uygulamaların yüklenmesine izin veriyor ama riski üstlenmeniz gerekiyor
Google’ın politika değişikliğine yanıt olarak F-Droid kurdum
Güvenlik beklediğimden daha iyi çıktı. “Diğer uygulamaları yüklemeye izin ver” ayarını her uygulama için ayrı ayrı açmanız gerekiyor
NewPipe’ı kurduktan sonra sistem düzeyindeki sideloading’i kapatsam da sorunsuz çalışıyor
Yani rastgele uygulama yükleme riski abartılıyor
Play Store’da da çok sayıda kötü amaçlı uygulama var; Google’ın yeni politikası sonuçta sadece kontrolü artırmak anlamına geliyor
Google “uzman kullanıcılar için gelişmiş akış” hazırlıyormuş,
tek seferlik bir ayar olursa iyi olur. Ama bunu Apple’ın macOS’te yaptığı gibi can sıkıcı hale getirmelerinden endişeliyim
Mevcut yöntem her iki taraf için de en kötü seçenek
Kötü amaçlı apk’lar hâlâ yayılabiliyor ve ölçek büyüdüğünde doğrulama gerekiyor
Aslında Google geliştirici doğrulaması istese ama F-Droid gibi üçüncü taraf mağazalara izin verse daha iyi olurdu
Böylece kullanıcılar apk’yı doğrudan kötü niyetli sitelerden almak zorunda kalmazdı
Ama bu tür dengeli çözümler tartışılmıyor, sadece duygusal tepkiler var
İkincisinin F-Droid’i destekleyecek kadar güçlü olup olmayacağı belirsiz
Google uygulama mağazasını doğrulayacaksa bu da başka bir kapı bekçiliği olur
Google “kullanıcı koruması en büyük öncelik” diyor ama gerçekte hesap güvenliği ya da bildirim kontrolü sorunlarını ihmal ediyor
Kötü amaçlı bir uygulama bildirimleri ele geçirebiliyorsa bu sandbox’ın zayıf olduğu anlamına gelir
Sonuçta Google merkezi kontrolle sonradan engelleme yapan bir yapıya sahip
Asıl sorun izolasyonun başarısız olması ve yamaların gecikmesi
Hassas izinlere ihtiyaç duyan uygulamalar için ayrı doğrulama yeterli olurdu
“İzin ver (Allow)” ifadesi sorunun özünü gösteriyor
Benim para verip satın aldığım cihazda Google’ın neye izin verdiğinden söz edilmesi saçma
Bu yüzden GrapheneOS’a geçmeye hazırlanıyorum. Google kamuoyu sakinleşince kilitleme politikasını tekrar sıkılaştıracak
Artık Google’dan uzaklaşmak şart diye düşünüyorum
E-postayı da kendim yönetmek istiyorum. Google spam filtresini berbat hale getirdi ve fiyatı da artırdı
Yapay zeka özelliklerini zorla pakete ekleyip ücreti yükselttiler ama ben bunu istemiyorum
postmarketOS ve GrapheneOS test edeceğim
YouTube’daki AI dublaj özelliği de aşırı rahatsız edici, bu yüzden alternatif arıyorum
Google zorunlu doğrulama sürecini gevşettiğini açıkladı
Uzman kullanıcıların riski kabul ederek doğrulanmamış uygulamaları yükleyebilmesi için bir “gelişmiş akış” geliştiriliyormuş
Yine de tamamen engellenmeyecekse temkinli bir iyimserlik taşıyorum
Yine de bu değişiklik olumlu bir işaret gibi görünüyor
geliştiricilerin uygulamalarını üçüncü taraf mağazalarda ya da web sitelerinde dağıtabilmeleri için hâlâ doğrulama sürecinden geçmeleri gerekiyor