Verificación de desarrolladores de Android: una amenaza disfrazada de protección

Artículo original ↗ Discusión en Hacker News ↗

Alcance de la Verificación de Desarrolladores de Android (ADV) de Google

  • Se describe ADV como un componente de Play Services / Play Protect con privilegios a nivel de sistema que clasificará las apps y a los desarrolladores como “verificados” o no.
  • Los desarrolladores verificados deben proporcionar identificación gubernamental, datos personales y registrar claves de firma; los Términos de Servicio permiten a Google terminar el acceso y etiquetar apps como “malware o dañinas” sin una definición precisa.
  • Algunos dicen que ADV solo cambia el flujo de instalación (advertencias + “flujo avanzado” de 24 h y modo desarrollador para apps no verificadas) y no elimina apps existentes ni bloquea por completo la instalación lateral.
  • Otros temen que sea una base técnica y legal para bloquear en el futuro F-Droid, bloqueadores de anuncios y apps políticamente desfavorecidas.

Malware vs. Seguridad vs. Encierro

  • Un bando llama a ADV “malware” o “troyano” porque es imposible de desinstalar, tiene privilegios profundos y sirve principalmente a los intereses de control de Google más que a la seguridad del usuario.
  • Otro bando objeta ese lenguaje por ser alarmismo engañoso, y argumenta que es una respuesta (defectuosa pero real) a campañas de phishing y malware bancario a gran escala.
  • Debate sobre la pendiente resbaladiza: algunos dicen que la historia muestra que las predicciones sombrías a menudo no llegan “al fondo”; otros responden que muchos movimientos recientes de “seguridad” sí erosionaron la libertad (p. ej., cambios en extensiones de Chrome, Play Integrity).

Ley de la UE, antimonopolio y comparaciones con Apple

  • Varios comentarios cuestionan la compatibilidad con la Ley de Mercados Digitales y la Ley de Servicios Digitales de la UE; algunos ya han presentado quejas sobre la DMA o se han puesto en contacto con reguladores.
  • Otros sostienen que el artículo 6(4) de la DMA permite tales medidas si son “estrictamente necesarias” y controlables por el usuario, y que ADV es en parte para cumplir con fallos de la UE sobre apertura.
  • Apple se cita tanto como precedente (“Google solo está alcanzando a Apple y su jardín amurallado”) como contraste (“Google está cerrando retroactivamente una plataforma que se vendió como abierta”).

Impacto en usuarios, desarrolladores y alternativas

  • Los usuarios avanzados subrayan que el atractivo de Android era la libertad: instalación lateral, F-Droid, ROMs personalizadas, APKs personales. Si eso se erosiona, muchos preferirían aceptar el ecosistema de Apple, más pulido pero honestamente cerrado.
  • Hay una preocupación seria por el riesgo de centralización: una sola suspensión de la cuenta de Google puede borrar correo, documentos, pagos y dispositivos; ADV aumenta ese poder de influencia sobre los desarrolladores.
  • Se critica a F-Droid por su tono incendiario, pero también se lo defiende por señalar correctamente que Google será quien defina “dañino”.
  • Hay gran interés en alternativas:
    • GrapheneOS (solo Pixel por ahora, con soporte de Motorola en camino) se considera el Android des-Googleado más seguro; hay debates sobre sus estrictos requisitos de hardware/seguridad.
    • LineageOS, /e/OS y otras bifurcaciones de AOSP se discuten, pero muchos señalan problemas con kernels obsoletos, firmware y apps bancarias / de identificación gubernamental que requieren Play Integrity.
    • Se mencionan teléfonos Linux no Android (Sailfish, Ubuntu Touch, postmarketOS, PureOS, Mobian), pero la mayoría coincide en que son inmaduros, incompatibles con apps y mucho menos seguros que Android/iOS modernos.

Respuestas propuestas

  • Las sugerencias prácticas incluyen:
    • Cambiar a GrapheneOS u otros ROMs des-Googleados cuando sea viable.
    • Usar instalaciones por ADB y evitar Play Services cuando sea posible.
    • Apoyar peticiones (p. ej., keepandroidopen.org) y presentar quejas regulatorias, especialmente en la UE.
    • Presionar a bancos y gobiernos para que admitan autenticación basada en web y en llaves de hardware en lugar de apps de identificación bloqueadas por App Store.