Android слага 24-часова карантина на външните приложения

От 18 август Google започна поетапно да пуска така наречения advanced flow — новата процедура, през която трябва да мине всеки, който иска да инсталира приложение от неверифициран разработчик. Ключовият елемент е еднократен 24-часов период на изчакване: включвате настройката, рестартирате телефона, изчаквате един ден и чак тогава се връщате, за да потвърдите. Функцията пристига месец преди 30 септември, когато задължителната верификация на разработчиците влиза в сила в първите четири държави.

Снимка: Android Developers Blog

Как изглежда новата процедура

9to5Google описва потока стъпка по стъпка, а Android Authority потвърждава, че разпространението вече е започнало:

1. Отваряте опциите за разработчици и намирате „Apps from unverified developers“.
2. Включвате настройката и се потвърждавате със заключващия екран — пръстов отпечатък, лице или PIN.
3. Потвърждавате изрично, че никой не ви инструктира какво да правите в момента.
4. Рестартирате устройството и изчаквате 24 часа.
5. Връщате се в същото меню и избирате дали разрешението да важи 7 дни или безсрочно.

Изчакването е еднократно, а не при всяко приложение. След като веднъж сте минали през него, опциите за разработчици могат да бъдат изключени — разрешението остава. Ако временно спрете настройката, имате 10 минути гратисен период, преди да се наложи да започнете отначало.

При самата инсталация все пак ще видите предупреждение, че приложението е от неверифициран разработчик, с бутон за продължаване. Ограничението важи както за нови инсталации, така и за обновления на вече инсталирани приложения.

Защо точно 24 часа

Обяснението на Google е конкретно и няма нищо общо с магазините за приложения. Става дума за телефонните измами, при които жертвата е държана на линия и инструктирана в реално време да инсталира APK файл.

„В този 24-часов период смятаме, че става доста по-трудно за атакуващия да поддържа атаката. За това време вероятно ще разберете, че близкият ви всъщност не е задържан в ареста или че банковата ви сметка всъщност не е под атака“, заяви президентът на екосистемата Android Самир Самат пред The Hacker News.

В блога си за разработчици от 19 март Google подкрепя тезата с данни от анкета: 57% от запитаните пълнолетни са били обект на измама през последната година, а глобалните загуби за потребителите се изчисляват на 442 млрд. долара (около 400 млрд. евро). Именно затова рестартът и денят изчакване са вградени в потока — те чупят усещането за спешност, върху което стъпва целият сценарий.

Кой не е засегнат

ADB остава непокътнат. Инсталациите през adb install минават както досега, без верификация и без изчакване:

adb install app-debug.apk

Това е важно уточнение за разработчиците и за всеки, който тества билдове от компютър — цялата процедура засяга инсталациите на самото устройство, не тези през кабел.

Технически функцията се доставя чрез нова системна услуга на име Android Developer Verifier. Тя се разпространява поетапно, но може да бъде инсталирана и ръчно от Google Play, ако не искате да чакате реда си.

Календарът до глобалното въвеждане

Advanced flow е предпоследната стъпка от план, който Google обяви още през март:

• юни 2026 — стартира системната услуга за верификация;
• юли 2026 — Android Developer ID Status API става достъпен глобално;
• август 2026 — акаунтите с ограничено разпространение и advanced flow;
• 30 септември 2026 — верификацията става задължителна в Бразилия, Индонезия, Сингапур и Тайланд;
• 2027 г. — разширяване към всички сертифицирани устройства.

Правилата важат за сертифицирани устройства с Android 7 и по-нов и за седем участващи магазина: Google Play, HONOR App Market, OPPO App Market, Galaxy Store, Palm Store, V-Appstore и GetApps. За студенти, преподаватели и хобисти има безплатни акаунти с ограничено разпространение — без държавен документ за самоличност и без такса, но с таван от 20 устройства.

Какво означава това на практика

Ако инсталирате приложения извън магазините — F-Droid, билдове от GitHub, модифицирани клиенти — планирайте предварително. Денят изчакване се плаща веднъж, но се плаща точно когато най-много ви трябва приложението.

Ходът е част от по-широка тенденция платформите да отрязват удобните за атакуващите пътища, както Microsoft постъпи с WMIC в Windows 11. Разликата е, че Android винаги е бил рекламиран като отворената алтернатива, а тази отвореност вече минава през процедура — включително на новите устройства с Android, като лаптопите Googlebook.

Заключение

24-часовата карантина не забранява нищо — тя прави инсталацията от външен източник бавна и умишлено неудобна. За измамника, който държи жертвата на телефона, това е достатъчно, за да се провали сценарият. За вас цената е един ден изчакване и няколко потвърждения, еднократно. Дали компромисът е честен, ще се види след 30 септември, когато първите четири държави минат на задължителна верификация.