Το Google Play θα αναγκάσει σύντομα τους προγραμματιστές να ανεβάζουν App Bundles αντί για APK, εγείροντας άβολα ερωτήματα ασφαλείας σχετικά με την απαίτηση.
Τον περασμένο Νοέμβριο, ανακοίνωσε η Google ότι οι προγραμματιστές θα πρέπει να δημοσιεύουν νέες εφαρμογές στο Play Store χρησιμοποιώντας τη μορφή Android App Bundle (AAB) αντί για APK. Μόλις τις προάλλες, η Google υπενθύμισε στους προγραμματιστές αυτήν την επερχόμενη απαίτηση, πυροδοτώντας μια θύελλα διαμάχης από χρήστες που πιστεύουν ότι η Google σκοτώνει τα APK, εξαλείφει την παράπλευρη φόρτωση, εμποδίζει τα καταστήματα εφαρμογών τρίτων και οτιδήποτε.
Είναι αλήθεια ότι τα πακέτα εφαρμογών Android είναι μια αρκετά μεγάλη απόκλιση από την κλασική μορφή APK που μπορεί να έχετε συνηθίσει, τόσο ως χρήστης όσο και ως προγραμματιστής. Αν και υπάρχουν αρκετά πλεονεκτήματα από τη χρήση των App Bundle, υπάρχει μια βασική πτυχή για τη δημιουργία τους που δικαίως ανησυχεί ορισμένους προγραμματιστές και ειδικούς σε θέματα ασφάλειας.
Σε αυτό το άρθρο, θα καλύψουμε τις επικρίσεις που έχουμε δει για τη μετάβαση σε πακέτα εφαρμογών Android, καθώς και ορισμένες προτεινόμενες λύσεις, και θα μιλήσουμε επίσης για την προτεινόμενη λύση της Google σε αυτά τα προβλήματα.
Ιστορικό
Ωστόσο, πριν συμβεί αυτό, πρέπει να μιλήσουμε λίγο για το πώς λειτουργεί η διανομή εφαρμογών στο Android γενικά. Εάν γνωρίζετε ήδη πώς λειτουργεί η υπογραφή εφαρμογών και τα πακέτα εφαρμογών, μπορείτε να παραλείψετε αυτό το μέρος.
APK
Ως επί το πλείστον, οι εφαρμογές στο Android διανέμονται μέσα σε αρχεία APK. Ένα APK περιέχει όλο τον κώδικα και τους πόρους μιας εφαρμογής, μαζί με ορισμένες λειτουργίες ασφαλείας, όπως μια δήλωση υπογραφής. Όταν εγκαθίσταται ένα APK, ουσιαστικά απλώς αντιγράφεται σε έναν συγκεκριμένο φάκελο και προστίθεται σε μια εσωτερική βάση δεδομένων εγκατεστημένων εφαρμογών.
Υπογραφές
Κατά την εγκατάσταση, η υπογραφή αυτής της εφαρμογής επαληθεύεται επίσης για να βεβαιωθείτε ότι είναι έγκυρη. Εάν η εφαρμογή είναι ήδη εγκατεστημένη, το Android ελέγχει την υπογραφή της νέας εφαρμογής σε σχέση με αυτήν που είναι ήδη εγκατεστημένη. Εάν η υπογραφή δεν είναι έγκυρη ή δεν ταιριάζει, το Android θα αρνηθεί να εγκαταστήσει την εφαρμογή.
Αυτός ο έλεγχος υπογραφής είναι ένα σημαντικό μέρος της ασφάλειας στο Android. Διασφαλίζει ότι η εφαρμογή που εγκαθιστάτε είναι έγκυρη και τουλάχιστον από την ίδια πηγή με αυτήν που είχατε ήδη εγκαταστήσει. Για παράδειγμα, εάν εγκαταστήσετε, ας πούμε, την εφαρμογή μου Lockscreen Widgets από το Play Store, μπορείτε να είστε εύλογα σίγουροι ότι είμαι αυτός που το υπέγραψε και ότι είναι αυθεντικό. Εάν στη συνέχεια προσπαθήσετε να εγκαταστήσετε μια ενημέρωση στα Widgets Lockscreen από κάποιο σκιερό ιστότοπο τρίτων και αποτύχει, θα ξέρετε ότι κάποιος παραβίασε αυτό το APK, πιθανώς για να προσθέσει κακόβουλο λογισμικό.
Το κλειδί που χρησιμοποιείται για την υπογραφή μιας εφαρμογής είναι (ιδανικά) ποτέ κυκλοφόρησε δημόσια. Αυτό είναι γνωστό ως ιδιωτικό κλειδί. Στη συνέχεια, το ιδιωτικό κλειδί χρησιμοποιείται για τη δημιουργία του κλειδιού που εμφανίζεται στην υπογραφή της εφαρμογής, που είναι γνωστό ως δημόσιο κλειδί. Αυτό χρησιμοποιούν το Android και τα καταστήματα εφαρμογών για την επαλήθευση της εγκυρότητας μιας εφαρμογής. Δεν θα μπω στο πώς ακριβώς μπορείτε να δημιουργήσετε ένα δημόσιο κλειδί χωρίς να εκθέσετε το ιδιωτικό κλειδί, καθώς περιλαμβάνει πολλά μαθηματικά κρυπτογράφησης. Αν θέλετε περισσότερες λεπτομέρειες, ρίξτε μια ματιά Τεκμηρίωση της Google για την υπογραφή APK ή κάντε κάποια έρευνα για μονόδρομες μαθηματικές συναρτήσεις.
Ένα άλλο χαρακτηριστικό των υπογραφών εφαρμογών είναι η δυνατότητα περιορισμού των αδειών μόνο σε εφαρμογές με αντίστοιχες υπογραφές. Το Android το κάνει εσωτερικά για πολλές λειτουργίες, όπου μόνο οι εφαρμογές που είναι υπογεγραμμένες με το ίδιο κλειδί με το πλαίσιο μπορούν να έχουν πρόσβαση σε ορισμένες λειτουργίες.
Πακέτα εφαρμογών
Τώρα λοιπόν που δώσαμε μια γρήγορη επισκόπηση των APK και των υπογραφών, ας μιλήσουμε για τα Πακέτα εφαρμογών. Εδώ μπαίνουν οι πόροι APK. Οι πόροι είναι πράγματα όπως διατάξεις, εικόνες, ήχος κ.λπ. Βασικά, είναι οτιδήποτε δεν είναι κώδικας. Για την καλύτερη υποστήριξη διαφορετικών διαμορφώσεων οθόνης και διαφορετικών γλωσσών, οι προγραμματιστές μπορούν να δημιουργήσουν πολλές εκδόσεις του ίδιου πόρου που χρησιμοποιούνται ανάλογα με τη συσκευή και τη γλώσσα.
Αλλά σε ένα APK, υπάρχουν όλοι αυτοί οι πόροι, ανεξάρτητα από το ποιον χρησιμοποιείτε. Και πιάνουν χώρο. Ανάλογα με την πολυπλοκότητα της εφαρμογής σας, μπορεί να υπάρχουν πολλοί αχρησιμοποίητοι πόροι για πολλές συσκευές. Αυτό είναι που επιλύουν τα πακέτα εφαρμογών. Οι προγραμματιστές μπορούν να δημιουργήσουν ένα App Bundle ακριβώς όπως ένα APK και αυτό το App Bundle μπορεί στη συνέχεια να μεταφορτωθεί στο Play Store, όπως ακριβώς μπορεί ένα APK.
Στη συνέχεια, η Google χρησιμοποιεί αυτό το App Bundle για να δημιουργήσει μια ολόκληρη δέσμη διαφορετικών APK για διαφορετικές διαμορφώσεις συσκευών. Κάθε πακέτο εφαρμογής περιέχει μόνο τους πόρους που απαιτούνται για αυτήν τη διαμόρφωση. Όταν ένας χρήστης πηγαίνει να κατεβάσει αυτήν την εφαρμογή, του εμφανίζεται το APK που δημιουργήθηκε που ταιριάζει με τη διαμόρφωσή του. Αυτό βοηθά στη μείωση των μεγεθών λήψης και εγκατάστασης εφαρμογών, εξοικονομώντας εύρος ζώνης και χώρο αποθήκευσης.
Φυσικά, η εγκατάσταση ενός APK συγκεκριμένου για τη συσκευή σας σημαίνει ότι είναι πιο δύσκολο για εσάς να το αντιγράψετε σε άλλη συσκευή και να το εγκαταστήσετε χωρίς πρόβλημα. Ανάλογα με την προοπτική σας, αυτό μπορεί να είναι καλό ή κακό. Από τη μία, κάνει την πειρατεία πιο δύσκολη, αφού οι χρήστες δεν έχουν πλέον ολόκληρη την εφαρμογή. Από την άλλη πλευρά, κάνει πιο δύσκολη τη νόμιμη αρχειοθέτηση εφαρμογών, για τον ίδιο λόγο.
Υπογραφή εφαρμογής
Εφόσον τα πακέτα εφαρμογών Android δεν είναι APK, δεν μπορείτε απλώς να ανοίξετε ένα αρχείο AAB και να το εγκαταστήσετε απευθείας σε μια συσκευή. Όταν ανεβάζετε ένα στο Play Store, η Google χρησιμοποιεί το πακέτο για να δημιουργήσει διαφορετικά (ανυπόγραφα) αρχεία APK. Αυτά τα APK πρέπει στη συνέχεια να υπογραφούν για να μπορέσουν να εγκατασταθούν.
Αντί να ζητά από τον προγραμματιστή να υπογράψει και να ανεβάσει ξανά αυτά τα APK που δημιουργήθηκαν, η Google διαχειρίζεται την ίδια την υπογραφή. Το Play Store είτε χρησιμοποιεί ένα νέο κλειδί που δημιουργεί είτε ζητά από τον προγραμματιστή το κλειδί που χρησιμοποιεί για να υπογράψει APK. Με οποιαδήποτε επιλογή, η Google χειρίζεται τη δημόσια υπογραφή για τον προγραμματιστή και παρέχει μια μεταφόρτωση κλειδί. Η Google χρησιμοποιεί το κλειδί μεταφόρτωσης για εσωτερική επαλήθευση και διασφαλίζει ότι το App Bundle (ή το APK σε ορισμένες περιπτώσεις) που ανεβάζει ο προγραμματιστής είναι το σωστό.
Εάν ένα κλειδί μεταφόρτωσης παραβιαστεί ή χαθεί, οι προγραμματιστές μπορούν να ζητήσουν ένα νέο και το κλειδί υπογραφής που χρησιμοποιείται για τη διανομή της εφαρμογής παραμένει αμετάβλητο.
Υπάρχουν πολλά περισσότερα στο App Signing, αλλά αυτό είναι το σχετικό με αυτό το άρθρο. Εάν θέλετε, μπορείτε να διαβάσετε περισσότερα σχετικά με τα πακέτα εφαρμογών και την εγγραφή εφαρμογών αυτό το άρθρο Μέσο από τον Wojtek Kaliciński.
Κριτική
Στη θεωρία και στην πράξη, τα App Bundles είναι πολύ καλά. Μειώνουν τη χρήση δεδομένων και το μέγεθος εγκατάστασης, χωρίς ο χρήστης να χρειάζεται να κάνει τίποτα. Ωστόσο, λόγω του τρόπου με τον οποίο εφαρμόζεται, ορισμένοι προγραμματιστές και ερευνητές ασφάλειας τους τελευταίους μήνες έχουν εκφράσει ανησυχίες. Πριν συνοψίσω αυτές τις ανησυχίες, θέλω να αφιερώσω λίγο για να πω ότι τα περισσότερα από αυτά που γράφονται παρακάτω είναι άμεσα βασισμένο σε μια σειρά άρθρων από τον προγραμματιστή Mark Murphy του CommonsWare. Θα πρέπει οπωσδήποτε να ελέγξετε τα άρθρα του, καθώς παρέχουν περισσότερες λεπτομέρειες και επικρίσεις από την οπτική γωνία ενός προγραμματιστή.
Ασφάλεια
Στο κλασικό μοντέλο διανομής, ένας προγραμματιστής διατηρεί ιδιωτικό το κλειδί που χρησιμοποιεί για την υπογραφή ενός APK. Δεν κοινοποιείται ποτέ στο κοινό και μόνο εξουσιοδοτημένα άτομα θα πρέπει να έχουν πρόσβαση σε αυτό. Αυτό διασφαλίζει ότι μόνο αυτά τα άτομα μπορούν να δημιουργήσουν ένα έγκυρο APK.
Ωστόσο, εάν χρησιμοποιείτε πακέτα εφαρμογών στο Play Store, η Google είναι αυτή που διαχειρίζεται το κλειδί που υπογράφει τα APK που λαμβάνουν οι χρήστες. ο Προκαθορισμένο συμπεριφορά για νέες εφαρμογές που έχουν μεταφορτωθεί στο Google Play από τον Αύγουστο του 2021 είναι για την Google να δημιουργήσει το δικό της κλειδί διανομής το οποίο διατηρεί ιδιωτικό από τον προγραμματιστή.
Υποβολή προγραμματιστών νέες εφαρμογές θα έχει την Google να διαχειρίζεται το ιδιωτικό της κλειδί για αυτούς από προεπιλογή, αν και οι προγραμματιστές θα υποβάλλουν ενημερώσεις σε υπάρχουσες εφαρμογές μπορεί να συνεχίσει να χρησιμοποιεί APK ή μπορούν να μεταβούν στη διανομή AAB δημιουργώντας ένα νέο κλειδί για χρήση από την Google για νέους χρήστες. Υπάρχουσες εφαρμογές δεν απαιτούνται για εναλλαγή από τη διανομή APK σε πακέτα εφαρμογών Android, αν και αυτή η επιλογή είναι διαθέσιμη σε αυτούς εάν το επιλέξουν. Μετά από κάποια απώθηση, η Google θα το κάνει ακόμη και δυνατό για να ανεβάσετε το δικό σας ιδιωτικό κλειδί για να συνδεθεί η Google, τόσο για νέες όσο και για υπάρχουσες εφαρμογές. Καμία από αυτές τις καταστάσεις δεν είναι ιδανική, καθώς ό, τι και να γίνει, η Google θα έχει πρόσβαση στο ιδιωτικό σας κλειδί αν το θέλετε χρησιμοποιήστε Πακέτα εφαρμογών Android (και οι προγραμματιστές δεν έχουν άλλη επιλογή στο θέμα αν θέλουν να υποβάλουν μια νέα εφαρμογή μετά τον Αύγουστο 2021!)
Αν και είμαστε βέβαιοι ότι η Google λαμβάνει πολύ σοβαρά υπόψη την ασφάλεια, δεν υπάρχει καμία εταιρεία στη Γη που να είναι απρόσβλητη από παραβιάσεις δεδομένων. Εάν το κλειδί που χρησιμοποιεί η Google για να υπογράψει την εφαρμογή σας για διανομή βρίσκεται σε μία από αυτές τις παραβιάσεις, τότε οποιοσδήποτε μπορεί να υπογράψει μια έκδοση της εφαρμογής σας και να την κάνει να φαίνεται σαν να έχει υπογραφεί από εσάς. Και ορισμένοι προγραμματιστές και ειδικοί σε θέματα ασφάλειας δεν είναι ευχαριστημένοι με αυτή τη δυνατότητα. Είναι μια πολύ, πολύ μικρή πιθανότητα, ναι, αλλά το γεγονός ότι είναι μια πιθανότητα τρομάζει μερικούς στην κοινότητα του infosec.
Όταν οι προγραμματιστές υπογράφουν APK Android σημαίνει ότι οποιοσδήποτε μπορεί να επαληθεύσει τα APK από το Google Play, δεν απαιτείται τυφλή εμπιστοσύνη. Είναι ένα κομψό σχέδιο που παρέχει επαληθεύσιμη ασφάλεια. Τα πακέτα εφαρμογών το ανατρέπουν και φαίνονται δομημένα για να προωθούν το κλείδωμα του προμηθευτή. Υπάρχουν πολλές εναλλακτικές τεχνικές προσεγγίσεις που θα παρείχαν μικρά APK υπογεγραμμένα ακόμα από προγραμματιστές, αλλά αυτές δεν θα προτιμούσαν το Play. Για παράδειγμα, όλες οι παραλλαγές APK θα μπορούσαν να δημιουργηθούν και να υπογραφούν από τον προγραμματιστή και, στη συνέχεια, να μεταφορτωθούν σε οποιοδήποτε κατάστημα εφαρμογών.
Σίγουρα υπάρχουν επιχειρήματα για το αν είναι καλύτερο να αφήσουμε την ασφαλή αποθήκευση των ιδιωτικών κλειδιών στα χέρια της Google ή μεμονωμένων προγραμματιστών. Αλλά αυτοί οι προγραμματιστές (μάλλον) δεν χρησιμοποιούν συνήθως ένα κεντρικό αποθετήριο για τα κλειδιά τους. Αναγκάζοντας τους προγραμματιστές να χρησιμοποιήσουν το Play App Signing, ένας κακόβουλος εισβολέας χρειάζεται μόνο μία φορά να παραβιάσει την ασφάλεια της Google για να ανακτήσει χιλιάδες ή εκατομμύρια κλειδιά.
Όσο αξίζει, δείτε τι λέει η Google σχετικά με το πώς προστατεύει το κλειδί υπογραφής στην υποδομή της:
[blockquote author="Wojtek Kaliciński, Android Developer Advocate στην Google"]Όταν χρησιμοποιείτε το Play App Signing, τα κλειδιά σας αποθηκεύονται στην ίδια υποδομή που χρησιμοποιεί η Google για την αποθήκευση των δικών της κλειδιών.
Η πρόσβαση στο κλειδί διέπεται από αυστηρά ACL και προφανείς διαδρομές ελέγχου για όλες τις λειτουργίες.
Όλα τα τεχνουργήματα που δημιουργούνται και υπογράφονται με το κλειδί του προγραμματιστή διατίθενται σε εσάς στο Google Play Console για επιθεώρηση/βεβαίωση.
Επιπλέον, για να αποτρέψουμε την απώλεια κλειδιού, κάνουμε πολύ συχνά αντίγραφα ασφαλείας του κύριου αποθηκευτικού μας χώρου. Αυτά τα αντίγραφα ασφαλείας είναι έντονα κρυπτογραφημένα και δοκιμάζουμε τακτικά την επαναφορά από αυτά τα αντίγραφα ασφαλείας.
Εάν θέλετε να μάθετε για την τεχνική υποδομή της Google, διαβάστε το Λευκές βίβλοι ασφαλείας Google Cloud.[/blockquote]
Τόσο υπέροχοι όσο όλοι οι ήχοι, η απώλεια και η κλοπή είναι ακόμα πιθανές. Και τα ίχνη ελέγχου συμβάλλουν μόνο στην πρόληψη μελλοντικών επιθέσεων. δεν θα πάρουν πίσω τα παραβιασμένα κλειδιά.
Πιθανότητα για μη εξουσιοδοτημένες τροποποιήσεις
Ένα μεγάλο πρόβλημα με τον τρόπο με τον οποίο η Google έχει ρυθμίσει τα App Bundles είναι η πιθανότητα προσθήκης μη εξουσιοδοτημένων τροποποιήσεων σε μια εφαρμογή. Η διαδικασία εξαγωγής APK από ένα App Bundle περιλαμβάνει εγγενώς τροποποιήσεις, καθώς η Google πρέπει να δημιουργήσει χειροκίνητα κάθε APK. Ενώ Η Google έχει υποσχεθεί ότι δεν κάνει και δεν πρόκειται να εισάγει ή να τροποποιήσει τον κώδικα, το πρόβλημα με τη διαδικασία App Bundle είναι ότι έχει τη δύναμη να το κάνει.
Ακολουθούν μερικά παραδείγματα για το τι έχει τη δύναμη να κάνει μια εταιρεία στη θέση της Google:
Ας πούμε ότι υπάρχει μια ασφαλής εφαρμογή ανταλλαγής μηνυμάτων που χρησιμοποιούν οι άνθρωποι για να επικοινωνούν χωρίς τον κίνδυνο της κρατικής επιτήρησης. Αυτό θα μπορούσε να είναι ένα απίστευτα χρήσιμο εργαλείο για άτομα που διαμαρτύρονται για μια αυταρχική κυβέρνηση ή ακόμα και για άτομα που θέλουν απλώς να διατηρήσουν το απόρρητό τους. Αυτή η κυβέρνηση, που θέλει τη δυνατότητα να δει τι λένε οι χρήστες της εφαρμογής, θα μπορούσε να προσπαθήσει να εξαναγκάσει την Google να προσθέσει μια κερκόπορτα παρακολούθησης στον κώδικα της εφαρμογής.
Αυτό το παράδειγμα είναι λίγο πιο αβλαβές, αλλά είναι και κάτι που απασχολεί μερικούς ανθρώπους. Ας υποθέσουμε ότι υπάρχει μια εφαρμογή που λαμβάνει εκατομμύρια λήψεις την ημέρα, αλλά δεν έχει διαφημίσεις ή αναλυτικά στοιχεία. Αυτή είναι μια τεράστια πηγή δεδομένων χωρίς τρόπο πρόσβασης σε αυτά τα δεδομένα. Η Google, ως διαφημιστική εταιρεία, μπορεί να θέλει να έχει πρόσβαση σε αυτά τα δεδομένα.
Στο κλασικό μοντέλο διανομής εφαρμογών APK, η Google δεν μπορεί να τροποποιήσει τις εφαρμογές χωρίς να αλλάξει την υπογραφή. Εάν η Google αλλάξει την υπογραφή, ειδικά σε μια δημοφιλή εφαρμογή, οι χρήστες θα το παρατηρήσουν επειδή η ενημέρωση δεν θα εγκατασταθεί. Αλλά με τα App Bundles και το App Signing, η Google θα μπορούσε να εισάγει σιωπηλά τον δικό της κώδικα σε εφαρμογές πριν τις διανείμει. Η υπογραφή δεν θα άλλαζε επειδή η Google θα κατείχε το κλειδί υπογραφής.
Για να είμαι ξεκάθαρος, αυτά τα παραδείγματα είναι απίστευτα απίθανο να συμβούν. Η Google τείνει απλά αποσυρθείτε από τις προβληματικές αγορές, αντί να προσαρμοστούν. Αλλά παρόλο που είναι απίθανο, είναι ακόμα δυνατό. Ακριβώς επειδή μια εταιρεία υπόσχεται ότι κάτι δεν θα συμβεί, δεν το εγγυάται.
Διαφάνεια κώδικα
Η Google, ακούγοντας αυτές τις ανησυχίες, παρουσίασε αυτή την εβδομάδα μια νέα λειτουργία που ονομάζεται Διαφάνεια κώδικα για πακέτα εφαρμογών. Το Code Transparency επιτρέπει σε έναν προγραμματιστή να δημιουργήσει ουσιαστικά μια δεύτερη υπογραφή που αποστέλλεται μαζί με την εφαρμογή στους χρήστες. Αυτή η επιπλέον υπογραφή θα πρέπει να δημιουργηθεί από ένα ξεχωριστό ιδιωτικό κλειδί στο οποίο έχει πρόσβαση μόνο ο προγραμματιστής. Ωστόσο, υπάρχουν ορισμένοι περιορισμοί σε αυτή τη μέθοδο.
Η διαφάνεια κώδικα καλύπτει μόνο τον κώδικα. Αυτό μπορεί να φαίνεται προφανές δεδομένου του ονόματος, αλλά σημαίνει επίσης ότι δεν επιτρέπει στους χρήστες να επαληθεύουν πόρους, τη δήλωση ή οτιδήποτε άλλο δεν είναι αρχείο DEX ή εγγενής βιβλιοθήκη. Ενώ οι κακόβουλες τροποποιήσεις σε αρχεία χωρίς κώδικα έχουν συνήθως πολύ μικρότερο αντίκτυπο, εξακολουθεί να είναι μια τρύπα στην ασφάλεια της εφαρμογής.
Ένα άλλο ζήτημα με τη Διαφάνεια Κώδικα είναι ότι δεν υπάρχει εγγενής επαλήθευση. Για ενα, είναι προαιρετικό χαρακτηριστικό, επομένως οι προγραμματιστές πρέπει να θυμούνται να το περιλαμβάνουν για κάθε νέο APK που ανεβάζουν. Προς το παρόν, πρέπει να γίνει από τη γραμμή εντολών και με μια έκδοση του bundletool που δεν συνοδεύεται από το Android Studio. Ακόμη και όταν ένας προγραμματιστής το περιλαμβάνει, το Android δεν έχει ενσωματωμένο κάποιο είδος επαλήθευσης για να ελέγξει ότι το μανιφέστο διαφάνειας κώδικα ταιριάζει με τον κώδικα της εφαρμογής.
Εναπόκειται στον τελικό χρήστη να ελέγξει μόνος του συγκρίνοντας το μανιφέστο με ένα δημόσιο κλειδί που μπορεί να παράσχει ο προγραμματιστής ή στέλνοντας το APK στον προγραμματιστή για επαλήθευση.
Ενώ η Διαφάνεια Κώδικα επιτρέπει την επιβεβαίωση ότι δεν έχει τροποποιηθεί κανένας κώδικας σε μια εφαρμογή, δεν περιλαμβάνει κανενός είδους επαλήθευση για άλλα μέρη μιας εφαρμογής. Επίσης, δεν υπάρχει εγγενής εμπιστοσύνη στη διαδικασία. Θα μπορούσατε να υποστηρίξετε ότι αν δεν εμπιστεύεστε την Google, πιθανότατα είστε έτοιμοι να επαληθεύσετε ανεξάρτητα, αλλά γιατί να πρέπει να το κάνετε;
Υπάρχουν άλλα ζητήματα με τη λειτουργία Διαφάνεια κώδικα, όπως επεσήμανε του Mark Murphy από CommonsWare. Συνιστώ να διαβάσετε το άρθρο του για μια πιο εις βάθος ανάλυση του χαρακτηριστικού.
Ευκολία και επιλογή προγραμματιστή
Ένας τρίτος (και τελευταίος για αυτό το άρθρο) λόγος που ορισμένοι προγραμματιστές διαφωνούν με τα Πακέτα εφαρμογών είναι η μειωμένη άνεση και επιλογή.
Εάν ένας προγραμματιστής δημιουργήσει μια νέα εφαρμογή στο Play Store αφού η Google αρχίσει να απαιτεί τα πακέτα εφαρμογών και το επιλέξει Η προεπιλεγμένη επιλογή να επιτρέπεται στην Google να διαχειρίζεται το κλειδί υπογραφής, δεν θα έχουν ποτέ πρόσβαση σε αυτήν την υπογραφή κλειδί. Εάν ο ίδιος προγραμματιστής θέλει στη συνέχεια να διανείμει αυτήν την εφαρμογή σε άλλο κατάστημα εφαρμογών, θα πρέπει να χρησιμοποιήσει το δικό του κλειδί, το οποίο δεν θα ταιριάζει με αυτό της Google.
Αυτό σημαίνει ότι οι χρήστες θα πρέπει είτε να εγκαταστήσουν και να ενημερώσουν από το Google Play είτε από πηγές τρίτων. Εάν θέλουν να αλλάξουν την πηγή, πρέπει να απεγκαταστήσουν πλήρως την εφαρμογή, πιθανώς να χάσουν δεδομένα και να την εγκαταστήσουν ξανά. αρέσει στους APK aggregators APKMirror τότε θα πρέπει επίσης να αντιμετωπίσει πολλές επίσημες υπογραφές για την ίδια εφαρμογή. (Τεχνικά, πρέπει ήδη να το κάνουν αυτό, επειδή το App Signing σάς επιτρέπει να δημιουργήσετε ένα νέο, πιο ασφαλές κλειδί, για νέους χρήστες, αλλά θα είναι χειρότερο για αυτούς και άλλους ιστότοπους όταν όλοι έχει να το κάνω.)
Η απάντηση της Google σε αυτό το ζήτημα είναι να χρησιμοποιήσει την Εξερεύνηση του App Bundle ή την Εξερεύνηση Artifact στο Play Console για τη λήψη των APK που προκύπτουν από το μεταφορτωμένο πακέτο. Όπως και το Code Transparency, αυτή δεν είναι μια ολοκληρωμένη λύση. Τα APK που λαμβάνονται από το Play Console θα χωριστούν σε διαφορετικά προφίλ συσκευών. Ενώ το Play Console υποστηρίζει τη μεταφόρτωση πολλών APK για μια έκδοση μιας εφαρμογής, πολλά άλλα κανάλια διανομής δεν το υποστηρίζουν.
Έτσι, πολλά από τα πλεονεκτήματα της χρήσης των App Bundles εξαφανίζονται όταν οι προγραμματιστές διαχειρίζονται πολλά καταστήματα, καθιστώντας τη διανομή πιο δύσκολη. Με νέα που Windows 11 είναι αποκτώντας υποστήριξη εφαρμογών Android Χάρη στο Amazon Appstore, ορισμένοι πιστεύουν ότι η απαίτηση App Bundles θα αποθαρρύνει τους προγραμματιστές από τη διανομή στο Amazon. Φυσικά, το πρωταρχικό μέλημα της Google είναι το δικό της κατάστημα εφαρμογών, αλλά αυτό ακριβώς είναι τους προσγείωσε σε ζεστό νερό με ανταγωνιστές οδηγώντας τους να κάνουν μικρές, συμβιβαστικές αλλαγές για το πώς λειτουργούν τα καταστήματα εφαρμογών τρίτων στο Android.
Μερικά ζητήματα που σχετίζονται με πολλά καταστήματα είναι η διασυνδεσιμότητα εφαρμογών και οι δοκιμές ταχείας πυρκαγιάς.
Ας ξεκινήσουμε με τη διασύνδεση εφαρμογών. Έχετε κατεβάσει ποτέ μια εφαρμογή που κλειδώνει λειτουργίες πίσω από ένα paywall; Σχεδόν σίγουρα. Ορισμένοι προγραμματιστές τοποθετούν τις λειτουργίες πίσω από μια αγορά εντός εφαρμογής, αλλά άλλοι μπορεί να επιλέξουν να δημιουργήσουν μια ξεχωριστή, επί πληρωμή, εφαρμογή. Όταν εγκατασταθεί αυτή η πρόσθετη εφαρμογή, οι λειτουργίες της κύριας εφαρμογής ξεκλειδώνονται.
Αλλά τι εμποδίζει κάποιον από το να εγκαταστήσει απλώς το πρόσθετο από μια πειρατική πηγή; Λοιπόν, υπάρχουν πολλές επιλογές για προγραμματιστές, αλλά τουλάχιστον μία περιλαμβάνει τη χρήση αδειών που προστατεύονται από υπογραφή. Ας υποθέσουμε ότι η κύρια εφαρμογή δηλώνει μια άδεια που προστατεύεται από υπογραφή. Στη συνέχεια, η πρόσθετη εφαρμογή δηλώνει ότι θέλει να χρησιμοποιήσει αυτήν την άδεια. Στην ιδανική περίπτωση, η πρόσθετη εφαρμογή θα έχει επίσης κάποιο είδος λειτουργικότητας επαλήθευσης άδειας χρήσης, η οποία συνδέεται στο διαδίκτυο για να βεβαιωθεί ότι ο χρήστης είναι νόμιμος.
Εάν και οι δύο εφαρμογές έχουν την ίδια υπογραφή, το Android θα χορηγήσει την άδεια στην πρόσθετη εφαρμογή και οι έλεγχοι προστασίας από πειρατεία θα περάσουν. Εάν η πρόσθετη εφαρμογή δεν έχει τη σωστή υπογραφή, η άδεια δεν θα χορηγηθεί και η επαλήθευση θα αποτύχει.
Με το κλασικό μοντέλο διανομής APK, ένας χρήστης μπορεί να πάρει οποιαδήποτε εφαρμογή από οποιαδήποτε νόμιμη πηγή και να ολοκληρώσει με αυτήν. Με το τρέχον προεπιλεγμένο μοντέλο App Bundle, οι υπογραφές στην κύρια και στις πρόσθετες εφαρμογές δεν θα ταιριάζουν. Η Google πρόκειται να δημιουργήσει ένα μοναδικό κλειδί για κάθε εφαρμογή. Ο προγραμματιστής μπορούσε πάντα να καταργήσει την άδεια που προστατεύεται από υπογραφή και να χρησιμοποιήσει την άμεση επαλήθευση κατακερματισμού υπογραφής, αλλά αυτό είναι πολύ λιγότερο ασφαλές.
Και μετά υπάρχει δοκιμή ταχείας πυρκαγιάς. Οι χρήστες στέλνουν email στους προγραμματιστές συνεχώς σχετικά με ζητήματα στις εφαρμογές τους. Μερικές φορές αυτά τα ζητήματα είναι απλές επιδιορθώσεις: αναπαράγετε το πρόβλημα, βρείτε το πρόβλημα, διορθώστε το και ανεβάστε μια νέα έκδοση. Αλλά μερικές φορές δεν είναι. Μερικές φορές οι προγραμματιστές δεν μπορούν να αναπαράγουν ένα πρόβλημα. Μπορούν να διορθώσουν αυτό που πιστεύουν ότι είναι το πρόβλημα, αλλά στη συνέχεια ο χρήστης πρέπει να το δοκιμάσει. Τώρα υποθέστε ότι ο χρήστης εγκατέστησε την εφαρμογή μέσω του Google Play.
Με το μοντέλο APK, ένας προγραμματιστής μπορεί να αλλάξει κάποιο κώδικα, να δημιουργήσει και να υπογράψει ένα νέο APK και να το στείλει στον χρήστη για δοκιμή. Εφόσον η υπογραφή του δοκιμαστικού APK ταιριάζει με αυτή που έχει εγκαταστήσει ο χρήστης, είναι μια απλή διαδικασία ενημέρωσης, δοκιμής και αναφοράς. Με τα App Bundles, αυτό καταρρέει. Εφόσον η Google υπογράφει το APK που εγκατέστησε αρχικά ο χρήστης, δεν θα ταιριάζει με την υπογραφή του APK που στέλνει ο προγραμματιστής. Εάν αυτή η εφαρμογή δημοσιευτεί μετά την προθεσμία των App Bundles, ο προγραμματιστής δεν θα έχει καν πρόσβαση στα βασικά στοιχεία που χρησιμοποιεί η Google. Για τη δοκιμή, ο χρήστης θα πρέπει να απεγκαταστήσει την τρέχουσα εφαρμογή πριν εγκαταστήσει τη δοκιμαστική έκδοση.
Υπάρχει ένα σωρό προβλήματα εδώ. Πρώτον, υπάρχει ταλαιπωρία, τόσο από την πλευρά του προγραμματιστή όσο και από την πλευρά του χρήστη. Το να χρειάζεται να απεγκαταστήσετε την εφαρμογή μόνο για να δοκιμάσετε μια επιδιόρθωση δεν είναι διασκεδαστικό. Και τι γίνεται αν το πρόβλημα εξαφανιστεί; Ήταν οι αλλαγές που έκανε ο προγραμματιστής ή επειδή ο χρήστης διέγραψε αποτελεσματικά τα δεδομένα της εφαρμογής; Το Play Store διαθέτει Εσωτερική δοκιμή, η οποία υποτίθεται ότι επιτρέπει στους προγραμματιστές να κάνουν εκδόσεις και διανομή ταχείας πυρκαγιάς, αλλά απαιτεί από τον χρήστη να απεγκαταστήσει πρώτα την έκδοση κυκλοφορίας. Πραγματικά δεν διορθώνει τίποτα.
Σε περίπτωση που όλα αυτά ακούγονται σαν ένα σωρό υποθετικές ανοησίες, εδώ είναι ένα πολύ πραγματικό παράδειγμα προγραμματιστή που θα αντιμετωπίσει αυτά τα προβλήματα εάν αφήσει την Google να δημιουργήσει ένα ιδιωτικό κλειδί για αυτόν: τον João Dias. Είναι ο προγραμματιστής του Tasker, μαζί με μια ολόκληρη δέσμη εφαρμογών πρόσθετων, συμπεριλαμβανομένης της σουίτας AutoApps. Με τη νέα απαίτηση για τα πακέτα εφαρμογών, ο κύκλος ανάπτυξης του João μπορεί να γίνει πολύ πιο δύσκολος, τουλάχιστον για νέες εφαρμογές. Η απευθείας αποστολή δοκιμαστικών εκδόσεων θα είναι λιγότερο βολική. Η επαλήθευση των αδειών θα είναι λιγότερο αποτελεσματική.
Αυτό μπορεί να ακούγεται λίγο περίεργο, αλλά δεν είναι ότι ο João είναι ένας μικρός προγραμματιστής και είναι πιθανό να μην είναι μόνος. Υπάρχουν πολλές εφαρμογές στο Play Store που βασίζονται στην επαλήθευση υπογραφής για τον εντοπισμό παράνομων χρηστών.
Φυσικά, με τη νέα επιλογή για τους προγραμματιστές να ανεβάζουν τα δικά τους κλειδιά υπογραφής στην Google, αυτά τα ζητήματα μετριάζονται τουλάχιστον κάπως. Ωστόσο, οι προγραμματιστές πρέπει να επιλέξουν να ενεργοποιήσουν την επιλογή για κάθε εφαρμογή. Εάν δεν το κάνουν, οι διασυνδέσεις θα αποτύχουν και η υποστήριξη ταχείας πυροδότησης θα απαιτήσει τη μεταφόρτωση ενός πακέτου στην Google και την αναμονή για τη δημιουργία των APK, προτού σταλεί το σωστό στον χρήστη. Επιπλέον, εξακολουθεί να σημαίνει ότι πρέπει να μοιραστούν το ιδιωτικό τους κλειδί, κάτι που μας επαναφέρει στις ανησυχίες που συζητήσαμε νωρίτερα.
Λύσεις
Αυτό είναι ένα παλιό ζήτημα, δεδομένου ότι οι απαιτήσεις του App Bundle δημοσιοποιήθηκαν πριν από μήνες, επομένως έχουν προταθεί αρκετές λύσεις στο ενδιάμεσο.
Μια λύση είναι να αποφύγετε την ανάγκη για Play App Signing. Αντί να δημιουργηθεί ένα App Bundle το οποίο η Google επεξεργάζεται στη συνέχεια σε APK και υπογράφει, αυτή η επεξεργασία θα μπορούσε να γίνει από το Android Studio. Στη συνέχεια, οι προγραμματιστές μπορούν απλώς να ανεβάσουν ένα ZIP γεμάτο με τοπικά υπογεγραμμένα APK για κάθε διαμόρφωση που θα είχε δημιουργήσει η Google.
Με αυτήν τη λύση, η Google δεν θα χρειαζόταν καθόλου πρόσβαση στα κλειδιά προγραμματιστών. Η διαδικασία θα μοιάζει πολύ με το κλασικό μοντέλο διανομής APK, αλλά θα περιλαμβάνει πολλαπλά, μικρότερα, APK αντί για ένα.
Μια άλλη λύση είναι απλώς να μην απαιτείται η χρήση των Εφαρμογών και να συνεχίσετε να επιτρέπετε στους προγραμματιστές να ανεβάζουν τοπικά υπογεγραμμένα APK. Ενώ τα πακέτα εφαρμογών ενδέχεται να είναι καλύτερη εμπειρία για τον χρήστη σε πολλές περιπτώσεις, ορισμένες εφαρμογές δεν επωφελούνται πραγματικά από το διαχωρισμό ανά διαμόρφωση, με ελάχιστο μέγεθος μείωση.
Εάν η Google εφάρμοσε και τις δύο αυτές λύσεις, τότε ένας προγραμματιστής που θέλει να χρησιμοποιήσει τα πακέτα εφαρμογών δεν θα χρειαστεί να παραδώσει πάνω από την υπογραφή στο Google και ένας προγραμματιστής του οποίου η εφαρμογή δεν θα επωφεληθεί πολύ από τη μορφή δεν θα χρειαστεί να τη χρησιμοποιήσει στο όλα.
Απαντήσεις της Google
Αυτουπογραφή
Όταν ρωτήθηκαν για πρώτη φορά σχετικά με το να επιτρέπεται στους προγραμματιστές να χειρίζονται την υπογραφή για Πακέτα εφαρμογών, η απάντηση της Google ήταν πολύ μη δεσμευτική:
[blockquote author=""]Έτσι, μίλησα εν συντομία για την απαίτηση του επόμενου έτους για νέες εφαρμογές να χρησιμοποιούν πακέτα εφαρμογών και ένα πράγμα που συνοδεύει αυτό είναι ότι κατ' επέκταση θα απαιτήσουμε την Υπογραφή εφαρμογής Play. Επομένως, οι προγραμματιστές θα πρέπει είτε να δημιουργήσουν το κλειδί υπογραφής εφαρμογής στο Play είτε να ανεβάσουν το δικό τους κλειδί στο Play… επειδή αυτό αποτελεί προϋπόθεση για πακέτα εφαρμογών. Έχουμε ακούσει από προγραμματιστές ότι κάποιοι από αυτούς απλά δεν θέλουν να το κάνουν. Δεν θέλουν να διαχειρίζονται κλειδιά το Play. Και αυτή τη στιγμή αυτό δεν είναι δυνατό αν θέλετε να χρησιμοποιήσετε πακέτα εφαρμογών.
Όμως, ακούσαμε αυτά τα σχόλια και… Δεν μπορώ να μιλήσω για τίποτα αυτή τη στιγμή, δεν έχουμε τίποτα να ανακοινώσουμε, αλλά εξετάζουμε πώς θα μπορούσαμε να μετριάζουμε κάποιες από αυτές τις ανησυχίες. Δεν χρειάζεται απαραίτητα να σας επιτρέπει να διατηρείτε το δικό σας κλειδί κατά τη μεταφόρτωση δεσμίδων. Εξετάζουμε διαφορετικές επιλογές. Απλώς δεν έχουμε λύση να ανακοινώσουμε αυτήν τη στιγμή. Ωστόσο, έχουμε ακόμη περίπου έναν χρόνο μέχρι την απαίτηση, οπότε ελπίζω πραγματικά ότι θα έχουμε μια απάντηση για τους προγραμματιστές για αυτό.[/blockquote]
Αυτό έγινε στα τέλη Νοεμβρίου του περασμένου έτους, και δεν φαίνεται να έχει συμβεί τίποτα. Με λίγους μόνο μήνες να απομένουν πριν από την Η απαίτηση για πακέτα εφαρμογών τίθεται σε ισχύ, δεν υπάρχει ακόμα τρόπος για τους προγραμματιστές να χειριστούν την υπογραφή των δικών τους εφαρμογών. Ενώ η Google έχει πλέον καταστήσει δυνατό να μεταφόρτωση το δικό σας κλειδί τόσο για νέες όσο και για υπάρχουσες εφαρμογές, αυτό εξακολουθεί να αφαιρεί το μέρος της υπογραφής από τα χέρια του προγραμματιστή.
Αλλαγές κώδικα
Ενώ η Google έχει υποσχεθεί συγκεκριμένα ότι το Play Store δεν πρόκειται να τροποποιήσει τον κώδικα εφαρμογής, μια υπόσχεση δεν αποτελεί εγγύηση. Με τα πακέτα εφαρμογών και την υπογραφή εφαρμογών, δεν υπάρχει κανένας τεχνικός περιορισμός που να εμποδίζει την Google να τροποποιεί τις μεταφορτωμένες εφαρμογές πριν από τη διανομή.
Η Google παρουσίασε Διαφάνεια κώδικα ως προαιρετικό χαρακτηριστικό, και ενώ αυτό βοηθά κάπως, έχει αρκετά προβλήματα, όπως συζητήσαμε νωρίτερα.
Αυτο-κατασκευασμένα Πακέτα
Όταν η Google ρωτήθηκε σχετικά με το να επιτρέψει στους προγραμματιστές να δημιουργήσουν τα δικά τους "πακέτα" εφαρμογών (ZIP που περιέχουν διαχωρισμένα APK), η απάντηση ήταν βασικά "δεν πρόκειται να το κάνουμε αυτό":
Πιθανώς όχι όπως περιγράφεται στην ερώτηση, καθώς αυτό θα έκανε τη διαδικασία δημοσίευσης ακόμη πιο δύσκολη για τους προγραμματιστές και θέλουμε πραγματικά να την κάνουμε πιο απλή και ασφαλή. Ωστόσο, και πάλι, ακούσαμε αυτά τα σχόλια και θα εξετάσουμε επιλογές για το πώς να το κάνουμε αυτό δυνατό, ωστόσο πιθανότατα όχι με τον τρόπο που περιγράφηκε εδώ.
Είναι ενδιαφέρον ότι η αιτιολόγηση της Google φαίνεται να είναι ότι θα έκανε τη δημοσίευση πιο περίπλοκη. Ωστόσο, η Google θα μπορούσε να κάνει τη διαδικασία αυτοματοποιημένη ως μέρος του διαλόγου δημιουργίας APK στο Android Studio. Επιπλέον, εάν η εν λόγω εφαρμογή διανέμεται σε πολλά καταστήματα, στην πραγματικότητα θα το κάνει διαδικασία δημοσίευσης απλούστερη, καθώς οι προγραμματιστές δεν θα χρειάζεται να διαχειρίζονται πολλά κλειδιά υπογραφής και παράπονα από χρήστες.
Και με την εισαγωγή της Διαφάνειας Κώδικα, φαίνεται ότι τελικά η επιπλοκή δεν είναι ακριβώς ένα ζήτημα. Το Code Transparency, τουλάχιστον προς το παρόν, απαιτεί από τον προγραμματιστή να χρησιμοποιεί ένα εργαλείο γραμμής εντολών και από τους χρήστες να επαληθεύουν ρητά την εγκυρότητα της εφαρμογής που τους εξυπηρετείται. Αυτό είναι πιο περίπλοκο από μια διαδικασία δημιουργίας δεσμίδων από μόνος του και δεν είναι σαφές γιατί αυτή είναι η λύση που προτιμά η Google.
Πηγαίνοντας μπροστά
Τα App Bundles θα είναι η απαιτούμενη μορφή διανομής για νέες εφαρμογές που υποβάλλονται στο Google Play από την 1η Αυγούστου. Ενώ η Google έχει τουλάχιστον κάπως αντιμετωπίσει τα περισσότερα από τα ζητήματα που εγείρονται από προγραμματιστές και ειδικούς σε θέματα ασφάλειας, οι απαντήσεις αφήνουν πολλά περιθώρια. Υπάρχουν πολλά προφανή πλεονεκτήματα για τα App Bundles ως τη μορφή διανομής επόμενης γενιάς, αλλά πάντα θα υπάρχουν συνεχείς ανησυχίες σχετικά με την παροχή μερικού ή ολικού ελέγχου της υπογραφής εφαρμογών στην Google.
Οι απαντήσεις και οι προσπάθειες της Google σίγουρα εκτιμώνται, αλλά ορισμένοι, όπως ο Mark Murphy, πιστεύουν ότι δεν έχουν προχωρήσει αρκετά. Με λύσεις όπως τα πακέτα που έχουν κατασκευαστεί από τον εαυτό τους να μην εφαρμόζονται και η προθεσμία για τα πακέτα εφαρμογών Android να απαιτείται γρήγορα πλησιάζει, δεν φαίνεται ότι οι προγραμματιστές στο Google Play θα μπορούν να διατηρήσουν τον πλήρη έλεγχο των εφαρμογών τους για πολύ μακρύτερα.
Θα μιλήσουμε για τις επιπτώσεις της απαίτησης του Android App Bundle σε ένα Twitter Space αργότερα σήμερα το απόγευμα, γι' αυτό ελάτε μαζί μας!