Bezpečnostní služba Google v aplikaci Android Developer Verifier

Google postupně v aplikaci Android Developer Verifier zavádí bezpečnostní službu, kterou reaguje na povinnosti vyplývající z Aktu o digitálních trzích, jehož cílem je regulace několika společností, které mají dominantní postavení na světovém digitálním trhu. Jak má tento bezpečnostní prvek fungovat a proč jej společnost Google zavádí?

Akt o digitálních trzích zakazuje společnosti Google, aby uživatele zařízení Android omezovala v instalaci aplikací pouze z platformy Google Play. Naopak jim musí umožnit instalovat aplikace i z jiných zdrojů, a to zejména z obchodů s aplikacemi provozovaných třetími stranami, nebo přímo z internetových stránek. Stahování aplikací z nedůvěryhodných stránek však představuje bezpečnostní riziko, jelikož aplikace mohou obsahovat malware.

Cílem je identifikovat autora aplikace obsahující malware

Bezpečnostním oprávněním, které se společnost Google rozhodla zavést, je právě zmíněný Android Developer Verifier (dále jen ADV). Jeho účelem je zabránit, aby byly aplikace obsahující malware šířeny anonymně. Má spočívat v tom, že se vývojáři aplikací zaregistrují u Googlu a ověří svoji totožnost, která je přiřazena k jejich aplikaci. Pokud by se později ukázalo, že aplikace obsahuje malware, měl by být Google schopen identifikovat, kdo za ním stojí.

"Aplikace dostupné skrze Google Play jsou kontrolovány, ovšem u jiných webů na to nelze vždy spoléhat. Podle Aktu o digitálních trzích je proto společnost Google oprávněna přijmout opatření, aby zajistila, že takové aplikace nepředstavují bezpečnostní riziko. Opatření však musí být nezbytná, přiměřená a řádně odůvodněná. Pro spotřebitele to znamená, že takto ověřené aplikace lze na zařízení Android běžně nainstalovat, ať už jsou stažené odkudkoliv. Pokud aplikace ověřená není, nepůjde nainstalovat ihned. Není to však zcela vyloučeno, povolení možnosti instalovat neověřené aplikace je všem uživatelům dostupné v nastavení. Jeho součástí je potvrzení uživatele, že instalaci neprovádí pod nátlakem, čekací doba je 24 hodin," říká Eduarda Hekšová, ředitelka spotřebitelské organizace dTest.

Tento postup má zabránit podvodům, při nichž je uživatel falešně vystrašen probíhající hrozbou (např. pro jeho platební účet), a v panice je vybízen ke stažení aplikace, která je ale ve skutečnosti malware.

Počkáme si na provoz

Také však zaznívají obavy, že ADV omezuje svobodu volby uživatelů či znevýhodňuje alternativní obchody s aplikacemi, open-source projekty nebo menší nezávislé vývojáře. Podle kritiků také ADV poskytuje společnosti Google příliš mnoho kontroly nad distribucí aplikací.

Ačkoliv Google již započal s distribucí ADV do zařízení, služba je zatím neaktivní. Uvádí se, že v Evropě by měla začít fungovat v roce 2027. Přestože obavy před negativním dopadem ADV rozhodně nejsou neopodstatněné, dle našeho názoru v současnosti nelze konstatovat, zda by jeho zavedení omezovalo práva uživatelů či jiných subjektů. Společnost Google jeho zavedením sleduje legitimní cíl v souladu s Nařízením o digitálních službách.

Vzhledem k množství uživatelů, kterých se ADV týká, jakož i jeho potenciálním negativním dopadům na digitální trh, nepochybujeme o tom, že této problematice bude věnovat pozornost Evropská komise i mnoho dalších subjektů.

V případě, že by ADV představovalo porušení zákona, může být společnosti Google ze strany Evropské unie uložena pokuta ve výši až 10 % jeho celkového celosvětového obratu.