Edgar Cervantes / Autoridade Android
Resumo
- Iniciativas como o Graphene OS enfrentam pressão crescente de aplicativos que se recusam a rodar em sistemas Android não padronizados.
- O projeto de ROM personalizada caracteriza a abordagem do Google para a certificação de dispositivos como incompleta e falha.
- O Graphene OS está preparado para tomar medidas legais se o Google não permitir que ele passe nas verificações de integridade do Play.
Usuários do Android têm vários bons motivos para querer substituir o software oficial do telefone por uma ROM personalizada. Talvez estejam procurando por algum recurso específico ou tenham preocupações com privacidade ou segurança que temem não estar sendo abordadas pelos lançamentos convencionais. Talvez estejam apenas procurando por patches atualizados depois que o próprio fabricante do telefone parou de dar suporte ao hardware.
Mas seguir esse caminho também tem suas desvantagens, e a compatibilidade de software pode às vezes cair no esquecimento — uma situação que vimos no mês passado, quando o Graphene OS encontrou um obstáculo quando os usuários notaram que o aplicativo de autenticação multifator Authy estava se recusando a operar devido à sua dependência da API Play Integrity. Naquela época, vimos por que fazia sentido prático para o Google concordar com esse arranjo e não estender a validação do Play Integrity para ROMs personalizadas como o Graphene OS. Mas há outro lado dessa história, e parece que as frustrações na comunidade estão começando a chegar a um ponto de ruptura.
Basicamente, o Play Integrity deve ser uma maneira dos aplicativos verificarem que não foram adulterados e que estão sendo executados em uma plataforma legítima e confiável. Afinal, malware embutido em um sistema operacional (como poderia ser possível a partir de alguma ROM personalizada suspeita) pode ser devastador com softwares como aplicativos bancários, deixando você incapaz de confiar no que está vendo na tela. Mas mesmo quando projetos de ROM personalizada são bem respeitados e levam a segurança a sério, como é o caso do Graphene OS, o Google deixou claro que não está interessado em encontrar uma maneira de fazer o Play Integrity funcionar com eles.
No Mastodon, a equipe do Graphene OS tem apontado todos os problemas com a abordagem do Google e não está medindo palavras sobre isso: “A API Play Integrity é baseada em mentiras”. De acordo com o Graphene OS, os requisitos do Compatibility Test Suite e do Compatibility Definition Document que o Google diz serem essenciais para a conformidade com o Play Integrity são, na prática, rotineiramente ignorados, e o sistema é facilmente contornado.
Para um grupo que está tentando fazer as coisas do jeito “certo”, ver isso deve ser frustrante. E como a equipe do Graphene OS aponta, não é como se os aplicativos não tivessem outras maneiras (indiscutivelmente melhores) de provar o que estão executando. O projeto fornece impressões digitais para todas as chaves de assinatura que os aplicativos precisariam para verificar os dispositivos Graphene OS por meio da API de atestado de hardware padrão do Android. O problema é que não há como forçar um desenvolvedor independente a seguir esse caminho, e eles podem optar por continuar com o Play Integrity, como foi o caso com o Authy.
Para onde vão as ROMs personalizadas daqui? Para ouvir a equipe do Graphene OS falar sobre isso, essa resposta pode ser “o tribunal”:
O Google pode permitir o GrapheneOS na API Play Integrity em um futuro próximo por meio da abordagem documentada em https://grapheneos.org/articles/attestguia-de-compatibilidade-de-ação ou tomaremos medidas legais contra eles e seus parceiros. Começamos o processo de falar com reguladores e eles estão interessados.
Considerando todo o interesse que vimos dos reguladores na UE em responsabilizar empresas como o Google pela abertura das plataformas que controlam, isso pode ser um processo muito interessante. No momento, esses problemas de compatibilidade com ROMs personalizadas não têm o mesmo tipo de indignação por trás deles como coisas como práticas de cobrança da app store, mas isso não significa que a mudança não possa acontecer. E para o bem de todos que gostam de administrar seus telefones do seu próprio jeito, espero que alguém encontre um caminho a seguir em breve.