La verificación de desarrolladores y el bloqueo a la instalación de APKs en Android ha comenzado con mal pie

La libertad para instalar cualquier app en formato APK descargada desde internet ha sido uno de los rasgos diferenciales de Android frente a otros sistemas como iOS. Pero el plan de los de Mountain View para mejorar la seguridad pasa por un control de identidad para los desarrolladores de apps: algo que convierte al sideloading en un proceso con ciertas fricciones.

El calendario de Google marcaba el 30 de septiembre como la fecha en la que el despliegue del bloqueo de 24 horas comenzaría en cuatro países piloto. Sin embargo, la puesta en marcha se ha saldado con un giro de guion de última hora: se ha suavizado la aplicación de la medida, provocando confusión. Y de paso, demostrando que vallar un ecosistema no es solo apretar un botón.

Freno en el último minuto. El plan contemplaba que cualquier usuario de Brasil, Indonesia, Singapur y Tailandia que intentara instalar un APK de un desarrollador sin verificar fuera de Play Store se topara con el bloqueo. No obstante, Google actualizó su página de soporte al llegar el día: la verificación solo se aplica a las apps distribuidas en tiendas como la Galaxy Store, el Oppo App Market y la propia Play Store, entre otras.

Ha sido Mishaal Rahman, responsable de la comunidad, quien ha aclarado que los métodos de desbloqueo aún no son necesarios para instalar APKs externos. Una marcha atrás parcial que ha generado cierta desinformación en foros y la sensación de que el despliegue ha comenzado a medio gas.

El laberinto del «Advanced Flow». Cuando la medida se active de verdad, instalar un APK huérfano de verificación será una carrera de obstáculos.

• En primer lugar, habrá que activar los ajustes para desarrolladores. Marcar la casilla de apps no verificadas.
• Confirmar un aviso de que no nos están coaccionando para instalar ese APK.
• Reiniciar el móvil.
• A partir de ahí, se inicia una cuenta atrás de 24 horas.
• Una vez concluye, se puede instalar la app usando huella o PIN y elegir si se otorga un permiso de siete o días o indefinido.

Impacto en el software. El malestar en la comunidad no procede de las precauciones frente al malware, sino del daño colateral sobre el ecosistema. En Reddit apuntan a que proyectos legítimos alojados en GitHub y F-Droid, ven comprometida su viabilidad: al alterar el APK original, la clave de firma cambia y Android lo cataloga como no verificado.

Vías de escape. Como no, la comunidad ha trazado sus líneas de defensa. La vía de escape respaldada por Google sigue siendo el uso de ADB, que permite instalar paquetes APK mediante la depuración USB sin pasar por los reinicios ni esperas de 24 horas.

Ahora bien, para quienes quieren prescindir de un ordenador, herramientas como Shizuku aprovechan la depuración en el propio móvil para gestionar instalaciones eludiendo el instalador del sistema. Por encima de todo, claro está, el root permitirá la instalación sin impedimentos, así como aquellos que usen una ROM de Android sin los servicios de Google.

Primer ensayo. Estas rectificaciones vividas en la primera oleada de la verificación de desarrolladores por parte de Google nos han mostrado lo delicado que es hacer un cambio tan profundo. La compañía de Mountain View ha ganado tiempo acotando el filtro a las tiendas asociadas a los fabricantes, pero su hoja de ruta no está cancelada: en 2027, se expandirá de forma global a cualquier teléfono Android certificado.

Aunque el inicio haya sido accidentado y confuso, el mensaje de fondo es claro: permitir que el navegador o explorador instale APKs mediante un sencillo interruptor es cosa del pasado. Su fecha de caducidad se va acercando, veremos cómo afecta al desarrollo de software libre y a las propias tiendas.

Imagen destacada | Pepu Ricca para Xataka (con edición)

En Xataka Móvil | Volkswagen decidió exigir los servicios de Google para usar su app oficial. Aquellos con Android alternativos se han quedado colgados