Android の新アプリ検証ポリシーの詳細が判明。サイドロードへの影響は？

Google は、2025 年から Android に導入する新しいアプリ検証要件（Android デベロッパーの確認）の詳細を明らかにしました。

この変更は、Google Play ストア上のアプリだけでなく、インターネット上から直接ダウンロードしてインストールする「サイドロード」にも影響を及ぼすため、多くのユーザーや開発者から懸念の声が上がっていました。

今回 Google が公開した情報により、当初心配されていた「サイドロードの廃止」は行われないことが確認されましたが、いくつかの新しい制約が加わることが判明しました。

Android の新しいアプリ検証の仕組み

現在でも Android アプリをインストールする際には、マルウェアでないかのスキャンなど、いくつかのチェックが行われています。来年からは、これに加えて新たに「開発者の検証（Android デベロッパーの確認)」というステップが追加されます。

インストール時の追加チェックと検証の流れ

デバイスに初めてアプリをインストールする際、Android は「Android Developer Verifier」と呼ばれる新しいシステムサービスと通信します。

このサービスが、アプリ開発者が Google によって検証済みであるかを確認し、問題がなければインストールを許可するという流れです。

この検証プロセスでは、アプリのパッケージとその署名に使用されたキーが Google に提出されているかを確認する必要があります。

ネットワーク接続が必要になるケース

すべてのアプリと開発者の情報をデバイス内に保持することは現実的ではないため、検証プロセスにおいて、デバイスがインターネットに接続されている必要がある場合があります。

ただし Google は、「最悪のシナリオ」でのみ接続が必要になると説明しています。よく使われる人気アプリについては、検証済みの情報をキャッシュ（一時保存）しておくことで、オフライン環境でもインストールできるようにする計画です。

また、アプリストア向けには「pre-auth token」という仕組みが用意されます。これにより、アプリストア側で事前に認証を済ませておくことで、ユーザーがインストールする際のネットワーク通信を不要にし、スムーズなインストールを実現します。

この新しい検証ポリシーは、Android 16 QPR2 からネイティブでサポートされる予定ですが、Google Play プロテクトを通じて古いバージョンの Android にも順次展開される見込みです。

学生や趣味の開発者への影響

Google は、学生や趣味でアプリを開発している個人開発者向けに、特別なアカウントを用意することを明らかにしています。

配布制限付きの無料アカウント

この「学生・アマチュア開発者向けアカウント」は、検証要件が緩和され、通常 25 ドルの登録料が免除されます。

一見すると個人開発者にとって朗報に聞こえますが、大きな制約として、アプリをインストールできるデバイスの数に制限が設けられることです。

このアカウントで作成されたアプリをインストールするには、ユーザーが自分のデバイスから固有の ID を取得し、開発者に伝える必要があります。開発者はその ID を開発者コンソールに登録することで、初めてそのデバイスへのインストールが許可されます。

この仕組みは、あくまで友人や知人など、限られた範囲でのアプリ共有を目的としており、GitHub や F-Droid のようなプラットフォームでの広範な配布には適していません。ただし、将来的に広く配布したくなった場合には、通常のアカウントに移行するオプションも用意される予定です。

悪意のある開発者への対策

今回の変更の主な目的は、マルウェアなど有害なアプリを配布する悪意のある開発者を排除することです。そのための対策もいくつか講じられています。

• 所有権の証明: 開発者は、既存のアプリと同じ署名キーを持っていることを証明しない限り、そのアプリの所有者として登録できません。これにより、他人の人気アプリになりすますことを防ぎます。
• マルウェア配布へのペナルティ: マルウェアを配布した開発者のアカウントには制限が課され、その開発者が所有するすべてのアプリが一定期間インストールできなくなります。
• なりすまし対策: Google は、AI によって生成された偽情報など、開発者が身元を偽っていることを特定するための独自技術を持っていると説明しています。

プライバシーや F-Droid をめぐる懸念

今回の発表では、以前から指摘されていたいくつかの懸念点についても言及がありました。

プライバシーと匿名性

Google は、政治的な活動などで開発者の匿名性が必要とされる正当な理由があることを認めており、開発者の情報を公開しないと述べています。

しかし、政府からの情報提供要請にどう対応するかについては明言を避けており、プライバシーに関する懸念が完全に払拭されたわけではありません。

F-Droid への影響

独立したアプリストアである F-Droid は、開発者が提供したソースコードを F-Droid チーム自身がコンパイルし、署名して配布するという特徴があります。これにより、同じアプリでも開発者自身が配布するものと F-Droid が配布するものでは署名が異なるという状況が生まれます。

Google の新しいポリシーでは、インストール数が最も多いバージョンを「正規」と見なすため、多くの場合 F-Droid 側のバージョンが優先され、元の開発者が自分のアプリの所有権を主張できなくなる可能性があります。これは F-Droid の理念に反するものであり、コミュニティから強い反発を受けています。

法人利用の例外

企業などが管理ツールを使って管理下のデバイスにアプリをインストールする場合は、開発者が未登録であってもインストールが可能です。これは、企業の IT 管理者がセキュリティの責任を負うためとされています。

まとめ

Google の新しいアプリ検証要件は、Android エコシステム全体のセキュリティを向上させることを目的としていますが、同時に、個人開発者や独立したアプリストアの活動に大きな影響を与える可能性があります。

サイドロードという Android の大きな特徴は維持されるものの、その自由度はある程度制限されることになります。ADB (Android Debug Bridge) を使ったインストールは引き続き可能とされていますが、それ以外の方法がどうなるかはまだ不透明です。

このポリシーが完全に施行されるまでにはまだ時間があり、今後詳細が変更される可能性もあります。

出典: Android Authority, Android Developers Blog