O Google está adotando uma nova estrutura para impedir que aplicativos Android suspeitos causem problemas.

A segurança do Android está ganhando mais uma camada de responsabilidade, e ela visa diretamente um problema que as assinaturas digitais não conseguem resolver. O Google anunciou que está expandindo a Transparência Binária para todo o ecossistema Android. Começando com a produção de aplicativos do Google para Android e módulos Mainline, a empresa registrará os lançamentos oficiais em um livro-razão público somente para acréscimos, o que deve facilitar a verificação se o software em execução em um dispositivo é exatamente a versão que o Google pretendia lançar.

Por que as assinaturas digitais já não são suficientes?

Durante anos, as assinaturas digitais foram a principal forma de confirmar a autenticidade de um aplicativo. Se um aplicativo possui a assinatura correta, o sistema pode confiar que ele veio do desenvolvedor esperado. Mas o Google afirma que esse método tem suas limitações. Se uma chave de assinatura for roubada, se um funcionário interno publicar uma versão modificada ou se uma versão de desenvolvimento interna vazar, a assinatura ainda poderá parecer válida. A questão principal passa a ser se aquele aplicativo específico deveria ter sido lançado publicamente.

É aqui que a Transparência Binária entra em cena. O Google chama as assinaturas digitais de "certificado de origem", enquanto a Transparência Binária funciona mais como um "certificado de intenção". Em termos mais simples, um aplicativo do Google assinado não é suficiente. Ele também precisa aparecer no registro público para comprovar que o Google tinha a intenção de distribuí-lo.

O software Android ganha um registro público.

Com o novo sistema, os aplicativos Android de produção do Google lançados após 1º de maio de 2026 terão uma entrada criptográfica correspondente no registro de transparência. Isso incluirá aplicativos do Google, como o Google Play Services , juntamente com os módulos Mainline, que são partes atualizáveis ​​do Android executadas com privilégios elevados. Ou seja, se um aplicativo assinado pelo Google e lançado após essa data não estiver no registro, significa que a empresa não tinha a intenção de lançá-lo.

Por que isso é importante para usuários do Android?

Isso não impedirá magicamente todos os aplicativos maliciosos ou APKs suspeitos, e os benefícios são praticamente imperceptíveis para usuários comuns. Mas para pesquisadores de segurança, fabricantes de dispositivos e o ecossistema Android em geral, cria uma maneira de verificar o software oficial do Google em vez de simplesmente confiar nele.