Alternatieve Android appstore F-Droid vreest door een nieuwe eis van Google voor het eigen voortbestaan en dat van andere appstores. De ontwikkelaars hebben toezichthouders opgeroepen om alternatieve appstores en opensourceprojecten te beschermen. De zorgen van F-Droid draaien om de aankondiging van Google dat het alleen nog apps van geverifieerde ontwikkelaars gaat toestaan op gecertificeerde Androidtoestellen, ook wanneer gebruikers apps buiten de Play Store om willen installeren.

Ontwikkelaars moeten straks hun naam, adresgegevens, e-mailadres en telefoonnummer geven, alsmede een kopie van hun legitimatiebewijs uploaden. Volgens Google moet de maatregel voorkomen dat kwaadwillenden malafide apps kunnen verspreiden. De verplichting gaat als eerste gelden voor gecertificeerde Androidtoestellen in Brazilië, Indonesië, Singapore en Thailand. Vanaf september 2026 kunnen gebruikers in deze landen alleen nog maar apps van geverifieerde ontwikkelaars installeren. In 2027 en daarna volgt de wereldwijde uitrol van de maatregel.

Naast de identificatie moeten ontwikkelaars ook bewijzen dat ze eigenaar van de betreffende apps zijn, door onder andere de app signing keys te verstrekken. F-Droid is een Android-appstore die Free en Open Source Software (FOSS) apps aanbiedt. De appstore zegt dat het waar mogelijk de broncode van aangeboden apps op mogelijk security- en privacyproblemen controleert.

Wanneer een ontwikkelaar een app maakt en de broncode ergens publiekelijk host, controleert F-Droid die code om te kijken of die echt volledig open source is en geen verborgen onderdelen zoals advertenties of trackers bevat, zegt Marc Prud'hommeaux van F-Droid. Na de controle biedt F-Droid de app aan, waarbij het gebruikmaakt van de eigen cryptografische key, of in het geval van een 'reproducible build' de private key van de ontwikkelaar.

"Het F-Droid project kan ontwikkelaars niet verplichten dat ze hun apps via Google registreren, maar kan tegelijkertijd niet de applicatie identifiers voor de opensource-apps die we verspreiden "overnemen", omdat dan eigelijk de exclusieve distributierechten voor die applicaties worden overgenomen", aldus Prud'hommeaux. Hij waarschuwt dat als de ontwikkelaars zich verplicht bij Google moeten registreren dit het einde van F-Droid en andere free/open source distributiemethodes voor apps betekent.

De F-Droid-ontwikkelaar merkt op dat het sideloaden van apps een risico met zich mee kan brengen, maar het een valse claim is om te beweren dat gecentraliseerde appstores wel veilig zijn. De afgelopen jaren zijn er miljoenen malafide apps in de Google Play Store aangetroffen. Het beperken van waar gebruikers apps kunnen installeren ondermijnt de vrije keuze van gebruikers, merkt Prud'hommeaux op. Daarnaast tast Googles plan ook de diversiteit en veerkracht van het opensource-ecosysteem aan, en geeft het de controle aan een aantal zakelijke spelers.

Prud'hommeaux voegt toe dat Googles claim dat het gegevens van ontwikkelaars nodig heeft om malware tegen te gaan onjuist is. Het techbedrijf biedt op gecertificeerde Androidtoestellen al een virusscanner die alle apps controleert. "We denken dat de registratie van ontwikkelaars niet gemotiveerd is door security. We denken dat het om het consolideren van macht gaat en het aanscherpen van controle over een voorheen open ecosysteem." De F-Droid-ontwikkelaar sluit af met een oproep aan toezichthouders om Googles plannen goed te bekijken en ervoor te zorgen dat die niet worden gebruikt om verdere controle te krijgen.