Каждый Android-смартфон с предустановленным Play Store должен обязательно проходить сертификацию Google. Это долгая процедура, которая стоит денег, поэтому некоторые компании ищут способы ее обойти. Вот только вместе с обходом сертификации они обходят и все требования Google к безопасности устройств, а мы получаем смартфон без возможности включить шифрование, с уязвимым датчиком отпечатков пальцев, неадекватной защитой от краж и root-доступом из коробки.

Предложение устройств под управлением операционной системы Android превышает воображение. Пользователям доступен выбор из нескольких сотен актуальных моделей. Выбор становится еще шире, если обратить внимание на экзотические устройства из Китая.

Мы уже неоднократно писали о китайских смартфонах; сегодняшняя статья — не о том или не совсем о том. Мы поговорим о неочевидной вещи, которая есть практически на каждом смартфоне под управлением Android, но о которой никто и никогда не задумывается, — о сертификации устройств и прошивок Google и о том, что именно ее наличие, а еще важнее — отсутствие дает пользователю.

 

Сертификация устройств от Google

Как известно, операционная система Android доступна в виде исходных кодов и распространяется совершенно бесплатно. Любой пользователь, разработчик, производитель имеет право на полностью законных основаниях воспользоваться наработками Google и собрать собственную версию Android без единого цента выплат в адрес Google или кого бы то ни было еще. Более того, Google готова защищать производителей от патентных нападок, если таковые случатся; особенно ярко это выражается в недавно заключенном основными производителями Android договора PAX о кросс-лицензировании патентов.

Щедрым предложением Google воспользовалось бесчисленное количество производителей как в Китае (где сервисы Google, как мы помним, запрещены), так и за его пределами. Однако «чистый» Android — это не совсем то, что представляет себе большинство пользователей. В «чистом» Android не будет такой полезной вещи, как службы Google. Они включают в себя далеко не только Play Store, который дает доступ к огромной библиотеке приложений и контента. В конце концов, магазинов приложений — море и без магазина от Google можно принципиально обойтись. В сервисы Google включаются и такие вещи, как энергоэффективная доставка push-уведомлений в режиме реального времени, службы определения координат и история местоположения, а также мощнейшее картографическое приложение на их основе, эффективная система облачной синхронизации и резервного копирования.

Все эти сервисы также доступны производителям совершенно бесплатно, но — при соблюдении определенных условий. Для того чтобы получить право устанавливать на свои устройства приложения Google, производители должны подписать контракт MADA, который накладывает на производителя ряд обязательств. В частности, производитель обязуется точно следовать правилам, описанным в Android Compatibility Definition Document, а также отдать окончательный вариант устройства с финальной прошивкой на сертификацию в одну из лабораторий Google.

В то же время никто не заставляет производителей заниматься сертификацией. Ей и не занимаются большинство китайских производителей, которые торгуют в основном в пределах континентального Китая. В западном мире самый известный пример использования Android без сервисов Google — компания Amazon, которая в огромных количествах продает планшеты линейки Kindle Fire и приставки Amazon Fire TV.

Сертификация стоит денег, пусть и относительно небольших: порядка 10 тысяч долларов на модель и еще меньше — на крупные обновления прошивки. Сертификация отнимает время. Еще больше времени у производителя может занять устранение найденных на этапе сертификации недоработок и несовместимостей.

Насколько именно сертификация Google может задержать выход новой версии прошивки, можно представить по двум примерам. Так, для телефонов Lenovo ZUK Z2 китайская (без сервисов Google и сертификации) прошивка на основе Android 7.0 вышла в феврале 2017-го, а сертифицированную для Индии обещают не раньше конца мая. Другой пример — компания Xiaomi, «глобальные» прошивки которой часто выходят с опозданием порядка четырех месяцев относительно их же китайских сборок.

Помимо денежных и временных затрат на сертификацию Google, производители вынуждены идти и на другие жертвы. Так, им приходится обеспечивать должный уровень безопасности устройства согласно требованиям все того же Android Compatibility Definition Document. Эти требования ужесточаются с выходом каждой новой версии Android. К примеру, для Android 5.x никак не регламентировалось использование датчика отпечатков пальцев — но уже для Android 6.0 к реализации биометрической аутентификации применялись вполне четкие требования. Другой пример — шифрование раздела данных, которое стало обязательным для всех производителей, выпускающих устройства с Android 6.0 на борту. Начиная с Android 7 Google пытается регулировать и внешний вид прошивок, ограничивая полет фантазии дизайнеров (к примеру, шторку уведомлений производители теперь должны реализовывать стандартно, а не «как в iPhone, только красивей»).

Само собой разумеется, что сертифицированные устройства должны в полной мере обеспечивать корректную работу сервисов Google. Подчеркну: всех сервисов Google, а не только поиска и магазина.

 

Сертификация Google в китайских смартфонах

Для многих китайских производителей требования к сертификации Google кажутся обузой. В то же время им приходится устанавливать сервисы Google на устройствах, которые они официально продают за пределами Китая: пользователь просто не поймет устройства, на котором не будет привычного магазина Google Play.

Производители решают эту проблему по-разному. К примеру, у компании Xiaomi есть устройства, предназначенные только для внутреннего рынка. Для таких устройств никогда не выпускают прошивки с сервисами Google; они не проходят сертификации. У компании также есть устройства, которые продаются и за пределами Китая. Для них выходят так называемые «глобальные» прошивки, часто с большой задержкой. Эта категория прошивок сертифицируется и на официальных основаниях включает в себя сервисы Google.

Похожим образом поступает Lenovo со своим суббрендом ZUK. ZUK Z1 продавался как в Китае, так и по всему миру; для него было доступно две ветки прошивок, китайская и глобальная. Модель ZUK Z2 официально доступна в Китае и Индии, и если для Китая предлагаются сугубо китайские прошивки, то для рынка Индии разрабатывается совершенно отдельная, сертифицированная прошивка, в которую входят сервисы Google и в которой нет типичных для китайской версии проблем (например, с приходом уведомлений).

Компания LeEco поступает схожим образом, параллельно разрабатывая прошивки для китайского и внешних рынков. Если в «международных» версиях устройств LeEco по умолчанию активировано шифрование раздела данных, а работа датчика отпечатков пальцев реализована в строгом соответствии с Android Compatibility Definition Document, то в «китайских» прошивках шифрование отключено, а датчик отпечатков работает как попало (данные отпечатков не шифруются и доступны сразу после «холодной» загрузки).

Сейчас же в нашу лабораторию попал любопытнейший экземпляр: смартфон Meizu Pro 6, который официально распространяется на западном рынке (свой экземпляр мы заказали в Amazon, который — что немаловажно — продает их самостоятельно, а не через посредников). Устройство работает под управлением последней глобальной версии Flyme OS 5.2.4.0G, которая устанавливается на телефоны для международного рынка.

Meizu Pro 6
Meizu Pro 6

При том что Meizu Pro 6 продается на территории России и Европы, у телефона нет сертификации Google. Сертификации нет, а магазин Google Play — есть. Уже одно это нас сильно заинтересовало, и мы приобрели экземпляр для тестирования.

 

Flyme Account

Автор статьи в курсе, что на тот же Meizu можно установить и китайский вариант прошивки, доработать его напильником и получить работоспособные заместители сервисов Google в виде служб, завязанных на Flyme Account. Но цель статьи другая. Наша цель — посмотреть на то, что предлагается обычным пользователям, что называется, «из коробки».

 

Google есть. Сертификации — нет. Чем это грозит пользователю?

Итак, пользователь покупает телефон — например, Meizu Pro 6. Вопросы сертификации Google его не волнуют, да и не должны. Более того, подавляющее большинство пользователей вообще не задумывается о самом факте существования подобных сертификаций. Устройство работает из коробки? Магазин Google Play есть? Вроде бы больше ничего и не нужно.

На самом деле нет.

Рассмотрим процесс начальной настройки смартфона под управлением Android. Запускается стандартный мастер активации, который предлагает выбрать язык, просит подключиться к сети Wi-Fi, обновляет компоненты Google Services, проверяет состояние Factory Reset Protection (мы уже писали об этом в статье «Как взламывают защиту от сброса к заводским настройкам»), просит ввести данные учетной записи Google Account. Если устройство было сброшено «неправильно», без предварительной отвязки от учетной записи Google, то необходимо ввести данные той учетной записи, которая использовалась на устройстве в качестве основной непосредственно перед сбросом. Двухфакторная аутентификация, автоматическое восстановление настроек, приложений и данных из облачной резервной копии — и через какое-то время у тебя в руках телефон, которым можно пользоваться.

Что происходит, когда мы активируем телефон Meizu? Китайская компания не захотела проходить сертификацию, но и продавать телефоны без сервисов Google за пределами Китая она тоже не сможет. В результате в компании придумали способ, как обмануть Google, а заодно и пользователей.

Итак, при настройке Meizu Pro 6 нас встречает что-то похожее на стандартный мастер настройки. После выбора языка запрашивается пароль от Wi-Fi, предлагается завести учетную запись Meizu. И… и всё. Пользователь сразу попадает на рабочий стол. Но где магазин приложений? Его нет. Вместо него — китайский магазин приложений (его не могло бы быть на устройстве, если бы оно было сертифицировано: отсутствие альтернативных источников приложений — одно из требований MADA). Впрочем, моментально появляется предложение скачать и установить пакет сервисов Google. Согласившись на предложение, пользователь (а вовсе не Meizu!) самостоятельно устанавливает сервисы Google на телефон — точно так же, как он мог бы это сделать в случае с любым другим китайским устройством.

Продолжение статьи доступно только подписчикам

Вариант 1. Оформи подписку на «Хакер», чтобы читать все статьи на сайте

Подписка позволит тебе в течение указанного срока читать ВСЕ платные материалы сайта, включая эту статью. Мы принимаем оплату банковскими картами, электронными деньгами и переводами со счетов мобильных операторов. Подробнее о подписке

Вариант 2. Купи одну статью

Заинтересовала статья, но нет возможности оплатить подписку? Тогда этот вариант для тебя! Обрати внимание: этот способ покупки доступен только для статей, опубликованных более двух месяцев назад.


9 комментариев

Подпишитесь на ][, чтобы участвовать в обсуждении

Обсуждение этой статьи доступно только нашим подписчикам. Вы можете войти в свой аккаунт или зарегистрироваться и оплатить подписку, чтобы свободно участвовать в обсуждении.

Check Also

Злой роутинг. Проворачиваем хитроумную атаку MITM в Wi-Fi-сети

Атака «человек посередине», пожалуй, первое, что приходит на ум, когда возникает задача по…