English version / İngilizce sürüm
Avrupa Özgür Yazılım Vakfı (FSFE), Google'ın zorunlu Android geliştirici doğrulamasının (ADV) Android'i başarılı yapan açıklığı aşındırdığını söylüyor. FSFE Proje Yöneticisi Jithendra Palepu CyberNews'e "Bir geliştiricinin kimliğini doğrulamak, yazılımının güvenli olduğunu doğrulamakla aynı şey değil" dedi.
CyberNews, Keep Android Open dosyası kapsamında 31 Ekim'de FSFE'ye ulaştı. İlk yanıtı vakfın hukuk programları kıdemli yöneticisi Lucas Lasota verdi. Altı yazılı sorumuzu 4 Kasım'da Jithendra Palepu yanıtladı ve adıyla alıntılanmayı kabul etti. Röportaj e-postayla İngilizce yapıldı. Yanıtlar Türkçeye çevrildi, özgün metin İngilizce sürümde eksiksiz yer alıyor.
Ayrıca okuyun: GrapheneOS: Play Integrity rekabet engeli
1. Google'ın Android geliştirici doğrulaması (ADV) yazılım özgürlüğü için neden endişe verici?
Android'i heyecan verici kılan şeylerden biri sunduğu özgürlüktü. Apple'ın sıkı denetlenen iOS ekosisteminin aksine Android, insanların telefonlarıyla deney yapmasına, farklı kaynaklardan yazılım kurmasına, işletim sistemini değiştirmesine, hatta kendi Android dağıtımlarını geliştirmesine izin verdi. Ben de dahil pek çok kişi için Android tam da cihazlarımızı keşfedip kurcalayıp kişiselleştirebildiğimiz için eğlenceliydi. Bu, koca bir geliştirici ve meraklı topluluğunu deney yapmaya ve yenilik üretmeye teşvik etti.
Bu açıklık Google'ın Android'i Apple'dan ayırmasına da yardım etti ve başarısına katkı sağladı. Özgür Yazılım Android'in büyümesinin önünde engel değil, güçlü yanlarından biriydi. Ancak Android Geliştirici Doğrulaması (ADV) ile Google bu eşsiz özelliği zayıflatma riskini alıyor. Google sertifikalı Android cihazlarda ek kurulum engeli olmadan uygulama dağıtmak isteyen geliştiricilerin, tamamen Google Play dışında çalışsalar bile Google'a kaydolması, kimliklerini doğrulatması ve uygulamalarını kaydettirmesi bekleniyor. Google, yan yüklemenin (sideloading) gelişmiş bir kurulum yöntemiyle mümkün kalacağını söylüyor. Ama teknik olarak mümkün ama çok daha zor bir süreci korumak, anlamlı bir yazılım özgürlüğünü korumakla aynı şey değil. Android, Apple ekosisteminden temelde farklı bir şey sunuyordu. Endişe, Google'ın Android'i başarılı yapan açıklıktan adım adım uzaklaşması.
2. Özgür yazılım geliştiricilerini ve F-Droid gibi mağazaları nasıl etkileyecek?
Android'in açıklığı alternatif uygulama mağazalarının, bağımsız geliştiricilerin, hatta rakip işletim sistemi dağıtımlarının gelişmesini sağladı. Bu çeşitlilik Android'in en büyük güçlerinden biri oldu. ADV, bağımsız geliştiricilere ek idari, sözleşmesel ve mali yükümlülükler getiriyor. Bu özellikle gönüllüler, küçük topluluk projeleri ve mahremiyetine önem veren geliştiriciler için kaygı verici. F-Droid alternatif yaklaşımların neden önemli olduğunu gösteriyor. Google'ın kimliğe dayalı doğrulama modelinin aksine F-Droid uygulamaları Özgür Yazılım politikalarına göre inceliyor, herkese açık kaynak kodunu denetliyor, kontrollü derlemeler kullanıyor ve yazılım ikili dosyalarının bağımsız olarak doğrulanabilmesini sağlayan yeniden üretilebilir derlemeleri destekliyor. Bu, güven tesis etmenin farklı bir yolu ve Google'ın modeliyle bir arada var olabilmeli.
Google ayrıca Kayıtlı Uygulama Mağazaları (RAS) programını başlattı. Program, katılan alternatif mağazalara daha akıcı kurulum ve güncelleme imkânı sunuyor; ancak Google'a kayıt, yıllık 10.000 dolar ücret, yaklaşık 3.000-6.000 dolar tutan bağımsız güvenlik sertifikası ve uygulama kataloglarının Google'ın kötü amaçlı yazılım taramasına sürekli gönderilmesini şart koşuyor.
RAS gönüllü olsa da katılmayan mağazalar aynı kurulum ayrıcalıklarından yararlanamayacak. Bu, küçük ve topluluk odaklı mağazaları dezavantajlı duruma düşürme riski taşıyor. F-Droid için bir soru daha var: istemcisi, kullanıcıların bağımsız yönetilen depolar eklemesine izin veriyor. F-Droid, ne işlettiği ne de denetlediği depolardan dağıtılan uygulamaların sorumluluğunu üstlenmek zorunda mı kalmalı? (Mevcut RAS şartlarına göre bu belirsiz.) Android, yazılım geliştirme, dağıtım ve güvenliğe farklı yaklaşımlar bir arada var olabildiği için başarılı oldu. Herkesi tek bir şirketin modelini izlemeye zorlayarak bu çeşitliliği kaybetmek talihsizlik olur.
3. Yan yüklemenin ve alternatif mağazaların önemli olduğu Türkiye gibi ülkelerdeki kullanıcılar için ne anlama geliyor?
Türkiye'deki kullanıcılar için sonuçlar arasında bağımsız geliştiricilerden, alternatif mağazalardan ve topluluk depolarından uygulama kurarken ek engeller olabilir. Doğrulanmamış geliştiricilerin uygulamalarını kurmak ek uyarılarla uğraşmayı ve bir bekleme süresini gerektirebilir.
Pek çok kişinin iPhone yerine Android'i seçme nedenlerinden biri, hangi uygulamaları kuracaklarına ve onları nereden alacaklarına kendilerinin karar verebilmesiydi. İster yeni uygulamalar denemek, ister ana akım mağazalarda bulunmayan uygulamaları kurmak, ister alternatif Android dağıtımları denemek olsun; Android, Apple ekosisteminde zor ya da imkânsız olan olanaklar sundu.
Bu geçmişi göz ardı etmemeliyiz. Teknolojiyle deney yapabilmek yalnızca ileri düzey kullanıcılara yönelik bir özellik değil. Pek çok insan programlamayı, bilgisayarları anlamayı ve geliştirici olmayı ilk böyle öğreniyor. Elbette güvenlik önemli ve Google'ın dolandırıcılık ve kötü amaçlı yazılımla mücadele etmek için meşru nedenleri var. Ama bir geliştiricinin kimliğini doğrulamak, yazılımının güvenli olduğunu doğrulamakla aynı şey değil. Yazılım güvenliğine alternatif yaklaşımlar da var.
Asıl zorluk, Android'i en başta Apple'dan farklı kılan özgürlüğü kaybetmeden güvenliğini artırmak. Bu, Türkiye dahil her yerdeki Android toplulukları için önemli.
4. AB Dijital Piyasalar Yasası (DMA) bu politikayı sınırlayabilir mi? FSFE hukuki ya da politik adım atıyor mu?
DMA bu gelişmeleri incelemek için önemli bir çerçeve sunuyor. DMA'nın 6(4). maddesi, Google gibi geçit bekçilerinin üçüncü taraf uygulamaların ve mağazaların kurulmasına ve etkin kullanımına izin vermesini ve bunu teknik olarak mümkün kılmasını şart koşuyor. 6(7). madde ise işletim sistemi özellikleriyle etkin birlikte çalışabilirlik istiyor. Bu hükümler yakından bağlantılı; çünkü etkin birlikte çalışabilirlik ve bağımsız yazılım kurulumu, alternatif hizmetlerin rekabet edebilmesi için şart.
DMA, işletim sistemi sağlayıcılarının güvenliği ve bütünlüğü koruması gerektiğini kabul ediyor. Ancak kısıtlamalar kesinlikle gerekli, orantılı ve gerekçesi usulünce açıklanmış olmalı. Avrupa Komisyonu da Apple birlikte çalışabilirlik kararında, işletim sistemi bütünlüğünü korumanın geçit bekçilerine kendi tercih ettikleri güvenlik ve mahremiyet modellerini üçüncü taraf hizmetlere dayatma yönünde genel bir hak vermediğini netleştirdi. Bu yorum 6(7). maddeyle ilgili olsa da gerekçesi, Google'ın kısıtlamalarını 6(4). madde kapsamında değerlendirirken de geçerli.
F-Droid'i örnek alalım. Güvenlik modeli, zorunlu geliştirici kimlik doğrulaması yerine bağımsız uygulama incelemesine, Özgür Yazılım politikalarına ve yeniden üretilebilir derlemelere dayanıyor. Google, bu tür alternatif yaklaşımların neden kendi güvenlik gereklilikleriyle bir arada var olamayacağını açıklamak zorunda olmalı. FSFE; cihaz tarafsızlığı, birlikte çalışabilirlik ve yazılım özgürlüğü konularında politika yapıcılar, düzenleyiciler ve Avrupa Komisyonu ile temas halinde. Android'e ilişkin düzenleyici tartışmalara katkı sunduk ve Android'i açık tutmaya yönelik sivil toplum çabalarını destekledik. DMA, Android'in alternatif uygulamaların, mağazaların ve bağımsız geliştiricilerin gerçekten rekabet edebildiği bir platform olarak kalmasını sağlamak için bir fırsat. Google'ın bu özgürlüğü gereksiz yere kısıtlayan önlemleri yeniden gözden geçirmesini umuyoruz.
5. Kullanıcılar ve geliştiriciler Android'i açık tutmak için şu anda ne yapabilir?
Kullanıcılar Özgür Yazılım uygulamalarını keşfedebilir, F-Droid gibi projeleri destekleyebilir, alternatif Android dağıtımlarına katkıda bulunabilir ve deneyimlerini başkalarıyla paylaşabilir. Android'in açıklığı her zaman insanların deney yapmasına, öğrenmesine ve katkı sunmasına dayandı. Geliştiriciler Özgür Yazılım yayımlamayı, bağımsız depoları sürdürmeyi, yeniden üretilebilir derleme pratiklerini geliştirmeyi ve yalnızca merkezi doğrulamaya dayanmayan yenilikçi güvenlik yaklaşımları üretmeyi sürdürebilir.
Pek çok geliştirici ve topluluk kuruluşu Keep Android Open gibi girişimlerle endişelerini zaten dile getiriyor. Kullanıcılar ve geliştiriciler bu çabaları destekleyebilir, deneyimlerini politika yapıcılara ve rekabet otoritelerine iletebilir. Somut sorunları belgelemek özellikle faydalı. Bağımsız geliştiriciler ek ücretlerle, sözleşme kısıtlamalarıyla ya da kurulum engelleriyle karşılaştığında bu deneyimler, düzenleyicilerin bu politikaların pratik sonuçlarını anlamasına yardım ediyor. FSFE olarak bu gelişmeleri anlatıyor, politika yapıcılar ve düzenleyicilerle çalışıyor, Özgür Yazılımın ve bağımsız yazılım dağıtımının neden önemli olduğunu gösteriyoruz.
6. Türk okurlarımızın bilmesini istediğiniz başka bir şey var mı?
Okurları Android'in en başta neden heyecan verici olduğunu hatırlamaya davet ediyorum. Çoğumuz için Android, akıllı telefonlarda Özgür Yazılımın olanaklarıyla ilk tanışmamızdı. Farklı kaynaklardan uygulama kurabiliyor, cihazlarımızı değiştirebiliyor, alternatif işletim sistemlerini keşfedebiliyor ve yazılımın nasıl çalıştığını öğrenebiliyorduk. Bu özgürlük geliştiricilere, araştırmacılara ve koca topluluklara ilham verdi. Android, Özgür Yazılım tabanlı bir platformun insanların bağımsız yenilik yapmasına izin verirken muazzam başarılı olabileceğini gösterdi. Apple'ın çok daha denetimli ekosistemine gerçek bir alternatifti.
Google meşru güvenlik sorunlarıyla karşı karşıya ve ADV bunların bir kısmına çözüm olabilir. Ama yazılım dağıtımı üzerindeki denetimi merkezileştirmek de yeni sorunlar doğurabilir: Google altyapısına bağımlılık, bağımsız geliştiricilere engeller ve güvenlik yaklaşımlarında azalan çeşitlilik.
ADV ve RAS tartışması henüz bitmedi. İşler hâlâ değişebilir. Android topluluğunda platformun açık kalmasını isteyen çok sayıda insan var ve Google'ın daha iyi çözümler bulmak için bu toplulukla çalışma fırsatı hâlâ duruyor.
Rekabet Kurumu, Google'ın geliştirici doğrulama programını inceliyor. CyberNews Keep Android Open dosyasını güncellemeyi sürdürecek.
