Não, o sideload não é bom para você

A Apple segue sua campanha para explicar por que o sideload em dispositivos da Apple é uma má ideia.

Craig Federighi, vice-presidente de Software da Apple, compareceu ao Web Summit 2021 para defender com veemência a abordagem de sua empresa para segurança de plataforma em iPhones. Ele falou contra uma cláusula da Lei de Mercados Digitais da União Europeia que forçaria a empresa a apoiar o carregamento paralelo de aplicativos em iPhones.

Existem quatro razões principais pelas quais as pessoas desejam que a Apple faça isso:

Por razões comerciais, como para vender produtos criados usando APIs da Apple para pessoas nas plataformas da Apple sem pagar pela oportunidade de fazê-lo.
À escolha do consumidor, assim torna-se possível instalar e usar aplicativos que não estão disponíveis na App Store.
Por motivos maliciosos, como evitar o processo de revisão de aplicativos da App Store para continuar rastreando usuários sem consentimento ou para outras formas de vigilância.
Para fins criminosos, como a criação de lojas de aplicativos falsos para espalhar malware, ransomware e muito mais.

É perfeitamente aceitável tentar buscar vantagem comercial, e vimos antes como o mantra “open beats closed” (“aberto é melhor que fechado”) é frequentemente usado para minar o interesse do consumidor. O Google o usou quando enfrentou a Apple com o Android, embora anos depois o Android tenha se tornado muito mais fechado.

Mostre seu rosto

No entanto, acho que grande parte da energia por trás da campanha atual vem de um conjunto vagamente unificado de interesses que trabalham para minar a privacidade e a segurança da Apple para seu próprio benefício. O grupo também tem aliados, igualmente empenhados em fazer fortuna no chamado “metaverso”, que muitos vêem como um mundo virtual do qual ainda podemos desfrutar quando a mudança climática tornar o mundo real muito tóxico.

A meu ver, quando uma empresa que pode se dar ao luxo de contratar um ex-vice-primeiro-ministro do Reino Unido rejeitado por eleitores como seu lobista reclama de algo, provavelmente vai refletir seus próprios interesses. Neste caso, ele quer minar as proteções de privacidade da Apple para proteger seus negócios e quer criar um baluarte contra a guerra que se aproxima pela realidade aumentada e virtual.

Proteger o modelo de negócios da Meta é a raiz da motivação da empresa. É por isso que acusa a Apple da mesma coisa. E um movimento recente para criar seu próprio mercado interno que contraria as próprias diretrizes da App Store da Apple mostra o quão longe isso irá.

Um modelo de negócios ainda maior

Mas há outros com interesse comercial em minar a segurança da plataforma da Apple: criminosos que querem invadir sua vida digital.

O problema é que eles são bons no que fazem. Eles são inteligentes, sofisticados e perfeitamente capazes de preparar o cenário para fazer com que usuários inocentes cometam erros. Quem não clicou em um link inválido em um e-mail pelo menos uma vez?

Eles também não funcionam isoladamente. O crime on-line é uma indústria ricamente financiada, não se trata apenas de geeks solitários em porões. São bancos de computadores em escritórios de aparência legítima, pagos por grupos estatais e não patrocinados pelo Estado. O crime cibernético deve custar ao mundo US $ 10,5 trilhões por ano até 2025. Um único ataque de ransomware bem-sucedido tem um custo estimado em cerca de US $ 9 milhões para uma empresa americana se for bem-sucedido, de acordo com a IBM.

Com esse tipo de dinheiro em jogo, é trivial para os criminosos criar aplicativos e lojas de aplicativos falsos na tentativa de injetar malware em dispositivos. Um pouco de engenharia social e alguns golpes de phishing direcionados e eles podem ser capazes de criar lojas que visam locais, indivíduos, empresas ou agências governamentais.

“Mesmo que você não tenha a intenção de fazer o sideload, as pessoas são coagidas ou induzidas a fazê-lo rotineiramente”, ressalta Federighi. O impacto de tais ataques é vasto em termos de receita, continuidade de negócios e reputação.

Humanos são vulneráveis

Em todos esses casos, o desafio é que os humanos são vulneráveis. Em todos os meus anos escrevendo conselhos de segurança para usuários, eu encontrei isso. Muitos argumentam que não precisam se preocupar com a segurança ao usar um Mac (eles precisam); outros argumentarão que podem baixar o que quiserem e ninguém mais será afetado. Isso também não é verdade – você pode ser usado como um canal para infectar outras pessoas.

Pense nessas mensagens irritantes que todos recebemos de amigos no caso de seu catálogo de endereços on-line ser hackeado. Acho que todos nós vimos alguns. Ou considere a vasta coleção de dados regularmente roubada de empresas, incluindo um vazamento de dados chocante sobre meio milhão de pessoas no Reino Unido esta semana.

Todas essas informações podem ser transformadas em armas.

Agora, imagine se essa arma dependesse da mineração dessas estatísticas de dados para detectar grupos específicos de pessoas e, em seguida, criar produtos de software de som atraente que possam ser distribuídos a essas pessoas por meio de sua própria loja de aplicativos infestada de malware.

Uma pessoa que baixa malware pode acabar vazando todas as informações que possui sobre você. No nível corporativo, isso é muito pior. Como mostrou um ataque no Target, a vulnerabilidade de segurança em um sistema de nível relativamente baixo pode ser usada como uma rota para a pilha de tecnologia corporativa geral.

Federighi colocou desta forma: “O fato é que um dispositivo comprometido, incluindo um telefone móvel, pode representar uma ameaça para uma rede inteira. Malware de aplicativos sideload pode colocar em risco sistemas governamentais, infectar redes corporativas, serviços públicos…”

Mas e quanto a…?

Existem dois argumentos rotineiramente lançados para minar a posição da Apple: que poucas pessoas fazem sideload no Android, que permite a prática. E que os Macs permitem que os usuários instalem aplicativos de outras fontes.

Não encontrei nenhuma prova da primeira reclamação. Encontrei alguns relatórios que indicam que o sideload de aplicativos é mais popular na região APAC do que nos EUA. Eu também vi um relatório (do Google) sugerindo que o sideload de aplicativos realmente cria riscos. Mas eu não encontrei nenhuma evidência de uma forma que mostre poucas pessoas no Android. Portanto, provavelmente não é apropriado argumentar que este é o caso.

E quando se trata da segunda afirmação, até a Apple admite que a segurança do Mac não é tão sólida quanto gostaria, apesar de ser a plataforma de PC mais segura do mercado.

Em última análise, uma mudança para forçar o sideload em dispositivos Apple não trará nenhum benefício significativo para a maioria dos usuários, mas pode ter custos e consequências na maioria das empresas e indivíduos que superam em muito os benefícios duvidosos.

Os consumidores já têm uma escolha que podem fazer se o sideload for importante para eles. O argumento de que se trata de escolha nega ironicamente a escolha, removendo a opção de um sistema seguro.