จดหมายเปิดผนึกของกูเกิลเกี่ยวกับการบังคับลงทะเบียนนักพัฒนาสำหรับการเผยแพร่แอป

• องค์กรภาคประชาสังคม องค์กรไม่แสวงหากำไร และบริษัทเทคโนโลยี 38 แห่งทั่วโลก แสดงจุดยืนคัดค้านนโยบายของกูเกิลที่ บังคับให้นักพัฒนาที่เผยแพร่แอป Android ภายนอกต้องลงทะเบียน
• กลุ่มเหล่านี้ชี้ว่า Android มีมาตรการป้องกันอยู่แล้วหลายชั้น เช่น ความปลอดภัยระดับระบบปฏิบัติการ การลงนามแอป และ Play Protect
• พวกเขาวิจารณ์ว่าระบบลงทะเบียนแบบรวมศูนย์คุกคาม นวัตกรรม การแข่งขัน ความเป็นส่วนตัว และเสรีภาพของผู้ใช้ พร้อมสร้างโครงสร้างที่ทำให้กูเกิลควบคุมการเผยแพร่แอปทั้งหมดได้
• นอกจากนี้ยังเตือนว่านโยบายนี้จะยกระดับอุปสรรคในการเข้าสู่ตลาดสำหรับ นักพัฒนารายเล็ก โครงการโอเพนซอร์ส นักพัฒนาในประเทศที่ถูกคว่ำบาตร และนักกิจกรรมด้านสิทธิมนุษยชน
• องค์กรผู้ลงนามเรียกร้องให้กูเกิลถอนนโยบายดังกล่าว ฟื้นฟู ความเปิดกว้างและความเป็นกลาง และเปิด การหารืออย่างโปร่งใส กับชุมชน

---

ภูมิหลังของการคัดค้านนโยบาย

• กูเกิลมีแผนจะบังคับให้ นักพัฒนาทุกคนที่ต้องการเผยแพร่แอปนอก Play สโตร์ ต้องลงทะเบียนแบบรวมศูนย์ในอนาคต
  • กระบวนการลงทะเบียนรวมถึง การส่งบัตรประจำตัว การยอมรับข้อกำหนด และการชำระค่าธรรมเนียม
• องค์กรผู้ลงนามชี้ว่ามาตรการนี้เป็นการ ขยายอำนาจการเป็น gatekeeper ไปยังพื้นที่ที่ไม่เกี่ยวข้องกับบริการของกูเกิล
  • พร้อมเตือนว่ากูเกิลจะมี อำนาจในการปิดใช้งานแอปทั่วโลกได้ตามอำเภอใจ

อุปสรรคในการเข้าสู่ตลาดและการขัดขวางนวัตกรรม

• การบังคับลงทะเบียนส่งผลเสียต่อ นักพัฒนาเดี่ยว ทีมขนาดเล็ก และโครงการโอเพนซอร์ส
  • มีหลายกรณีที่ลงทะเบียนได้ยากเนื่องจากทรัพยากรจำกัด การเข้าถึงโครงสร้างพื้นฐานที่จำกัด หรือการอาศัยอยู่ในประเทศที่ถูกคว่ำบาตร
• นักพัฒนาที่เน้นความเป็นส่วนตัว นักกิจกรรมด้านสิทธิมนุษยชน และองค์กรตอบสนองเหตุฉุกเฉิน ก็เผชิญความเสี่ยงเช่นกัน
• ภาระทางธุรการลักษณะนี้อาจนำไปสู่ ความหลากหลายของซอฟต์แวร์ที่ลดลง และ การกระจุกตัวรอบบริษัทขนาดใหญ่

ข้อกังวลเรื่องข้อมูลส่วนบุคคลและการสอดส่อง

• ระบบลงทะเบียนของกูเกิลจะก่อให้เกิด ฐานข้อมูลข้อมูลส่วนบุคคล ของนักพัฒนา Android ทั้งหมด
  • มีการตั้งข้อกังวลเกี่ยวกับวิธี การเก็บรักษา การนำไปใช้ และการตอบสนองต่อคำขอจากรัฐบาล ของข้อมูลที่เก็บรวบรวม
• สำหรับผู้ที่พัฒนาแอปด้านความเป็นส่วนตัวหรือแอปที่มีความอ่อนไหวทางการเมือง จะเกิด ความเสี่ยงจากการสอดส่องที่ไม่จำเป็น

ความเสี่ยงจากการบังคับใช้ตามอำเภอใจและการระงับบัญชี

• ระบบตรวจสอบแอปที่มีอยู่ของกูเกิลถูกวิจารณ์มาแล้วว่า ตัดสินใจอย่างไม่โปร่งใสและมีกระบวนการอุทธรณ์ที่จำกัด
  • มีการตั้งข้อสังเกตเรื่องการตัดสินแบบอัตโนมัติ การระงับโดยไม่มีเหตุผลชัดเจน และความเป็นไปได้ของการแทรกแซงจากปัจจัยทางการเมืองหรือการแข่งขัน
• โครงสร้างที่ให้บริษัทเดียวควบคุมอำนาจการเผยแพร่ทั้งหมดนั้น ขัดกับระบบนิเวศการแข่งขันที่ดีต่อสุขภาพ

การจำกัดการแข่งขันและประเด็นด้านกฎระเบียบ

• ผ่านการลงทะเบียน กูเกิลจะสามารถรับรู้ แนวโน้มการพัฒนาแอปทั้งหมดและกลยุทธ์ของคู่แข่ง ได้
  • สิ่งนี้อาจก่อให้เกิด ความไม่สมดุลของข้อมูลในตลาด และเพิ่มความเสี่ยงของการ สกัดกั้นล่วงหน้าหรือการลอกเลียนผลิตภัณฑ์คู่แข่ง
• หน่วยงานกำกับดูแลในสหภาพยุโรป สหรัฐอเมริกา และที่อื่น ๆ กำลังตรวจสอบประเด็น การผูกขาดของแพลตฟอร์มและการเอื้อประโยชน์ให้บริการของตนเอง อยู่แล้ว
  องค์กรผู้ลงนามจึงเน้นย้ำว่ากูเกิลต้องรักษา ความเปิดกว้างและการทำงานร่วมกันได้

ความเพียงพอของระบบความปลอดภัยที่มีอยู่เดิม

• Android มีฟังก์ชันด้านความปลอดภัยอยู่แล้ว เช่น sandboxing ระบบสิทธิ์ การรับรองลายเซ็น และคำเตือนการ sideloading
• ตลอด 17 ปีที่ผ่านมา ระบบเหล่านี้ช่วยคุ้มครองผู้ใช้มาโดยตลอด และพวกเขาโต้แย้งว่าหากกูเกิลกังวลเรื่องความปลอดภัยอย่างแท้จริง ก็ควรเน้นที่ การเสริมความแข็งแกร่งให้กลไกเดิม

ข้อเรียกร้องร่วมกัน

• ถอนข้อบังคับการลงทะเบียนนักพัฒนาสำหรับการเผยแพร่ผ่านบุคคลที่สามโดยทันที
• ดำเนิน การหารืออย่างโปร่งใสกับภาคประชาสังคม นักพัฒนา และหน่วยงานกำกับดูแล
• รับประกันความเป็นกลางของแพลตฟอร์ม โดยแยกผลประโยชน์ทางการค้าของกูเกิลออกจากการดำเนินงานแพลตฟอร์ม
• เรียกร้องให้ฟื้นฟูความเปิดกว้างของ Android และปกป้อง ซอฟต์แวร์เสรีและอธิปไตยดิจิทัล

องค์กรผู้ลงนาม

• มี 38 องค์กรเข้าร่วม เช่น EFF, FSF, FSFE, F-Droid, Nextcloud, Proton, Vivaldi, Tor Project
• พวกเขามีมติให้กูเกิล ยุติโปรแกรมยืนยันตัวตนนักพัฒนา และ
  ร่วมกันหาสมดุลระหว่างความปลอดภัยกับความเปิดกว้าง

[GN⁺]

ความคิดเห็นจาก Hacker News

• ส่วนที่เป็นประเด็นถกเถียงที่สุดในจดหมายฉบับนี้คือคำกล่าวที่ว่า “Existing Measures Are Sufficient (มาตรการที่มีอยู่เพียงพอแล้ว)”
  Google ได้อธิบายช่องทางการโจมตีไว้อย่างชัดเจนในประกาศเดือนพฤศจิกายน 2025 ผ่านบล็อกทางการ
  ตัวอย่างเช่น ในเอเชียตะวันออกเฉียงใต้ มิจฉาชีพจะโทรหาผู้เสียหาย สร้างความกลัวด้วยการบอกว่า “บัญชีธนาคารถูกแฮ็กแล้ว” และหลอกให้ติดตั้ง ‘แอปยืนยันตัวตน’ เพื่อความปลอดภัย แอปนี้จริง ๆ แล้วคือ มัลแวร์ ที่ดักจับการแจ้งเตือน ขโมยรหัส 2FA แล้วดูดเงินออกจากบัญชี
  Google โต้แย้งว่าจำเป็นต้องมีการ ยืนยันตัวตนนักพัฒนา เพื่อป้องกันการโจมตีแบบนี้ หากไม่มีการยืนยันตัวตน ก็จะกลายเป็นเกมตีตัวตุ่นที่ต้องไล่ปิดแอปอันตรายที่ถูกสร้างขึ้นใหม่ไม่รู้จบ
  ฉันเองก็รู้สึกว่าการบังคับลงทะเบียนอาจเกินไป แต่ก็คิดว่าควรมีทางเลือกที่ดีกว่าการตอบว่า “ตอนนี้ก็ดีอยู่แล้ว” เช่น อาจบังคับลงทะเบียนเฉพาะแอปที่ขอสิทธิ์อ่อนไหวอย่างการดักจับการแจ้งเตือนหรือ SMS หรือใช้ทางสายกลางด้วยการกำหนดให้นักพัฒนาที่ไม่ลงทะเบียนต้องใช้ใบรับรองที่มีราคาแพง

  • ไม่เข้าใจว่าทำไมชุมชนต้องตอบสนองต่างไปจากนี้ โลกนี้เดิมทีก็ ไม่ปลอดภัย อยู่แล้ว และความปลอดภัยที่สมบูรณ์แบบก็ทำได้แค่ด้วยการแลกกับเสรีภาพ
    คนเราควรมีเสรีภาพที่จะตัดสินใจผิดด้วย การเชื่อสายโทรศัพท์จากมิจฉาชีพแล้วติดตั้งแอปไม่ใช่ช่องทางการโจมตี แต่เป็นการตัดสินใจของปัจเจก การเอาเรื่องนี้มาเป็นเหตุผลเพื่อห้ามผู้ใช้ติดตั้งแอปบนอุปกรณ์ของตัวเอง ก็ไม่ต่างจากธนาคารบอกว่า “ห้ามถอนเงินเพราะคุณจะเอาไปใช้ที่บาร์”
  • ฉันเป็นผู้เขียนจดหมายฉบับนี้และเป็นผู้ประสานงานรายชื่อผู้ลงนาม ไม่ได้กำลังบอกว่า “ไม่มีปัญหา” แต่ชี้ว่า Android รับมือกับโมเดลภัยคุกคามใหม่ ๆ มาตลอดผ่านการ เสริมความปลอดภัยแบบค่อยเป็นค่อยไป
    ตัวอย่างเช่น Restricted Settings ของ Android 13~14 ช่วยป้องกันการหลอกให้ติดตั้ง APK ผ่านการโทรศัพท์ และ Enhanced Confirmation Mode ของ Android 15 ก็ช่วยป้องกันแอปอันตรายที่พยายามแก้ไขการตั้งค่าระบบ
    ฟีเจอร์เหล่านี้ได้ผลอยู่แล้ว แต่ Google กลับจะปิดล็อกทั้งหมดอย่างกะทันหัน ซึ่งเป็น การหักจากแนวทางเดิม มัลแวร์มีอยู่เสมอ และก็มีอยู่ใน Play Store ด้วย เหตุผลที่จะใช้อธิบายมาตรการสุดโต่งตอนนี้ยังไม่เพียงพอ
  • การลงทะเบียนนักพัฒนาไม่ใช่วิธีแก้ปัญหา บัตรประชาชนที่ถูกขโมย หาซื้อได้ไม่แพง และอาชญากรก็อัปโหลดแอปใหม่ได้วันละหลายสิบครั้ง
    ปัญหาที่แท้จริงคือการขาดความรู้เท่าทันด้านเทคโนโลยี แนวโน้มที่คนจะเชื่อผู้อื่นง่าย การขาดศักยภาพในการสืบสวน และการที่บางประเทศ ปล่อยปละองค์กรหลอกลวง
    แอปธนาคารของฉันจะไม่ยอมรันถ้ากำลังคุยโทรศัพท์อยู่หรือถูกควบคุมจากระยะไกล แต่บนเครื่องที่รูตแล้วก็ไม่มีทางป้องกันได้ สุดท้ายการที่แต่ละประเทศโทษ Google อย่างเดียวก็คือการปัดความรับผิดชอบ
    ข้อจำกัดแบบนี้จะถูกเลี่ยงได้ภายในไม่กี่วัน และผู้ใช้ทั่วไปก็จะยิ่งลำบากขึ้นเท่านั้น
  • ถ้ามีใครสามารถชักจูงให้คนเมินคำเตือนด้านความปลอดภัยได้ ก็ย่อมทำให้คนนั้นพูดรหัส 2FA ออกมาตรง ๆ หรือใช้ วิธีฟิชชิง แบบอื่นได้เหมือนกัน
  • ปัญหานี้ไม่มีทางแก้ที่สมบูรณ์แบบ หากเปิดให้ผู้ใช้ติดตั้งแอปที่ไม่ผ่านการยืนยัน ก็มีความเสี่ยงจากแอปอันตราย แต่ถ้าปิดกั้น ก็เท่ากับจำกัด เสรีภาพของผู้ใช้
    จะออกแบบขั้นตอน ‘ปลดล็อก’ ที่ซับซ้อนก็ได้ แต่สุดท้ายมันก็แทบไม่ต่างจากการทำให้ผู้ใช้ทั่วไปติดตั้งแอปนอกระบบไม่ได้
    ปัญหาการหลอกลวงนั้นร้ายแรงจริง แต่ทางออกที่เสนอมากลับดูเหมือนยาที่แย่กว่าตัวโรค

• ผู้พิพากษาตัดสินให้ Google ว่า “Apple ไม่ผูกขาดเพราะไม่มีคู่แข่งบนแพลตฟอร์มของตัวเอง” (เกี่ยวกับคดี Epic)
  Google ก็ ฟังคำพูดนั้นแบบตรงตัว เลย และนั่นคือเหตุผลที่นโยบายตอนนี้ออกมา ฉันคิดว่านี่เป็นหนึ่งในคำตัดสินที่แย่ที่สุดในช่วงหลัง

  • เรื่องแบบนี้ไม่ใช่สิ่งที่ผู้พิพากษาควรจัดการ แต่ควรเป็นหน้าที่ของ รัฐสภา แพลตฟอร์มที่ทุกคนต้องพึ่งพาเหมือนระบบสื่อสารควรถูกกำกับด้วยกฎหมาย
    ฉันมองว่าแนวทางของ EU ที่กำหนดให้ Apple และ Google เป็น แพลตฟอร์มทางผ่าน นั้นดีกว่ามาก ขณะที่รัฐสภาสหรัฐฯ ยังไม่สามารถวางกรอบกฎหมายสำหรับแนวทางสมัยใหม่ได้
  • จำได้ว่าคุณก็เขียนคอมเมนต์แบบเดียวกันนี้เมื่อไม่กี่วันก่อน ลิงก์คอมเมนต์ก่อนหน้า
  • คุณช่วยอธิบายให้ชัดเจนได้ไหมว่าหมายถึงคำตัดสินไหน ฉันอยากรู้ว่าข้อสรุปนั้นออกมาได้อย่างไร

• ปัญหาของการลงทะเบียนนักพัฒนาคือมันทำให้ Google และรัฐบาลมี อำนาจในการเซ็นเซอร์ แอป
  ถ้ารัฐบาลสั่งว่า “ห้ามแอป VPN” Google ก็สามารถใช้เงื่อนไขการลงทะเบียนเพื่อบล็อกได้

  • พวกเขามีอำนาจแบบนั้นอยู่แล้วไม่ใช่หรือ?
  • มันร้ายแรงกว่านั้นอีก ถ้าการติดตั้งทำได้ผ่านช่องทางทางการเท่านั้น Google ก็จะติดตามได้ว่าใครใช้แอปอะไร
    ตัวอย่างเช่น คนที่ติดตั้ง แอปติดตาม ICE อาจถูกแจ้งต่อรัฐบาลและถูกใส่ชื่อในรายชื่อผู้ก่อการร้ายก็ได้

• ระบบลงทะเบียนจะเพิ่มแค่ ต้นทุนความฝืด ให้กับนักพัฒนาปกติหลายพันคน ขณะที่ผู้ไม่หวังดียังกลับมาได้เรื่อย ๆ ด้วยบริษัทบังหน้า หรือ ID ที่ขโมยมา
  การยืนยันตัวตนกับการยับยั้งอาชญากรรมเป็นคนละเรื่องกัน

  • ที่จริงความฝืดนี้ไม่ใช่เพราะ ‘ความปลอดภัย’ แต่เป็น สิ่งที่ออกแบบไว้โดยตั้งใจ Google ต้องการผลักนักพัฒนารายเล็กออกไป
    ทุกวันนี้บน Play Store ก็มีการบังคับให้นักพัฒนารายบุคคลเปิดเผยชื่อจริง ลดอันดับการมองเห็นแอป และขึ้นคำเตือนอย่าง “แอปนี้มีการติดตั้งน้อย”
    สุดท้ายแล้วมันคือกลยุทธ์เพื่อสร้าง ระบบนิเวศที่มีแต่แอปของบริษัทยักษ์ใหญ่ ลดภาระการดูแลรักษาและเพิ่มรายได้
  • แน่นอนว่าจะบอกว่าความฝืดไม่มีผลอะไรเลยก็คงไม่ได้ การสร้างบัญชีหลายพันบัญชีด้วย ID ที่ขโมยมานั้นยาก แต่การสร้าง แอปอันตรายสายพันธุ์ย่อย นั้นง่ายกว่ามาก
    ฉันไม่รู้ว่าดุลยภาพนี้คุ้มค่าหรือไม่ แต่ก็คงบอกไม่ได้ว่ามันไร้ความหมายไปเสียทีเดียว
  • Google ยังจัดการแอปอันตรายใน Play Store ได้ไม่ดีเลย ทุกวันนี้ก็ยังเต็มไปด้วย แอปปลอมและแอปสแปม

• อยากบอก Google ว่า ช่วยจัดการ มัลแวร์ ใน Play Store ให้เรียบร้อยก่อน แล้วค่อยมาถกกันเรื่องไซด์โหลด

• ถ้าห้ามติดตั้งแอปจากนอก Play Store มันจะเป็นหายนะสำหรับ ผู้ใช้ระดับสูง
  ฉันเลิกรูตเครื่องไปแล้ว แต่ยังแก้ปัญหาอย่างการบล็อกโฆษณาด้วย APK ถ้าแอปแบบนี้โดนบล็อก ก็ไม่มีเหตุผลอะไรให้ใช้ Android อีกต่อไป

• รายชื่อผู้ลงนามครั้งนี้ดูเหมือนรายชื่อของ กลุ่มที่ Google อยากกำจัด มากกว่า

  • ใช่เลย นั่นแหละ Google ไม่ได้สนใจภาคประชาสังคมเลย สนใจแต่ การเพิ่มอำนาจของตัวเอง เท่านั้น
    หวังว่ามาตรการนี้จะเป็นแรงผลักให้ผู้คนมองหาทางเลือกอื่นแทน Google

• ถ้า Android กับ iOS ปิดเหมือนกันหมด ฉันจะเลือก iOS ทุกครั้ง
  เหตุผลที่ฉันใช้ Android คือ ความเปิดกว้าง ถ้าสิ่งนั้นหายไป ฉันก็จะเลือก UX ที่ลื่นไหลและระบบนิเวศของ Apple แทน

  • ฉันถูกบังคับให้ใช้ iOS มา 1 ปีแล้ว และก็ยังไม่รู้สึกถึง UX ที่ลื่นไหล หรือระบบนิเวศที่แข็งแกร่งอะไรเลย

• พูดกันตรง ๆ คำว่า “ผลกระทบที่ไม่สมส่วนต่อชุมชนชายขอบ” น่าจะใช้กับ ผู้สูงอายุในประเทศกำลังพัฒนา ที่ตกเป็นเหยื่อมากกว่ากับแฮ็กเกอร์
  คนกลุ่มนี้มักถูกแอปหลอกลวงลวงเอาทรัพย์สินไป

• “Don’t be evil” กลายเป็น “อย่าทำชั่ว เว้นแต่จะลงทะเบียนด้วยบัตรประชาชนรัฐบาลก่อน” ไปแล้ว
  Google เคยใช้ความเปิดกว้างของ Android เป็นข้อแก้ต่างในศาลเพื่อสู้คดีผูกขาด แต่ตอนนี้กลับกำลังปิดประตูนั้นด้วยตัวเอง
  พวกเขาอ้างเรื่องความปลอดภัย แต่ปัญหาที่อยากแก้จริง ๆ ไม่ใช่ “นักพัฒนาที่ควบคุมไม่ได้” แต่คือ “นักพัฒนาที่ทำเงินไม่ได้”