F-Droid je softwarový repozitář (nebo „app store“) pro operační systém Android, stejně jako Google Play. Hlavní repozitář, poskytovaný vývojáři, obsahuje jen svobodný software. Aplikace mohou být prohledávány a instalovány na webu F-Droidu nebo pomocí klientské aplikace bez nutnosti registrace. „Anti-vlastnosti“ jako reklamy, sledování uživatelů, nebo závislost na nesvobodném softwaru jsou označeny v popisu aplikací. Webové stránky nabízejí také zdrojový kód aplikací které hostí i softwaru který pohání server, což umožňuje komukoliv vytvořit si vlastní repozitář.
Historie
F-Droid byl založen Ciaran Gultnieksem v roce 2010. Klient byl odvozen ze zdrojového kódu Aptoide. Projekt nyní zpravuje anglická nezisková organizace F-Droid Limited.
Replicant, zcela svobodná verze operačního systému Android, používá F-Droid jako svůj základní doporučený repozitář aplikací. The Guardian Project, sada svobodných a bezpečných aplikací pro Android, rozběhla vlastní repozitář pro F-Droid na začátku roku 2012. V roce 2012 Free Software Foundation Europe uvedlo F-Droid ve své kampani Free Your Android! na zvýšení povědomí o ochraně osobních údajů a bezpečnostních rizicích spojených s proprietary software. F-Droid byl vybrán GNU Projectem během jeho 30. výročí jako část iniciativy GNU a Day která měl podpořit větší využití svobodného softwaru.
V březnu 2016 F-Droid začal spolupracovat s The Guardian Project a CopperheadOS s cílem vytvořit „řešení, které může být ověřitelně důvěryhodné od operačního systému, přes síťové služby a síť, až po obchodů s aplikacemi a aplikace sami“.
F-Droid distribuoval funkční verzi aplikace NextCloud, protože Google ve svém Obchodu Play omezoval její oprávnění ohledně synchronizace jiných souborů, než multimediálních.
Rozsah projektu
Databáze F-Droid obsahuje rostoucí počet více než 2300 aplikací, ve srovnání s více než 1,43 milionu na Google Play. Projekt zahrnuje několik softwarových podprojektů:
- Klient pro vyhledávání, stahování, ověřování a aktualizaci aplikací pro Android z F-Droidu.
- fdroidserver – nástroj pro správu stávajících a vytváření nových repozitářů.
- Na WordPressu založený web front end k repozitáři.
F-Droid kompiluje aplikace z veřejně dostupných a svobodně licencovaných zdrojových kódů. Projekt je realizován výhradně dobrovolníky a nemá žádný formální proces kontroly aplikací. Nové aplikace jsou přidávány na základě příspěvků od uživatelů nebo samotných vývojářů. Jediným požadavkem je aby aplikace byly výhradně bez proprietárního software.
Klient
Pro nainstalování klienta F-Droid musí uživatel povolit instalaci z „neznámých zdrojů“ v nastavení Androidu a získat APK (instalační soubor) z oficiálních stránek. Klienta nelze nainstalovat skrze Google Play store kvůli konkurenční doložce v Google Play Developer Distribution Agreement.
Klient byl navržen tak, aby byl odolný proti sledování, cenzuře a nedůvěryhodnému připojení k Internetu. K podpoře anonymity podporuje HTTP proxy a repozitáře hostované na Tor hidden services. Klientská zařízení mohou sloužit jako improvizované „app story“ a distribuovat stažené aplikace přes místní Wi-Fi, Bluetooth, nebo Android Beam. Klient F-Droid automaticky nabízí aktualizace aplikací přes něj nainstalovaných.
Hlavní repozitář F-Droid používá k podepisování aplikací svůj vlastní klíč, takže aplikace nainstalované z jiných zdrojů musejí být nejdříve přeinstalovány.
Kritika
F-Droid byl kritizován pro distribuci zastaralých verzí oficiálních aplikací a za svůj přístup k podepisování aplikací.
Zastaralé verze
V roce 2012 bezpečnostní výzkumník a vývojář Moxie Marlinspike kritizoval F-Droid za distribuci zastaralé verze TextSecure, která obsahovala známou chybu opravenou v oficiální verzi na Google Play. F-Droid aplikaci na základě žádosti Marlinspikse odstranil. Marlinspike, poté co obdržel e-mail od uživatelů, kteří byli uvedeni v omyl oznámením F-Droidu, kritizoval způsob, jakým projekt k problému přistoupil, prohlásil, že projekt „nesprávně popsal rozsah chyby“ a byl „neuvěřitelně nezralý“ ve své zprávě oznamující odstranění aplikace.
Správa klíčů
Marlinspike byl k F-Droidu kritický také kvůli přístupu k podepisování aplikací v hlavním repozitáři. Aplikace distribuované skrze Google Play jsou podepsané vývojáři aplikace a Android kontroluje, zda jsou aplikace při aktualizaci podepsány stejným klíčem, což zabraňuje ostatním šířit aktualizace, které vývojář nepodepsal. F-Droid rozvrací tento model zabezpečení tím, že sestavuje a podepisuje balíčky sám, což znamená, že správce nebo někdo jiný s přístupem k F-Droidu může být nucen, aby vydal škodlivé aktualizace pro libovolnou aplikaci.
