谷歌 reCAPTCHA 移动验证将 Play Integrity API 引入桌面端，或加剧行业垄断？

转载于 2026-05-15 17:07:55 发布 · 11 阅读

访问 [GrapheneOS 讨论论坛](https://discuss.grapheneos.org) 时正在加载，建议使用启用 JavaScript 的现代浏览器浏览本网站。若加载网站完整版出现问题，可尝试强制刷新页面解决错误。

苹果和谷歌正扩大基于硬件的认证技术应用范围，说服更多服务采用。谷歌的 Play Integrity API 和苹果的 App Attest API 相似，苹果通过 Privacy Pass 将硬件认证引入网络，谷歌也有此打算。

谷歌的 Play Integrity API 在强完整性级别要求硬件认证，且逐步要求在常用的设备完整性级别也使用。从长远看，这会排除硬件和操作系统领域的竞争对手。

这些系统目的是禁止用户使用未获苹果或谷歌认可的硬件和软件，却被包装成安全功能。银行和政府服务是主要采用者，苹果和谷歌鼓励所有服务使用。

苹果的 Privacy Pass 引入网络硬件认证帮助自家硬件通过验证码验证，虽很多人认为危害不大，但苹果和谷歌都可能将更广泛的硬件认证引入网络。

谷歌的 reCAPTCHA 计划采用新方式：在苹果硬件上用 Privacy Pass，在搭载谷歌移动服务的安卓设备上用自家方案，在 Windows 及其他系统上通过二维码扫描系统，要求使用 iOS 或经过谷歌认证的安卓设备。

银行和政府服务要求使用移动应用，利用认证技术强制用户使用苹果或谷歌认可的设备和操作系统。苹果的 Privacy Pass、谷歌“取消”的 Web Environment Integrity 以及 reCAPTCHA 移动验证，都在将这种方式引入网络。

目前媒体对 reCAPTCHA 移动验证报道存在误解，它将硬件认证要求扩展到 Windows、桌面 Linux、OpenBSD 等系统，未来可能进一步扩大范围。

谷歌通过对 reCAPTCHA 的控制，能要求用户使用 iOS 或经过认证的安卓设备访问大量网站，其为安卓设备定义的认证要求具有反竞争性。

谷歌的 Play Integrity API 禁止使用 GrapheneOS 等替代系统，即使是基于 FreeBSD 的移动操作系统也受限制。该 API 允许使用 10 年未更新安全补丁的设备，设备完整性级别可被欺骗绕过，强完整性级别需获取泄露的密钥才能绕过。

该 API 未提供真正有用的安全功能，却能排除竞争对手，要求使用苹果 App Attest 或谷歌 Play Integrity 的服务，助其在移动设备领域形成双头垄断，因 AOSP 开源，Play Integrity 的影响更显著。

各国政府要求在自身和商业服务中使用苹果的 App Attest 和谷歌的 Play Integrity，欧盟在数字支付等方面带头提出要求，许多欧盟政府应用都有此要求。政府不仅未阻止，还参与排除竞争对手，要求使用苹果设备或谷歌认证的安卓设备是反竞争行为。

目前，reCAPTCHA 移动验证可在 GrapheneOS 上的沙盒化谷歌 Play 中使用，它为无硬件认证的系统启用硬件认证提供途径，无 iOS 或安卓设备的用户会被拒之门外。

这与安全或功能缺失无关，GrapheneOS 可通过硬件认证，但谷歌禁止其在 Play Integrity 中使用，原因是未获谷歌移动服务许可，未遵守反竞争规则。服务不应禁止用户使用任意硬件和操作系统，谷歌以安全为借口站不住脚，只是为巩固垄断地位。

统一认证是多个欧洲公司推动的反竞争系统，比安卓更开放的硬件认证 API 还糟糕。

raccoondad 认为 GrapheneOS 本可采用工作量证明等方法增加请求成本。

W1zardK1ng 询问针对谷歌禁止替代操作系统的诉讼进展，以及即将推出的搭载 GrapheneOS 的摩托罗拉手机能否用摩托罗拉手机操作系统的密钥绕过问题。

gristle-cause 认为这像是欧盟打击的反竞争行为。

Hat 指出谷歌在美国 2020 - 2024 年间游说支出增长一倍多，排名第三，在欧洲排名第二十，雇佣 29 名兼职游说者，并说明了谷歌的使命和主要针对的欧盟事务。

00046755 提议向竞争局正式投诉。

jeeringsequel 称 2024 年与欧盟委员会讨论 Play Integrity 后情况更糟，现在欧盟支持完整性认证和统一认证。

GrapheneOS 澄清统一认证由 Volla 开发，由其及商业伙伴推动。

de0u 认为摩托罗拉大概率不会为 GrapheneOS 版本签名，运行摩托罗拉 OEM 版 AOSP 的设备可通过 Play Integrity 认证，运行 GrapheneOS 的则无法通过。还提到诉讼通常需五年以上才有实际效果。

not-a-rola 认为不应试图绕过规则，而应拒绝遵守，远离这些服务，并引用 Reddit 上的话说明不应将硬件认证行为常态化。

W1zardK1ng 再次询问诉讼进展及使用摩托罗拉密钥的可能性。

gristle-cause 询问 reCAPTCHA 替代方案，Dumdum 推荐 Anubis 和 Cap，Panda-na 提到 Proton 在 2023 年开发了自己的验证码系统。