Hi Leute,
nach der Suche nach einem sicheren (mobilen) Betriebssystem, nach LineageOS etc. sind wahrscheinlich viele von euch auch bei GrapheneOS gelandet.
Das Problem bezieht sich auf alle Custom Androids, aber nicht viele werden in Zukunft noch Sicherheitsanforderungen bestehen.
Das Problem: Google schafft sein Sicherheits-Framework “SafetyNet” ab, welches lückenhaft war, jedoch bisher die Nutzung etlicher Apps auch auf Custom Androids möglich gemacht hat (auch wenn das das Vortäuschen eines veralteten Geräts war…)
Ab jetzt werden Apps die “Play Integrity” verwenden, um zu bestimmen, ob dein Gerät sicher ist oder nicht.
Wichtig: Das ist freiwillig. Apps können es einbauen, aber auch andere Checks verwenden.
Und: noch verwenden viele Apps SafetyNet. Jetzt ist der Moment, wo neue Systeme eingebaut werden, jetzt wird Code geschrieben.
Und dieser muss sichere Androids, die nicht von Google verifiziert sind, erlauben!
GrapheneOS verwendet eigene Methoden, welche sicherer sind und auf Hardware-Attestierung basieren. Sie erklären, wie man dies implementieren kann, und so ohne Abhängigkeit von Google die Integrität des Betriebssystems nachweisen kann.
Banken sind in komplexen Abhängigkeitsbeziehungen, viele sind Tochterfirmen anderer Banken. Stellt also sicher, dass eure Bitte an höchster Stelle ankommt! Das ist bei sogenannten “Ökobanken” oft die Volksbank, deren SecureGoPlus z.B. die Atruvia entwickelt.
Verwendet gerne Teile meines Anschreibens, in dem ich meine Bank gebeten habe, GrapheneOS zu unterstützen. Über Verbesserungen freue ich mich natürlich auch.
Gerne können wir eine Liste mit Kontaktwegen zusammentragen. Berichtet bitte eure Ergebnisse im verlinkten Repository.
Text
Sehr geehrte Damen und Herren,
Google hat in Android die Nutzung der “SafetyNet”-Verifikation eingestellt¹, was bedeutet, dass Apps nun auf “Play Integrity” umstellen werden, um die Sicherheit des Gerätes zu attestieren, was dann als Voraussetzung für die Nutzung von Apps verwendet wird.
Dies ist ein großes Problem für die Nutzer*innen von GrapheneOS², einer auf Sicherheit und Privatsphäre optimierten Version von Android. GrapheneOS baut auf dem Code des Android Opensource Project (AOSP) auf, erweitert dessen Sicherheitsfunktionen jedoch drastisch.³
Ohne die zahlreichen Funktionen aufzulisten, ist es somit mindestens so sicher wie “Google certified” Versionen von Android, wobei sie einige erhebliche Sicherheitsfunktionen ergänzen.
Ein Ausschnitt:
- gehärteter Memory Allocator
- Schutz vor Auslesen des Encryption Keys durch auto-reboot
- Verbesserung der App-Sandbox mit weiteren Berechtigungen
- Verbesserung der Nutzung mehrerer Nutzerprofile, welche einen “cold state” (verschlüsselte Daten ohne Schlüssel im RAM) ohne einen Neustart erlauben
- verified & measured Boot mit gesperrtem Bootloader und vollen Sicherheitsfunktionen (deswegen momentan ausschließlich auf Google Pixel Geräten verfügbar)
- Hardware Attestation mit dem Auditor⁴
- Secure App spawning ohne die Verwendung einer Zygote, was die Sicherheit stark erhöht
Ich möchte sicherstellen, dass ich dieses sichere Betriebssystem weiterhin mit ihrer Bank verwenden kann, da für mich Sicherheit kompromisslos ist. Zudem steht sie für mich nicht im Gegensatz zu angemessenem Datenschutz, was GrapheneOS sehr gut demonstriert.
Um GrapheneOS in ihrer Sicherheitsverifizierung zu erlauben, können sie folgende Methode anwenden:
https://grapheneos.org/articles/attestation-compatibility-guide
Ich hoffe sehr, ihre Apps weiterhin verwenden zu können.
Mit freundlichen Grüßen,
Links:
¹ developer.android.com/privacy-and-security/safetynet/deprecation-timeline
⁴ attestation.app
Ok, gut, aber warum sollte ich mir den Mist, den irgendeine Auftragsklitsche für deutsche Banken produziert auch noch fest auf mein Telefon installieren? Reicht das nicht, das im Browser zu haben?
Das Telefon wird auch häufig als zweiter Faktor gebraucht, um Sachen, die du am PC machst zu autorisierten.
Nein, bei vielen Banken ist der Zugriff auf dein Konto nur noch über die APP möglich.
Und das sind Banken, bei denen ich auf keinen Fall Geld lagern würde. Schon weil es absurd und unbequem ist, dass ich Überweisungen nur noch von meinem einen eingerichteten Telefon aus machen kann, aber nicht mehr auf dem Laptop und auch nicht mehr bei jemand anderem am Gerät.
Mag sein, dass ich dann deren Zinsangebot verpasse, aber a) ich hasse es sowieso, Banken zu wechseln, weil Aufwand und b) Freiheit ist auch ein Wert.
Ich, der diese Woche auf GOS gewechselt ist und dafür beim Kauf vom Handy explizit ein Pixel gekauft hat: sigh
deleted by creator
Gibt es eigentlich irgendwelche Fakten, die belegen ob solche Maßnahmen überhaupt der Sicherheit von Banking-Apps und E-Roller-Verleihern dienen? (Oder wer das einsetzt?) Bei Pokemon Go kann ich mir das vorstellen, das hält bestimmt ein paar Kinder davon ab ihren Standort zu fälschen. Aber für mich fühlt sich das eher wie Gängelei an und die Umgehungsmaßnahmen waren bisher nicht sonderlich schwierig. Jemand mit krimineller Energie bekommt das sicherlich auch hin. Ich bin leider kein Android-Entwickler und habe wenig Ahnung von den ganzen Frameworks… Aber dient das wirklich der Sicherheit? Oder hält es nur freiheitsliebende Menschen und die sich um ihre Privatsphäre kümmern, von der Nutzung ab?
Hab das rausgelassen weil es zu viel wäre.
Banken sind ULTRA komisch. Das ist nicht “wir verwenden ausschließlich GrapheneOS weil sicher”, sondern “wir verwenden Windows und wenn was ist verklagen wir Microsoft”.
Man kauft sich Sicherheit ein.
Im Fall von PokemonGo etc ist das einfach “alle Karten ausspielen”. Wirklich kritisch ist es halt erst bei wichtigen Sachen.
Man bekommt die Apps ja nicht mal ohne Google. Aurorastore als Stützbein für kritische Infrastruktur???
Mobilsicher.de macht da tolle Arbeit, sie veröffentlichen APKs von solchen Apps in ihrem Repository. Viele haben aber auch aktiv abgesagt, verstehe das wer will.
Hatte mal ein nettes Telefonat mit der GLS, die können basically nix selber machen sondern sind nur Huckepack auf der Volksbank. Die lagern ihre Sicherheit zu dieser Atruvia aus, die blockiert VPNs, yay.
Banken sind abhängig von ihrer Lizenz. Wenn die eine BaFin-Prüfung im Haus haben, ist das richtiger Stress für die, weil eben die Lizenz davon abhängt. Und da man sich nie wirklich sicher sein kann, was von den Prüfern akzeptiert wird, lagert man halt Sicherheit auch gerne aus.
Banken geht es um Supportfähigkeit, alles was nicht Standard ist wird als unerwünscht eingestuft. Da gehts sicher auch darum keine Flanken aufzumachen falls „mal was ist“ - auch wenn ein aktuelles Graphene sicher deutlich besser ist als ein seit Jahren ungepatchtes Android 10 von Samsung.
Ich würd das so formulieren, dass Compliance für Banken wichtiger ist als Security. Hauptsache alle Regeln sind befolgt, alle Checklisten abgehackt, dann wird das schon passen.
Du sagst es. Der Bank geht’s weniger darum, dass nix passiert, als nicht dafür haftbar gemacht werden zu können, wenn (nicht falls!) was passiert. Quelle: >10Jahre in der Hochfinanz mit guten Freunden in führendej Positionen auch in Compliance-Abteilungen…
