Android 15: Vertrauliches Profil unter GrapheneOS optimal nutzen

Ursprünglich veröffentlicht: https://www.kuketz-blog.de/android-15-vertrauliches-profil-unter-grapheneos-optimal-nutzen/

Mit Android 15 wird die Funktion eingeführt, Apps in einem vollständig isolierten Bereich, getrennt vom restlichen System, zu installieren. Diese Funktion, bekannt als »Private Space« oder »Vertrauliches Profil«, wird von Google als separater Bereich beworben, der vertrauliche Apps vor neugierigen Blicken schützt. Neben dieser Anwendungsmöglichkeit bietet der Private Space jedoch auch aus Datenschutzsicht einen weiteren Vorteil: In diesem Bereich lassen sich alle Apps installieren, die Google Play Services erfordern, wodurch insbesondere Nutzer von GrapheneOS zusätzlichen Mehrwert erhalten. Im Gegensatz zum bisherigen Arbeitsprofil, das eine separate Nutzeranmeldung erforderte, ist der Private Space direkt ins System eingebunden, was die Handhabung deutlich einfacher…

3 „Gefällt mir“

Man könnte fast meinen, dass Google das für uns GrapheneOS-Nutzer implementiert hat. :stuck_out_tongue_winking_eye:

1 „Gefällt mir“

Wäre der Private Space einem (weiteren) Nutzerprofil bei GOS vorzuziehen?
Mein Momentanes Setup sieht so aus:

Pixel 6a (GOS) komplett Googlefrei. Apps ausschließlich über NeoStore.
Pixel 4a (GOS) Congstar, Revolut und Fossil via AuroraStore + Rethink.

Ich hatte mir überlegt die Apps vom Pixel 4a in einem weiteren Nutzerprofil zu installueren sodass ich nur noch das Pixel 6a verwende und das 4a in Ruhestand schicken kann.

Meine Frage: Ist der PrivateSpace ausreichend sicher (Statt eines weiteren Nutzerprofil) um darin die Apps des Pixel 4a laufen zu lassen? Oder sollte ich lieber ein neues Nutzerprofil dafür anlegen?

Was denk ihr ?

1 „Gefällt mir“

Sicherheit in Bezug auf was?

Sicherer in Bezug wirklicher Trennung Private Space und Hauptprofil. Ist es bis auf den geteilten Clipboard genauso wie wenn ich die Apps in einem getrennten Profil installiert hätte?

Das interessiert mich auch - wäre eine gute Ergänzung für Mikes Artikel.

Hallo,

sehr interessanter Artikel. Danke dafür.

Ich habe es bei meinem Pixel 6 Pro mit Graphene OS eingerichtet.
Folgendes Problem ist dabei aufgetreten:
Leider kann ich den Fingerabdrucksensor auf App-Ebene (z.B. beim Öffnen einer Banking App) nicht nutzen. Er scheint gar nicht erkannt zu werden.

Hat noch jemand das gleiche Problem?
Ist das systembedingt so? Oder habe ich etwas falsch konfiguriert?
Danke im voraus

Erster Satz des Artikels:

Mit Android 15 wird die Funktion eingeführt, Apps in einem vollständig isolierten Bereich, getrennt vom restlichen System, zu installieren.

Also, ja. Die Apps sind wirklich vom Hauptprofil getrennt/isoliert.

Ja, der funktioniert nur zum Entsperren des vertraulichen Profils, nicht aber in Apps. Womöglich wird das noch nachgerüstet oder es gibt einen guten Grund für diese Einschränkung.

Leider lassen sich die Google Play Services nicht installieren, da die GServices schon auf dem Gerät installiert sind. Diese lassen sich nur deaktivieren aber nicht deinstallieren und ne Lösung dazu habe ich im Netz leider nicht dazu gefunden…
Liegt wahrscheinlich daran, weil ich schonmal versucht hatte die Google Play Services in einem zweiten Profil zu installieren…

Pixel 8a Android 15 (graphene)

Danke für die schnelle Antwort

Zum Artikel:

Was spricht ggf. dagegen Orbot statt Proton VPN oder Mull VPN zu nutzen. Läuft Google Play dann nicht richtig?

Zum Private Space allg.:

Ich hatte auch erst überlegt, dort Google Play und bestimmte Apps reinzuinstallieren, da ich z.B. 1 App kenne, die Google Play Services vorausetzt (mit Network).

Selbst mit Private Space und ggf VPN scheue ich aber doch davor zurück, weil die App eine aus dem Banking-Bereich ist und ggf per IPC mit Google Play kommuniziert.

Vielleicht nutze ich den Private Space mal, wenn es die App Scopes gibt.

Mein vorläufiges Fazit ist, dass Private Space theoretisch ganz nett ist, ich aber aktuell noch keine konkrete Anwendungsmöglichkeit für mich persönlich sehe.

Aus meiner Erfahrung zwei Dinge:

  • Manche Webseiten blocken Verbindungen aus dem Tor-Netzwerk.

  • Ich hab’s mal getestet: Orbot lief auf meinem Gerät (Pixel 6a + GOS) nicht stabil; ich musste oft neu starten; und dann ist das ganze auch eher langsam.

Ich habe Orbot für den Alltag als untauglich empfunden.

1 „Gefällt mir“

Ich habe meinen Beitrag verschoben.
https://www.kuketz-forum.de/t/frage-zur-nicht-nutzung-der-sandboxed-play-dienste-bei-grapheneos/10081

Also ich kann auch in dem vertraulichen Profil meine Banking-App via Fingerabdruck entsperren.

Das stimmt überwiegend mit ein paar Ausnahmen, die für die meisten Nutzer weniger relevant sein sollten, z.B. GUI- und Clipboard-Isolation. Für die meisten Nutzer wird IPC für Apps am wichtigsten sein, was isoliert ist. GrapheneOS arbeitet übrigens gerade an einer Lösung für die Clipboard-Isolation.

1 „Gefällt mir“

Ja, danke. Mit dem Tor-Browser habe ich das auch schon festgestellt. Dann ist Orbot vielleicht nicht das richtige.

Ich möchte halt ähnlich wie Mike nicht, dass Google meine Heim-IP sieht, wenn ich Aurora oder Play Store nutzen würde.

Evtl. würde es auch schon reichen, per Netguard nur Mobilnetz zuzulassen. Dann würden die Stores (Google) nur die IP vom Mobilnetzbetreiber sehen. Guckt auch mal hier: https://discuss.grapheneos.org/d/15169-on-occasionally-using-google-play-on-cellular-network-without-a-vpn Da gibt es diesbezüglich eine Diskussion.

Bei mir funktioniert es leider nicht (siehe oben).
Hast Du etwas dafür eingestellt?
Welches Smartphone mit welchem Betriebssystem nutzt Du?

@Alle die es schon testen können.
Ist es mit dem vertraulichen Profil auch möglich, eine App jeweils in den beiden Profilen auch parallel laufen zu lassen und sind beide Profile im Stande einen separaten VPN Kanal als Internet Zugang bereit zustellen mit RethinkDNS?

  • Ich nutze GOS zusammen mit Shelter und Rethink DNS

  • Im Hauptprofil läuft Orbot (im Power User Modus) als socks/http und DNS-Proxy.

  • Über Orbot erfolgen also relativ anonym die DNS Anfragen.

  • Ansonsten laufen insgesamt ca. 40 Apps/Dienste wie Aurora-Store, F-Droid, Molly, Krankenkasse, Banking Apps, WetterApp und Systemdienste alle über Orbot. Problemlos.

  • Im Arbeitsprofil läuft die Google Play Sandbox auch mit RethinkDNS und mit Orbot als DNS-Proxy.

  • Hier verwende ich aber zwei verschiedene Wireguard VPN Verbindungen in RethinkDNS mit der „Block connections without VPN“ Option.

  • Browser nutze ich in beiden Profilen, im Arbeitsprofil nur den Vanadium, also auch mit VPN.

  • Im Hauptprofil erstelle ich mit connect bot lokale ssh Verbindungen zu externen Proxys und verwende Proxy Addons in den Browsern.

  • Das Hauptprofil dient also hauptsächlich zur Kommunikation und Rechtsgeschäfte.

  • Im Arbeitsprofil befinden sich die Datenkraken.

  • In beiden Profilen schränke ich jede App ein, die Verbindungen aufbauen möchte nach dem Whitelist Prinzip.

1 „Gefällt mir“

Dank an Mike für die Anleitung zum vertraulichen Profil!
Ich wollte in dieses Profil die App „Mobiles Bezahlen“ verlegen. Nicht zu verwechseln mit der normalen Banking-App der Sparkasse. Die Einrichtung lief erfolgreich, wie erwartet, ab. Leider funktioniert das Bezahlen am Terminal nicht. Warum? Unter NFC-Verbindungen ist die App nicht vorhanden. Keine Ahnung warum.
Unter Android 14 hatte ich die App in einem seperaten Profil laufen. Da klappte alles. Kennt jemand den Grund, warum die App unter NFC nicht verfügbar ist?

Ich nutze GrapheneOS 15 auf einem Pixel 6a.

Mein System ist auf englisch, daher schreibe ich jetzt die englischen Begriffe.

Unter „Settings“ - „Security and privacy“ - „Private space“ - „Private space lock“ habe ich „Use device screen lock“ deaktiviert (weil ich dafür ein eigenes Passwort und nen eigenen Fingerabdruck vergeben möchte) und darunter bei „Private space lock“ habe ich ein Passwort vergeben sowie bei „Fingerprint Unlock“ eben einen eigenen Fingerabdruck hinterlegt.

Das ist jetzt das einzige, was in irgendeiner Weise die Funktionalität gewähleisten könnte. Es funktioniert bei 2 verschiedenen Apps, daher gehe ich davon aus, dass es damit mit allen Apps geht :man_shrugging: