Hallo zusammen, ich habe es geschafft, Graphene auf mein neues pixel zu laden
Ich hatte schon bisher ein google freies (?) vollaphone und frage mich jetzt, da ich die Chance habe, den „Anfängen zu wehren“ - nämlich für google und Konsorten unsichtbar zu sein - wie ich am besten Apps installieren soll:
Klar ist: wenn auf F-Droid vorhanden (selten genug), dann von dort. Aber was, wenn nicht? Alles über APK?
Ich war bisher im Aurora-Store - wäre das kontraproduktiv, hier weiterhin Apps zu beziehen? Der ist ja irgendwie (?) nicht direkt mit dem play store verbunden - aber reicht das? (Entschuldigt bitte meine laienhafte Ausdrucksweise…)
Mir ist überhaupt nicht klar, wie sich APK- vs. Aurora Store-Installationen bzgl. Sicherheit vor Tracking etc. verhalten.
Noch eine Frage: Soll ich zB von F-Droid Telegram FOSS oder Telegram über APK herunterladen? Und weiß jemand, ob das Foss durchgängig zum APK Telegram ist - das ich auf dem vollaphone drauf habe? Meine Freunde lynchen mich, wenn sie jetzt wegen mir schon wieder umziehen sollen, zB auf Elements
ich schließe mich der Frage an. Auch ich habe vor kurzem mein Pixel mit Graphene OS bespielt, aber jedoch bereits eine eigene Recherche betrieben, die wahrscheinlich nicht komplett fehlerfrei und etwas enttäuschend ist.
Einen sehr guten ersten Überblick gibt meiner Meinung nach dieses Youtube-Video (auf Englisch): https://www.youtube.com/watch?v=JMSiTFLpUP8
Das bisheriges Fazit aus meiner eigenen Recherche werde ich nun im Folgendem schreiben. Bitte korrigiert mich, wenn etwas nicht stimmen sollte, und gebt auch mir mehr Informationen.
Für Apps, die nicht frei, also nicht opensource sind, gibt es nur zwei Möglichkeiten:
Die „sandboxed Google Play Services“, die Graphene OS selbst über die vorinstallierte „apps“-App zum runterladen anbietet. Das sei wohl laut GrapheneOS zumindest zurzeit und nur bezüglich der Sicherheit (Sicherheit und Datenschutz/Privatsphäre sind nicht das gleiche) das beste. Aus der Privatsphärensicht ist hier jedoch zu beklagen, dass man dafür nunmal einen Google Account braucht. Zudem werden da, selbst wenn es möglich wäre einen Wegwerf-Google-Account zu erstellen (meist nicht möglich, weil Google bei solchen Versuchen oft eine SMS-Verifizierung beim Konto will), trotzdem wohl ein paar Nutzungsdaten ständig an Google gesendet.
Aurora Store. Man braucht keinen Google-Account. Allerdings sei der Aurora Store laut Graphene OS bezüglich der Sicherheit wohl zumindest leicht fragwürdig/verbesserungswürdig bezw. nicht so sicher wie der Google Playstore. Wird aber trotzdem oft als Möglichkeit genannt.
Will man also mehr Sicherheit oder mehr Privatspähre/Datenschutz? Beides geht wohl im Moment anscheinend nicht bei unfreien, also nicht-opensource-apps.
Bei opensource-apps sieht es da wohl etwas anders aus. Es gibt hier folgende Möglichkeiten:
Auch hier die „sandboxed Google Play Services“ von GrapheneOS, sofern die jeweiligen Apps über den Google Playstore angeboten werden.
Fdroid. Das wird aber, wenn ich mich richtig erinnere, nicht von GrapheneOS empfohlen oder zumindest nicht priorisiert. Das Problem sei wohl, dass die Apps dort nicht mit dem selben Schlüssel wie vom Originalentwickler der jeweiligen App signiert sind, womit man wohl schlecht festellen kann, ob man auch wirklich die App erhalten hat, die der Entwickler gemacht hat. Sicherheitsbehörden könnten beim F-droid-Team einen Agenten einschleusen, also rein theoretisch natürlich. Das wäre für die auch viel einfacher als jeden Entwickler einzeln „dazu zu bringen“ den Sicherheitsbehörden zu helfen. Zudem sei der Standard-Fdroid-Client wohl nicht gerade sicher. Selbst wenn man also das Fdroid-App-Lager benutzen will, seien anscheinend alternative Fdroid-Clients besser, wie z.B. der Neostore-Fdroid-Client.
Man lädt sich die apk direkt beim Entwickler, was aber meistens dann Github ist und wodurch man also Microsoft vertrauen muss, da Github schon länger Microsoft gehört. Wenigstens gibt es bereits ein Programm, Obtainium, das einen automatisch über eine neue Version informiert und die apk von z.B. Github runterlädt, sodass man nicht jeden Tag auf Github oder ähnliche Webseiten gehen und manuell überprüfen muss, ob es bereits eine Aktualisierung für seine Wunsch-App gibt. Für diese Komfortleistung muss man nun aber nicht nur z.B. Github, sondern auch noch zusätzlich den Entwicklern von Obtainium vertrauen. Eigentlich auch nicht gerade toll.
Ich persönlich tendiere im Moment dazu, mir Obtainium für die freien opensource Apps zu laden und dann darüber vielleicht den Aurora-Store, der mir dann Zugriff auch auf nicht-freien Apps gibt. Allerdings fällt mir gerade garkeine unfreie App ein, die ich benutze…weshalb ich also den Aurora-Store wahrscheinlich erst über Obtainium laden werde, wenn ich eine App von dort brauche. Also vielleicht nie
Es gibt zwar noch den von GrapheneOS selbst entwickelten Appstore „Accrescent“, den man zwar auch schon herunterladen und benutzen kann, allerdings ist der wohl noch in der Beta-Phase und hat zudem auch noch nur sehr wenige Apps zur Auswahl. Ich persönlich möchte keine Beta-Sachen auf meinem Telefon haben. Aber das kann ja jeder für sich selber entscheiden.
Wie gesagt, diese Zusammenfassung meiner Recherche ist wahrscheinlich nicht fehlerfrei und es fehlt vielleicht noch das eine oder andere. Daher würde auch ich mich über mehr Infos zu diesem Problem freuen.
habe ich folgende Informationen, die sich an Entwickler von Android-Apps richten, auf den Seiten von F-Droid gefunden:
Can APKs signed by my key be included?
Yes, for reproducible builds F-Droid will include your signed APKs in the official F-Droid repo after they were verified as being so. If this fails (e.g. your app can’t be built in a reproducible way or when you want to distribute an app with closed-source components or API keys etc.), you can put any APK in your own “F-Droid binary repo”, and people can add your repo to their F-Droid client in order to get your APKs.
Hier noch Infos zum F-Droid-Store dahingehend, wie sichergestellt werden kann, dass die App für den F-Droid-Store mit den richtigen Schlüsseln signiert worden ist:
Danke an Trekker und Senf - ich wußte nicht, dass man für den sandboxed playstore auch ein playstore Konto benötigt - wozu also die sandbox?
Link schau ich mir an…
Das mit Obtainium werde ich versuchen, danke.
Ich bin der englischen Sprache zwar mächtig, verstehe das mit dem signed key trotzdem nicht:
Blockzitat > ### Can APKs signed by my key be included?
Yes, for reproducible builds F-Droid will include your signed APKs in the official F-Droid repo after they were verified as being so. If this fails (e.g. your app can’t be built in a reproducible way or when you want to distribute an app with closed-source components or API keys etc.), you can put any APK in your own “F-Droid binary repo”, and people can add your repo to their F-Droid client in order to get your APKs.
Blockzitat
Ich frage mich, ob sich Graphene wirklich lohnt - ich hab noch ein paar andere Probleme, werde die aber in einem gesonderten thread posten… Jedenfalls: Danke und schönen Abend - werde posten, falls ich noch was finde…
Was soll denn das heißen? Ich habe ein Problem festgestellt und will das lösen, und am besten nicht nur für mich. Dass meine Recherche möglicherweise Fehler enthält und nicht vollständig ist, wurde in meinem Beitrag erwähnt.
Zudem sind nicht alle hier, die etwas im Forum schreiben, Entwickler oder haben auf andere Weise beruflich mit Informatik zu tun.
Ich habe als interessierter Laie meine eigene Recherche betrieben und öfter gelesen, dass es bei Fdroid nicht nur das Problem mit dem nicht von den eigentlichen Entwicklern signierten Schlüssel bei den Programmen gäbe, sondern dass auch der Standard-Fdroid-Client nicht wirklich sicher sein soll, sowie dass die Entwickler (von Fdroid) statt diese Kritik anzunehmen, eher um sich schlagen, was allgemein ein schlechtes Zeichen für das Thema Fdroid ist.
Allerdings waren diese Beiträge, die ich gelesen habe, teilweise 1-2 Jahre alt, wenn ich mich richtig erinnere. Insofern hat sich vielleicht bereits einiges verbessert.
Und @Senf, es wäre super, wenn du deine Beiträge so schreibst, dass zumindest interessierte Laien es verstehen. Nicht jeder im Forum ist Entwickler oder hat auf andere Weise beruflich mit Informatik zu tun. Zudem ist ja das Ziel des Kuketz-Blogs, das jeweilige Wissen auch Laien näherzubringen und nicht nur IT-Profis.
Insofern stimmt es irgendwie schon, was du schreibst, wenn ich mir deinen Beitrag anschaue:
„Manchmal denke ich mir: Welche wahren Intententionen haben hier in diesem Forum so manche Schreiberlinge?“
Hallo Rudolf -
welches OS hast du denn? Graphene oder e/OS oder sowas? Weil auf normalen phones kann man oft ohne google Konto gar nicht online gehn
Frag mich jetzt nicht, was genau APK technisch bedeutet.
Nehme an, ich meinte eh das, was du als apkmirror bezeichnest…? Dh folgende Erläuterung ist für dich wohl unnötig, schreibe aber doch, evtl. für andere:
Es ist eine Alternative, eine App außerhalb eines App Stores zu bekommen. Alle google-play store Apps bekommt man meines Wissens auch über APK - also zB Eingabe „Telegram APK download“ - dann kommt man auf die APK Seite. Man kann APK Pure als App runterladen und das dürfte wohl ein Installationsportal sein. Dort sucht man die gewünschte App und kann dann wählen, ob man über APK Pure oder einfach über APK downloaden will.
Updates mach ich meistens händisch, dh schau gelegentlich nach, ob es solche gibt - meist bringen sie eh eine Verschlechterung für den user, von den Sicherheitslücken, die geschlossen werden sollen, mal abgesehen
F-Droid schön und gut - aber 90% der Apps, die ich gerne hätte, finde ich dort nicht. Zudem ist die Suchfunktion dort sehr starr, dh man bekommt oft keine Vorschläge für adäquate Apps… ich komm damit jedenfalls nicht aus…
Und ja, ich hab am laptop auch Linux mint und es keinen Tag bereut - das Windows Gedöns hab ich nach XP abgelegt…
Danke fürs feedback und gute Nacht!
Wie soll ich’s sagen: Meine erstes Smartphone war ein Fairphone 1, das ohne Google Play Dienste ausgeliefert wurde; das nächste war ein Fairphone 2, auf das ich LineageOS installiert hatte; mein aktuelles ist ein Pixel 6a mit GrapheneOS: Noch nie in meinem Leben hatte ich einen Google Account; den braucht man einfach nicht, solange man auf den Google Play Store verzichtet. Aurora ist eine Möglichkeit, um trotzdem an Apps aus dem G Play Store zu kommen.
Meine App-Quellen sind genau die, die @Rudolf schon erwähnt hat:
„Hersteller“ könnte auch direkt vom Entwickler über seine github-Seite sein.
Sorry, aber …
Such Dir lieber seriöse Quellen, wie z.B. den Kuketz-Blog.
Heute Originale vom Hersteller, mit anderer Oberfläche (Trebuchet), Firewall (Netguard) und vielen deinstallierten oder deaktivierten Originalapps. Früher auch Lineage, Cyanogenmod und auch selbstgestrickte Roms. Und niemals (seit über 10 Jahren) mit Google Konto.
Jedes mir bekannte Android Gerät geht ohne Google Konto online und Funktioniert auch ohne.
Alle Apps sind vom Dateityp .apk. Immer wenn du eine App installierst, wie auch immer, ist es eine .apk. Daher war deine Frage unklar. Was du wissen musst ist woher du diese bekommst. Woher ich meine bekomme das sagte ich ja schon.
Stimmt natürlich.
Bei „Hersteller“ denke ich eher an Autohersteller, Maschinenbauer, Spielzeugproduzenten usw.; im Zusammenhang mit Software finde ich den Begriff eher ungewohnt, auch wenn er richtig ist…
Was soll denn auch noch dieser Kinderquatsch jetzt? Hast du Belege, dass dies auf keinen Fall möglich ist? Dann gerne her damit. Ansonsten gilt wie immer: Wenn Sicherheitsbehörden etwas wollen und es ist technisch/praktisch umsetzbar, dann werden die das auch machen.
F-Droid: Was ich in F-Droid finde, beziehe ich von dort. Das ist im Regelfall die datenschutzfreundlichste Option mit Autoupdate-Funktion.*
APK vom Entwickler: Apps mit integriertem Updater (Signal, FairEmail) beziehe ich direkt als APK von der Webseite des Entwicklers.**
Aurora Store: Apps, die nur über den Google Play Store zu beziehen sind, installiere ich über Aurora (was nach meinem Verständnis letztlich nur ein Frontend für den Google Play Store ist).*** Nutze ich nur auf meinem Zweithandy, auf mein Primärhandy mit GOS kommen mir keine Apps aus dem Google Play Store.
* Dass die IT-Sicherheit bei F-Droid nicht an erster Stelle steht, ist mir bekannt - mit den Details habe ich mich aber zugegebenermaßen nicht auseinandergesetzt. Insgesamt ist F-Droid aber der vertrauenswürdigste „Massen-Open Source-App-Store“, den es derzeit gibt. Die Vorteile eines alternativen Frontends sind umstritten - keine Einschätzung meinerseits dazu. Dass die Apps bei F-Droid von den F-Droid signiert werden, ist ein klar kommuniziertes zusätzliches Sicherheitsfeature - mit Vor- und Nachteilen. Die Entscheidung dafür ist eine konzeptionelle Frage und führt hier zu weit.
** Weil die Frage aufgeworfen wurde, was „APK“ eigentlich bedeutet: APK ist das Dateiformat für Android-Apps, so wie EXE für Windows-Programme oder DEB für Debian-Pakete (stark vereinfacht dargestellt). „APK“ ist also kein Installationsweg - jede App kommt als APK. Gemeint ist hier in der Regel, dass man die App nicht über einen Appstore installiert, sondern das einzelne App-Paket („Meine-App.apk“) irgendwo herunterlädt. Da hier keine weitere Authentifizierung stattfindet, muss man die Seriosität seiner Quelle selbst beurteilen. Auf der Webseite des Entwicklers ist die grundsätzlich gegeben, bei allen anderen Quellen zumindest fraglich.
*** Man spart sich im Wesentlichen zwei Dinge: 1) Den Betrieb des datensammelnden Google Play Store. 2) Die Anlage eines Google-Accounts. Die installierten Apps selbst sind genauso vertrauenswürdig oder nicht vertrauenswürdig wie wenn man sie aus dem Google Play Store installiert - es sind halt die selben Apps.
Ganz generell ist zu sagen: Die Verwendung eines Apps-Stores oder einer sonstigen Bezugsquelle abseits der offiziellen Webseite des Entwicklers holt immer eine zusätzliche Partei mit ins Boot, der man (zusätzlich zu dem Entwickler der App!) vertrauen muss. Bei F-Droid ist es das F-Droid-Team, beim Google-Play Store ist es Google, beim Aurora Store sind es sowohl dessen Betreiber als auch Google, bei einem Download von GitHub ist es Microsoft. Diese Partei kann den Entwicklern auf die Finger schauen (das F-Droid-Team tut das aktiv und auch hinsichtlich nicht dokumentierter Datenübermittlungen, Google und Microsoft scannen zumindest automatisiert (mehr weniger zuverlässig) auf Schadsoftware); diese Partei kann aber theoretisch immer auch die Pakete ohne Wissen und Mitwirken des Entwicklers manipulieren, neu signieren und dezidiert an bestimmte Nutzer oder Nutzergruppen ausliefern. Bei Appstores mit Updatefunktion (Standardfall, ein Store ohne ist relativ sinnlos) hat der Betreiber des Stores defakto obendrein noch eine Kill-Switch-Funktion für die darüber installierten Apps (wie das Privacy Handbuch schon vor Jahren angemerkt hat).
Was genau soll das bringen? Soll ich jedes mal und bei jedem Programm das einzeln prüfen, dass es so ist und nicht mit der Zeit vielleicht doch geändert wurde? Bei dem Aufwand kann ich auch gleich einfach die „originale“ apk vom eigentlichen Entwickler runterladen.
Was mir hier noch keiner gesagt hat:
Was genau ist der Vorteil für den FDroid-Nutzer, dass Fdroid die Pakete/Programme mit ihren eigenen Schlüsseln signieren statt mit dem eigentlichen Schlüssel des originalen/eigentlichen Entwicklers? Genau, es gibt keinen guten.
Der Nachteil ist aber offensichtlich: Ein sehr wichtiger Teil der Kontrolle wird bei Fdroid zentralisiert. Bad actors wie unter anderem Sicherheitsbehörden haben hier ein leichtes Spiel, da sie nur eine einzige Stelle kompromittieren müssen statt tausende Entwickler einzeln.
Vielleicht hat F-Droid die App modifiziert, z.B. Tracker entfernt oder Google-Dienste entfernt.
Dann muss es mit dem eigenen Schlüssel signieren.
Wenn ich App-Entwickler wäre, würde ich meinen Signierschlüssel jedenfalls nicht rausrücken, auch nicht an F-Droid.
„I can’t recommend F-Droid at this point, but if you insist on using it, at least use a relatively modern F-Droid client to interact with the F-Droid repo like Neo Store or Droid-ify.“
„All you get from F-Droid is knowing that the developer adding a closed source third party library will likely get detected and the app won’t get updated, but in exchange you’re trusting people to build/sign the apps who have shown consistent untrustworthy behavior. You’re also getting significantly delayed updated in many cases.“
Fazit: Das waren nur kurz drei Beispiele. Es gibt sicherlich noch mehr da draußen. Ich würde Fdroid lieber meiden.
Ausgerechnet der super sichere Google Appstore sorgt(e?) ja dafür, dass Signierschlüssel nicht mehr unbedingt nur in der Hand der Entwickler liegen, und damit gleichzeitig das ganze Prinzip für den Müll ist, solange du keine Versicherung vom Entwickler hast, dass er diesen sicher bei sich behielt(!): Golem.de: Google möchte die Signierschlüssel der App-Entwickler
Dazu wird die App und jedes Update ausgerechnet von Google verteilt. Die, die dann deinen Signingkey haben.
F-Droid bietet ja auch an, dass du den eigenen Key verwendest, musst dann aber die (technischen) Vorraussetzungen dafür erfüllen. Ich sehe da das Problem weniger bei F-Droid, als bei den ursprünglichen Entwicklern.
Muss man sich nur mal vorstellen, den Play Store für eine gute Bezugsquelle zu halten. Wo dein Appdownload an einen Google Account gebunden ist, und man dir viel leichter gezielt etwas unterschieben kann. Und Aktualisierungen nicht gleich für alle zur selben Zeit zur Verfügung stehen.
Bei F-Droid oder Github kannst du wenigstens die App anonym runterladen, und dir ziemlich sicher sein, dass jedes Gerät kompromittiert ist, und so ein Angriff schneller auffällt.
Inzwischen gibt es den F-Droid Basic Client. Der ist moderner, und wird mit neueren API-Target kompiliert. Aber klar, NeoStore und co. sind auch nett. Halte Ich für keinen validen Punkt warum das F-Droid Repo schlecht wäre.
Der andere Punkt stimmt, und Punkt 3, der „trust-tradeoff“ ist Ansichtssache, solang es keine Quelle für die zweite Hälfte des Fettgedruckten gibt.
Es ist kein Vorteil, sondern technisch bedingt: Derjenige der eine App „baut“ (also aus dem Quellcode eine installierbare apk erstellt) muss diese signieren:
Im Play Store signiert der Entwickler die App, bevor sie hochgeladen wird.
Bei F-Droid signiert logischerweise F-Droid die App, weil F-Droid die App aus dem Quellcode baut.
Wie @nudel schon schrieb, entfernt F-Droid z.B. Tracker und muss daher logischerweise die App aus dem Quellcode heraus bauen. Das Dilemma mit xz-utils hat ja schön gezeigt, dass es vielleicht gar nicht so schlecht ist jemanden zu haben, der eine Anwendung aus dem Quellcode heraus baut. Bei den Apps im Google Play Store gibt es nämlich keine Verbindung zwischen Quellcode und App.
Nein. Alleine aus Zeitgründen sollte man das nicht machen. Man macht es ja woanders auch nicht.
Der entscheidende Unterschied ist, dass man es hier jederzeit prüfen kann!
Weiterhin kann man sich das selbst bauen, zuvor verändern und hierbei auch für sich selbst anpassen.
Es macht wenig Sinn, Äpfel mit Birnen zu vergleichen.
Ich bin nicht sicher, ob ich verstehe, was du mit „durchgängig“ meinst, kompatibel?
Ich kann dir nur sagen, dass ich mit meinem Telegram-FOSS aus F-droid mit Kontakten kommuniziere, die das normale Telegram haben. Deine Kontakte sollten das nicht merken.
Ja, ja, Google will dem App-Entwickler freundlicherweise diese komplizierte Signiererei abnehmen. Das nennt man dann Komfort.
