Soweit ich das richtig verstanden habe, werden Custom ROMs bald ein dickes Problem mit der neuen Play Integrity API von Google bekommen.
Wenn das Betriebssystem laut Google dann „nicht zertifiziert“ ist (GrapheneOS ist es nicht) und eine App von der neuen API abhängt, wird der App-Start verweigert. Nach meinem Stand überlegen die GrapheneOS-Entwickler dagegen Klage einreichen - bleibt zu hoffen, dass die auch Erfolg hat, oder jemand einen Workaround findet.
Basically, Play Integrity is supposed to be a way for apps to verify they haven’t been tampered with, and that they’re running on a legitimate, trusted platform.
But even when custom ROM projects are well-respected and take security seriously, as is the case with Graphene OS, Google has been clear that it’s just not interested in finding a way to make Play Integrity work with them.
Over on Mastodon, the Graphene OS team has been pointing out all the problems with Google’s approach and is not mincing words about it: “Play Integrity API is based on lies.”
Where do custom ROMs go from here? To hear the Graphene OS team talk about it, that answer might be “the courtroom”:
Google can either permit GrapheneOS in the Play Integrity API in the near future via the approach documented at https://grapheneos.org/articles/attestation-compatibility-guide or we’ll be taking legal action against them and their partners. We’ve started the process of talking to regulators and they’re interested.
Da sollte man sich mal bei der EU beschweren, Digital Markets Act und so. Wettbewerbswidriges Verhalten.
Mit „Sicherheit“ hat das ganze nämlich auch nichts zu tun, sondern nur damit ob man auch schön brav ein originales Google-Android mit allen Google-Apps vorinstalliert hat - denn das ist die Voraussetzung, um zertifiziert zu werden. Ginge es um Sicherheit, dürften uralte Android-Versionen, die seit Jahren keine Sicherheitsupdates mehr erhalten haben, ja auch keine „STRONG_INTEGRITY“ erhalten.
Ganz genau. „Sicherheit“ ist nur als Vorwand zu verstehen, um App-Anbieter ins Boot zu holen und die Nutzer damit im Google-Ökosystem einzusperren. Für mich ist das ein klassischer Fall von Wettbewerbsverzerrung und Ausnutzung eines Monopols.
Ich sehe das insbesondere kritisch für Banken-, Versicherungsapps und andere sensible Anwendungen. Deren Anbieter wollen naturgemäß die größtmögliche Sicherheit für Nutzer bieten und sind ws. geneigt, auf diese Marketing-Sprüche reinzufallen, statt ihre App für wirklich sichere Systeme wie GrapheneOS/Pixel zu öffnen.
Das wird die Aktionäre wenig interessieren . Ich würde da eher auf Gerichte und Kartellämter setzen. Allerdings scheinen letztere auch eher überfordert zu sein…
Mal angeommen, dass Banking-Apps & Co. in Zukunft nur noch auf einem Original Android-Betriebssystem genutzt werden können, wäre folgende Alternative denkbar:
Eine einfache Möglichkeit wäre es, ein Standard-Android-Smartphone nur für die wenigen problematischen Nutzungen per VPN umzuleiten.
Das ist natürlich mit zusätzlichen Kosten und Aufwand verbunden.
Ich würde sowieso kein Banking über eine App machen. Und wenn meine Bank nichts ausser einer App anbietet, dann wechsel ich. Eine Bank die nicht zumindest mit einem Tangenerator funktioniert ist nicht akzeptabel.
Ja, ich eigentlich auch nicht. Die Tendenz von einigen Banken ist halt, dass Apps für manche Dinge zwingend erforderlich sind/werden, z.B. für das push-TAN-Verfahren.
Absolut legitim. Außerdem lernt man am besten durch Abgang von Kunden. Allerdings könnte ich mir vorstellen, dass viele Kunden deswegen nicht gleich die Bank wechseln, und dennoch möglichst datensparsam unterwegs sein wollen. Dieser Widerspruch kommt ja gerade erst durch den Appzwang zustande und, dass die Bankenapps sich ihrerseits von der Google-„Zertifizierung“ abhängig machen.
Habe ich das richtig verstanden, dass vermutlich ab Januar 2025 viele Apps aus dem Playstore mit GrapheneOS nicht mehr laufen? Bis jetzt laufen da ja die wichtigsten Apps im shelter.
Nein. Den Schluss würde ich nicht ziehen. Vereinzelt kann es aber die ein oder andere App geben bei der das so ist. Das betrifft übrigens alle Custom OSe, nicht nur GrapheneOS, sowie anderweitig modifizierte Systeme (z.B. gerootet)
Na gut. Diejenigen Apps, die jetzt schon nicht laufen, wird es ganz sicher treffen. Wenn es bei diesen bleibt, ist das absolut verkraftbar. Auch wenn Banking-Apps auf dem Smartphone nicht so sicher sind, habe ich damit einen besseren Überblick. Die DKB-App funktionierte mit GrapheneOS bislang. Da kann man wahrscheinlich nur abwarten.
Welche Aussichten die Entwickler hinter GrapheneOS und ähnlichen Projekten vor Gericht haben, kann man schwer einschätzen. Diese Option bleibt zumindest auch noch.
Ich bin mir nicht sicher, ob GrapheneOS in der Lage sein wird, rechtzeitig zu reagieren. Solche Dinge brauchen viel Zeit vor Gericht und bis dahin werden viele Leute bereits abwandern, wenn ihre wichtigen Apps betroffen sind.
Louis Rossmann hätte gerne helfen können, wenn die Devs ihn nicht weggeschoben hätten…
Das Ungünstige dabei ist, dass man erst dann sieht, was noch geht und was nicht. Bei meinem Pixel 7a gäbe es noch eine aktuelle Original-Firmware, aber das wollte ich ja eben nicht. Wenn es jedoch zu viele Apps sind, die nicht mehr laufen, wäre das schon übel. Damit hatte ich nicht gerechnet. Wenn das auf einmal passiert, steht man erstmal da.
Na, man wird sehen, ob in der Zeit mehr Details dazu veröffentlicht werden.
GrapheneOS ist doch jetzt schon mit entsprechenden Stellen in Kontakt um etwas zu bewirken. Das Gute ist, dass sie nicht selbst dagegen vorgehen müssen, sondern nur die entsprechenden Stellen dazu bewegen. Die USA und die EU sehen die Monopol-Stellung von Google&Co zunehmend kritisch und gehen immer stärker dagegen vor, von daher könnte es hier gute Chancen geben.
Laut Doku prüft die API in verschiedenen Stufen, ob eine App auf einem authentischen, Google-zertifizierten Android-Gerät ausgeführt wird. Denke nicht, das man Google dazu zwingen kann ihre Voraussetzungen für ein Google-zertifiziertes Gerät anzupassen sonst könnte man das ja auch mit anderen Zertifizierungen machen. Android funktioniert auch wunderbar ohne Google Dienste und die CustomROM-Nische ist zu unbedeutend. Hab grad mal nachgesehen: Hab nur eine Hand voll Apps aus dem Playstore und wenn die Hälfte davon die höchste Stufe prüft und den Dienst verweigert dann kann ich damit leben.
Es klingt für mich überraschend, dass selbst die USA dies kritisch sehen. Ich frage mich dennoch, wie viele Apps bzw. Firmen dann diese höchste Stufe prüfen werden, wenn sie es jetzt noch nicht selbst tun. Ich weiß es nur von der DeutschlandCard. Diese App wird gar nicht erst im PlayStore angezeigt, funktioniert aber mit APK-Installation. Die Payback-App ist herunterladbar, funktioniert jedoch nicht. Die prüfen das ja jetzt auch schon. Wir können nur hoffen, dass es weitgehend dabei bleibt. Aber ich könnte mir auch vorstellen, dass etliche Firmen die Voraussetzungen dann erhöhen. Obwohl das für mich unverständlich ist, weil sie es jetzt auch noch nicht getan haben. Ich weiß allerdings auch nicht, ob das für App-Entwickler noch zu kompliziert ist und es dann einfacher wäre, wenn die Prüfung nicht aus der App selbst käme. Zumindest nicht so wie jetzt.
Deswegen stellen sich viel die Frage ob es jetzt sich lohnt für neue Handys GrapheneOS (oder alternative) zu installieren. Wenn man auf Stock zurückkehren muss nach wenige Monaten.
Ja, das ist auch meine Hoffnung. Jede Monopolisierungsversuch seitens Google kann den Stein noch mehr ins Rollen bringen. Bislang konnten sie sich geschickt vor den Wettbewerbsbehörden verkaufen, indem sie bspw. ihren Browser-Konkurrenten Mozilla finanziell unterstützten - nicht ganz altruistisch, Standard-Suchmaschine etc. Aber irgendwann scheint das Maß voll zu sein.
Hat sich GrapheneOS inzwischen einen professionellen Community-Manager angestellt, damit die ganze Kommunikation etwas glatter läuft?
Potenziell könnten das zum Beispiel Banken, Versicherungen, Gesundheit, Behörde/Staat sein (bitte nicht in die Tat umsetzen, liebe Verantwortlichen).
Ich tippe auf folgendes Szenario: Krankenkasse X wirbt mit „höchstem“ Datenschutz und Sicherheit ihrer neuen ePA-App - certified by Google Play Integrity API. Für manche Dinge brauch man die Satire nicht mehr .
So weit würde ich jetzt nicht gehen. Dafür überwiegen die Datenschutz- und Sicherheitsvorteile von GrapheneOS einfach zu sehr. Jedenfalls fällt mir momentan noch keine App ein, die absolut unverzichtbar und nur lauffähtig auf Stock Android ist.
. Ich würde da eher auf Gerichte und Kartellämter setzen. Allerdings scheinen letztere auch eher überfordert zu sein…
.