Frage zur (Nicht-)Nutzung der Sandboxed Play Dienste bei GrapheneOS

Vorbemerkung:
Ich habe den Arikel von Mike gelesen:
https://www.kuketz-blog.de/android-15-vertrauliches-profil-unter-grapheneos-optimal-nutzen/
Aber ich habe eine Frage dazu, weil mir etwas nicht klar ist bzw. weil mich die vielen Infos verwirren.
Habt bitte Nachsicht :wink:

Zum Setting:

  1. Ich nutze bei GrapheneOS (15) lediglich das Hauptprofil, dort habe ich Aurora-Store installiert und einige Apps (aus dem Google Play Store über Aurora) heruntergeladen (z.B. DB Navigator, VR SecureGp Plus, Magic Earth …).
  2. Alle Verbindungen des Google Pixle 8a laufen über RethinkDNS mit integriertem ProtonVPN (damit Google meine IP-Adresse nicht über den Aurora-Store bekommt).
  3. Die (Sandboxed) Google Play Services von GrapheneOS habe ich nicht installiert, weil ich zum einen kein Google-Konto mehr habe und zum anderen die o.g. Apps keine Bezahlapps sind und ich auf die Google Play Dienste verzichten möchte.

Mein Plan:
Ich beziehe die Apps über den Aurora-Store und bin quasi für Google nicht mehr existent (IP-Adresse durch VPN für Google nicht sichtbar).

Meine Frage:
Ich bin (nach dem Lesen von Mikes Artikel) jetzt etwas verunsichert, ob mein Setting überhaupt taugt oder ob für das, was ich eigentlich möchte (s.o.), das „Vertrauliche Profil“ mit den Sandboxed Google Play Services unter GrapheneOs nötig ist.
Ich habe die (Sandboxed) Google Play Services von GrapheneOS eigentlich bewusst vermieden und frage mich gerade, ob das ein Eigentor war …

Hat jemand eine Antwort für mich?
Das würde mich ggf. beruhigen :slight_smile: oder verzweifeln lassen …
Danke!

Wenn du Play Services für deine Apps nicht benötigst, macht es keinen Sinn sie zu installieren. Private Space ist ja völlig unabhängig von Play Services und kannst du trotzdem verwenden für Apps bei denen du kein IPC mit Apps außerhalb willst oder separate Schlüssel für die Verschlüsselung möchtest.

1 „Gefällt mir“

Danke für deine Antwort, @Chief1945

Das leuchtet mir ein.

Nachfrage:
Das " Vertrauliche Profil" soll doch dafür sorgen, dass die App „Google Play Dienste“ keine weitreichenden Befugnisse bekommt.
Wenn ich lediglich „normale“ Google-Apps aus dem Aurora-Store nutze, benõtige ich doch das "Vertrauliche Profil’ nicht, da diese Apps keine weitreichenden Rechte haben und somit auch nicht auf mein Hauptprofil von GrapheneOS zugreifen können - oder ist da ein Denkfehler?

Das vertrauliche Profil ist ein zusätzliches Profil, was aber die Google Dienste genau so einschränkt, wie das bereits das Hauptprofil macht.
Das vertrauliche Profil ist da nicht besser oder schlechter abgesichert.
Es bietet lediglich die Funktion, einzelne Apps vom Hauptprofil zu trennen, damit eine App zum Beispiel nicht sehen kann, was du sonst noch installiert hast (außer die anderen App im vertraulichen Profil), getrennte Kontakverwaltung, Dateisystem, etc. Und du kannst das Profil jederzeit pausieren.

1 „Gefällt mir“

Was meinst du mit normalen Google-Apps? Apps aus dem Aurora-Store sind ja überwiegend keine Google-Apps.

Das vertrauliche Profil kann für alle Apps da sein. Die Play Dienste unter GrapheneOS haben die gleichen Befugnisse wie jede andere App.

1 „Gefällt mir“

Danke, @badung , ich merke, dass ich das Prinzip vorher nicht richtig verstanden habe. Deine Antwort war hilfreich.

Hallo @Chief1945 , ich habe mich falsch ausgedrückt.
Gut, dass du noch einmal nachfragst.

Ich meinte mit „normale Google-Apps“ solche, die ich (statt aus dem Google Play Store) vom Aurora-Store beziehe:
Konkret sind das folgende Apps:

  1. Beihilfe NRW
  2. Debeka Gesundheit
  3. DB Navigator
  4. VR SekureGo plus
  5. Magic Earth

Ich habe bei diesen fünf Apps unter „Berechtigungen“ die Einstellung „Keine Berechtigungen gewährt“ gewählt.
Zusätzlich habe ich unter „Mobile Datennutzung“ die Einstellung „Hintergrunddaten aus“ gewählt.
Auch unter „Akkunutzung der App“ habe ich die Einstellung „Hintergrundnutzung zulassen“ AUS gewählt.
Wenn ich eine der Apps nutze (kommt nur gelegentlich vor), erlaube ich genau dann erst die Berechtigung „Network“ (bzw. die Berechtigung „Standort: Jedes Mal fragen“ bei Magic Earth.)

Zusätzlich habe ich unter ReghinkDNS die Apps

  1. Beihilfe NRW
  2. Debeka Gesundheit
  3. DB Navigator
  4. VR SekureGo plus

isoliert.
Und wenn ich eine der Apps benutze, gebe ich mit Hilfe von RethinkDNS nur die Domains frei, die die App benötigt.

Ich gehe also davon aus, dass diese 4 bzw. 5 Apps nicht irgendetwas im Hintergrund machen, was sie nicht machen sollen.

Und, wenn ich dich richtig verstanden habe @Chief1945 , können die genannten Apps (mit den oben genannten Berechtigungseinstellungen) auch gar nicht auf Kontakte, Telefonnummern, IMEI, IMSI usw. zugreifen, weil sie eben keine „Google-Apps mit weitreichenden Befugnissen“ sind.

Ist das soweit (halbwegs) richtig?

Dann wäre mein Setting demnach für meine Zwecke in Ordnung (siehe ganz oben)?

Sorry, dass ich so viel nachfrage, aber mir ist das wirklich nicht klar (wie ihr ja bereits gemerkt habt).

Danke für die Antworten und eure Geduld.

Jede App (inklusive Google Play Services) die du auf GrapheneOS installierst, läuft in einer eigenen Instanz der gleichen Sandbox, getrennt voneinander und ohne Zugang zu sensiblen Daten. Die App kann sehen, welche Apps du in demselben Benutzerprofil installiert hast, und mit gegenseitigem Einverständnis der beteiligten Apps mit anderen Apps via IPC innerhalb dieses Profils kommunizieren. Sensible Informationen sind nur durch das Erteilen von Berechtigungen zugänglich. Hardware-IDs sind gar nicht einsehbar für Apps. Es gibt unter GrapheneOS also keine „Google-Apps mit weitreichenden Befugnissen“, was auch immer du darunter verstehst.

Ich würde dir empfehlen Apps nicht nach des verwendeten Stores zu klassifizieren. Apps sind nicht per-se besser oder schlechter, je nach Store.

Ziemlich umständlich, bei wenig Sicherheitsgewinn. Sollte die App dich ausspionieren wollen, könnte sie auch einfach Daten sammeln, bis sie wieder Netzwerkzugriff hat.

1 „Gefällt mir“

@Chief1945
Danke noch einmal für die ausführlichen Erklärungen!
So langsam lichtet sich der Nebel.