Hallo zusammen,
Ich habe Graphene auf einem Pixel installiert und möchte nun RethinkDNS aufspielen. Davor hatte ich LineageOS auf einem Fairphone 4 und habe nur sehr wenigen Systemdiensten und -apps den Netzwerkzugriff erlaubt (z. B. Downloadmanager).
Jetzt frage ich mich, ob das bei Graphene nötig ist und ich nur neu installierten Benutzerapps bei Bedarf den Netzwerkzugriff entziehen sollte und den Systemapps und -diensten den Netzwerkzugriff erlauben sollte.
Wie handhabt ihr das?
LG Tarantoga
Ich meine ich hatte alle Apps von Anfang an gesperrt, und folgende Verbindungen dann erlaubt, damit das System reibungsfrei läuft:
Das meiste davon wirst du auch triggern können, indem du nach einem Software Update suchen lässt.
Neuerdings musst du für den Download Manager noch gstatic.com erlauben, da es sonst mit Android 17 zu Problemen kommen kann. Beim nächsten Update von GrapheneOS soll diese Verbindung jedoch ersetzt werden.
Kurz zur generellen Motivation: ich wollte somit auch sehen, welche Verbindungen überhaupt aufgebaut werden + auch wenn ich dem GOS Team traue, ist Kontrolle ja bekanntermaßen besser.
Okay, hier eine andere „Strategie“…
Anders als andere CustomROM’s oder gar das StockRom ist GrapheneOS per default schon ein datenschutzfreundliches OS; ich habe daher allen Systemanwendungen den Netzzugang erlaubt und bislang nichts kritisches bemerkt (außer der Verbindung zu gstatic.com, die @NochEinNeuerName bereits erwähnt hat).
Die Verbindungen, die GrapheneOS aufbaut, sind übrigens auf deren Website ausführlich dokumentiert.
https://grapheneos.org/faq#default-connections
s.a. Test im Kuketz-Blog:
GrapheneOS: Der Goldstandard unter den Android-ROMs – Custom-ROMs Teil7
Vielen Dank für eure Antworten.
@NochEinNeuerName Danke für den Reminder. Ausser ANDROID habe ich die Verbindungen ebenfalls erlaubt und es funktioniert.
Dennoch werde ich es wie @Musti machen, da beim Fairphone Funtionen wie z. B. VoIP weitere Freigaben erforderten und es manchmal wirklich sehr mühsam war, die richtigen Freigaben herauszufinden.
Ich versuche mich einmal an Mikes Testaufbau aus dem Artikel, denn „Kontrolle ist ja bekanntermaßen besser“.
Habt noch einen schönen Sonntag.
LG Prof. Tarantoga
@tarantoga Sämtliche Apps - auch bei der GOS-Installtaion installierte - Apps zu blocken ist keine gute Idee. Wie @Musti es schon geschrieben hat, ist GOS das einzige System, dass per default keinerlei datenschutzrelevante Verbindungen zulässt und völlig Google-frei ist. Die von Graphene selbst initiierten Verbindungen sind allesamt unkritisch, System-relevant und sollten daher nicht geblockt werdebn. Bei weitere Konfiguration kann das natürlich anders aussehen, aber das ist, wie überall, vollkommen User-abhängig. Daher ist die beste Einstellung in Rethink, nicht alle Apps per se zu blocken, sondern lediglich alle neuen, nach der GOS-Installation - und diese dann ggf. zu erlauben, isolieren ud defizil einzustellen oder was auch immer für die jeweilige App gegeben ist.
Was in den Rethink-Logs als App „ANDROID“ auftaucht ist komplett unspezifisch. Rethink (aber auch anderen vergleichbare Apps wie Netguard, etc.) ist, was das Logging angeht, nicht immer sehr zuverlässig und erkennt häufig nicht die tatsächlichen Apps, welche bestimmte Verbindungen auslösen. Z. T. erscheinen dann andere Apps als die tatsächlichen als Auslöser. Oder es wird „Unbekannt“ angezeigt. Manchmal dann auch einfach „ANDROID“, wenn die tatsächliche App nicht identifiziert werden kann. Dass muss auch keine System-App sein. Bei mir werden auch teilweise Verbindungen von Molly (Signal-Fork) als „ANDORID“ angezeigt, aber eben auch andere. Diese können also sowohl gewolllte als auch ungewollte Verbindungen sein.
Ich habe daher „ANDROID“ prinzipiell blockiert. Im Grunde immer werden die Verbindungen, die fälschlich unter dieser vermeintlichen „App“ versucht werden, dann bald auch wieder unter der korreten App aufgelistet und erlaubt.
Also daher die Empfehlung:
Von Einschränkungen von Systemapps würde ich deutlich abraten. Das gilt sowohl für Berechtigungen, als auch DNS-Filterung. Da hat man nahezu keinen Benefit von, kann sich aber Probleme einhandeln.
Ich würde bei GrapheneOS eher mit „loggen, dann gezielt sperren“ anfangen. Systemapps pauschal zu blocken bringt wenig zusätzliche Privatsphäre, macht aber Updates, Zeitserver, Captive-Portal-Erkennung oder Push-/VoIP-Themen schnell unübersichtlich. Für Rethink ist für mich die pragmatische Trennung: System/GOS erstmal laufen lassen, neu installierte Benutzerapps restriktiv behandeln, und nur dann Systemziele sperren, wenn man den konkreten Auslöser sauber zuordnen kann. Gerade Einträge wie „ANDROID“ würde ich nicht als saubere App-Zuordnung behandeln.
Hi,
Euch allen vielen Dank für die Antworten.
Ich habe es am Sa., wie von @Musti und @olmax empfohlen, eingerichtet. Die Verbindung „ANDROID“ war nach der frischen Installation noch nicht da, tauchte, nachdem ich Molly installiert hatte, als neue Anwendung auf und ich habe diese dann blockiert.
@anna_schulz_dev Du hast vollkommen recht. Unter Linux nutze ich Logs ganz selbstverständlich. Und es ist bei Rethink für mein Empfinden sehr übersichtlich gestaltet.
Habt alle noch einen schönen Abend.
Prof. Tarantoga