ASN Bank sperrt GrapheneOS aus – und beruft sich auf „Sicherheitsanforderungen“

Meine (niederländische) Bank Rabobank blockiert auch GrapheneOS [0], ich habe sie diesbezüglich kontaktiert, und man bekommt das übliche Zeug zu hören, dass „Sicherheit ihnen sehr wichtig ist“. Zu diskutieren ist völlig sinnlos, sie verstehen nicht, wovon sie reden. Die Rabobank-App funktioniert einwandfrei auf Android-Telefonen, die seit Jahren keine Updates mehr gesehen haben...

Über den Aurora Store funktioniert es jedoch einwandfrei (inkl. Wero)... Ich fühle mich dabei etwas unwohl, aber es ist eine Eins-zu-eins-Verbindung zum Play Store, also sollte es in Ordnung sein... Was ich nicht verstehe, ist, wie das funktionieren kann, die App selbst führt nach der Installation wohl keine Prüfungen durch? So würde ich es nicht entwerfen...

Meine andere Bank, bunq, jammert ständig über irgendeinen Dienst, funktioniert aber trotzdem normal (ich soll Play-Dienste auf mein „Telefon“ zugreifen lassen, ich verstehe nicht, was das beinhaltet, also verweigere ich es). N26 und Trade Republic funktionieren einfach.

Ich bekomme keine drahtlosen Zahlungen über Google Pay, aber das will ich auch gar nicht. Deshalb freue ich mich wirklich auf Walt [1]. Ich würde sogar jetzt mein Abo starten, wenn es ihm helfen würde, es in einem Jahr verfügbar zu machen... Momentan gibt es Curve Pay [2], die haben ihren eigenen NFC-Stack. Bunq hatte das früher auch (als sie noch sehr pro-Datenschutz waren), aber sie haben es zugunsten dieses schrecklichen Google Pay aufgegeben.

[0] https://discuss.grapheneos.org/d/24630-rabobank-app-no-longe...

[1] https://walt.is/

[2] https://www.curve.com/

Ich möchte diesen Moment nutzen, um ING zu loben. Ich habe ein altes Tablet, auf dem ein ziemlich modernes LineageOS läuft. Das ROM ist gerootet und ich nutze Apps, die Root-Konten erfordern. Sein fast einziger Zweck ist Banking. Ich habe keine Banking-Apps auf meinem Haupttelefon.

Ich habe die ING-App auf dem Tablet installiert, die einzigen Probleme, die die Bank damit hat, sind, dass ich mehr Benachrichtigungen bekomme, die mich zu Online-Schulungen zu Cybersicherheit oder Betrug auffordern. Ich bekomme alle paar Wochen die gleiche Benachrichtigung, dass mein Gerät gerootet ist und „potenziell anfälliger“ sei, ich kann auf „Ich verstehe“ oder „Mehr erfahren“ klicken. Keine weiteren Probleme, es blockiert mich nicht an irgendetwas, erzwingt keine Updates, schränkt keine Funktionalität der App ein. Obwohl mein Gehalt nicht bei ING eingeht, ist ING meine Hauptbank. Monzo UK erlaubte mir nicht, auf einem Tablet mit LineageOS zu laufen, Revolut ist auf Tablets überhaupt nicht verfügbar.

In Holland werden GrapheneOS-Nutzer von der Polizei ins Visier genommen, nachdem ein Wiederverkäufer „hochgenommen“ wurde. Die Besitzer der Telefone wurden durchsucht, ohne in eine Ermittlung verwickelt zu sein. Allein der Besitz des Telefons reichte aus, um Besuch zu bekommen.

Angeblich hätte die niederländische Polizei ihre Telefone „geknackt“.

Auf Niederländisch

https://archive.is/3wawb

Die Antwort von EPI/Wero in diesem Thread ist beunruhigend:

https://github.com/PrivSec-dev/banking-apps-compat-report/is...

Ich hoffe wirklich, dass das nicht bedeutet, dass andere niederländische Banken nachziehen. Es ist ohnehin schon ziemlich unmöglich, jemanden bei der Bank zu erreichen, der das Problem versteht, wenn es auf der technischen Seite liegt. Ich habe keine Ahnung, wie ich dieses Thema bei ABN Amro auch nur ansprechen würde.

Noch ein paar Details: Verschiedene Leute haben ASN kontaktiert, aber sie verweisen meist auf Wero. Die Play-Integrity-Prüfung wird in der Methode nl.devolksbank.mobile.banking.security.data.wero.IntegrityRepository#requestIntegrityToken durchgeführt. Dem Namen nach scheint dies ASNs eigener Code zu sein und kein SDK von Wero. Jemand hat auch herausgefunden, dass das Integrity-Token an ASNs eigene Server gesendet wird: https://m.devolksbank.nl/bspc-payment-consent-administration... (De Volksbank ist der Eigentümer von ASN).

Wenn das von Wero kommt, wie sie behaupten, dann haben wir Europäer in Ländern, die von Wero abgedeckt sind, wohl eine schlechte Zeit vor uns. Allerdings haben einige niederländische Banken auch die Migration von iDEAL zu Wero vollzogen und verlangen keine Play Integrity.

Installiert diese Apps immer und bewertet sie negativ, erwähnt ausdrücklich die Sperrung von GrapheneOS, dafür gibt es absolut keinen plausiblen Grund.

Ich verstehe, dass man gerootete Geräte und entsperrte Bootloader sperrt (obwohl ich der Meinung bin, dass sie kein Grund für eine Sperrung sind), aber GrapheneOS hat niemandem eine mögliche Ausrede gelassen.

Das ist ein Ergebnis des Duopols. Man gibt zu viel Verantwortung an die Plattform ab, weil es einfacher ist. Das endet in einer Spirale aus mehr Lock-in an die Plattform und mehr Macht für deren Eigentümer.

Wir brauchen mindestens eine dritte Option [1].

[1] https://blog.ovalerio.net/archives/3359

Ich habe ein Pixel 6 mit eOS und bin froh, dass meine Banking-App hier funktioniert. Wenn sie plötzlich aufhören würde zu funktionieren, wäre ich allerdings ziemlich am Arsch.

Ähnliches ist bei meiner Krankenversicherung passiert. Deutschland treibt die Abschaffung der Gesundheitskarten voran, zugunsten einer digitalen Identität. Um das zu verwalten, nutzt man die NFC-Funktion beim Arzt und meldet sich in der Versicherungs-App oder auf der Website an, um Nachrichten, Dokumente oder andere Informationen abzurufen; in Zukunft muss man sich mit einer neuen Authenticator-App authentifizieren. Das Problem ist nun, dass die App meiner Versicherung nicht funktioniert! Sicher wegen irgendeines „nicht standardmäßigen Android“-Mists. Den Support zu kontaktieren ist offensichtlich nutzlos, da sie keine technischen Kenntnisse haben und annehmen, dass ich noch weniger habe, und daher einfach die gleichen „So installierst du die App“-Schritte aus den FAQ wiederkäuen. Mir bleibt nur, zu einer anderen Versicherung zu wechseln, deren ID-App auf meinem Telefon funktioniert.

Obwohl das alles sehr nervig ist, sehe ich den Punkt, dass besonders Banking und Versicherungen sehr sicher sein müssen. Und sie versuchen, dies durch Obskurität zu erreichen. Dagegen könnte man argumentieren, dass offener Code sicherer ist, da jeder ihn prüfen kann. Aber das geht in beide Richtungen, für gute und schlechte Absichten. Und stecken hinter den schlechten Absichten nicht viel mehr Ressourcen und Energie als hinter den guten?

Meine Banking-App funktioniert auf GrapheneOS, prüft aber Play Integrity und deaktiviert Biometrie und senkt die Limits.

Zum Glück bin ich nicht gezwungen, sie zu nutzen, da ich mich bei der Bank anmelden und Transaktionen mit der digitalen Signatur-App der Regierung autorisieren kann, die Hardware-Attestierung verwendet und GOS als vollständig sicher einstuft.

Lustigerweise stürzt die App der Bank beim Start ab, wenn Memory Tagging aktiviert ist, was bedeutet, dass sie Speicherfehler hat.