ASN Bank bloquea GrapheneOS y deja a sus clientes sin Wero
Dutch 'idealist' bank ASN blocks non-Google Android, including GrapheneOS
Un hilo en GitHub documenta cómo ASN Bank, presentado como banco neerlandés «idealista», impide el acceso desde Android sin Google Play Services, incluido GrapheneOS. El problema surge al iniciar sesión: la app usa una dependencia de conectividad que exige GMS. ASN justifica la exclusión de Wero por «ciertos requisitos de seguridad», mientras EPI, empresa detrás de Wero e iDeal, dice estar investigándolo.
Solo se necesita GMS para iniciar sesión en la cuenta. Después se puede usar sin él. Durante el proceso de inicio de sesión, la app parecía usar una dependencia para comprobar la conectividad a Internet. Sin GMS no se puede continuar.
- ACCount39
SafetyNet fue un error en general. Pero los bancos en concreto están entre los gilipollas más insufribles cuando se trata de "no se te permite hacer cosas salvo como nosotros queremos".
Una y otra vez tienes que lidiar con mierdas como APKs de 120MB llenas de código ofuscado, detección de root, detección de firmware personalizado, detección de "dispositivo no convencional", detección de VPN, e incluso funcionalidades más oscuras con sabor a spyware.
A estas alturas, si un regulador importante como la UE interviene, da un golpe en la mesa y obliga a los bancos a proporcionar acceso mediante un estándar de API común a cualquier app bancaria de terceros, yo daría la bienvenida al cambio.
- teekert
Mi banco (neerlandés) Rabobank también bloquea GrapheneOS [0], me puse en contacto con ellos al respecto, y te sueltan lo de siempre, que "la seguridad es muy importante para ellos". Discutir es completamente inútil, no entienden de qué están hablando. La app de Rabobank funciona perfectamente en teléfonos Android que no han visto actualizaciones en años...
Sin embargo, a través de la tienda Aurora funciona bien (incluido Wero)... No me siento del todo cómodo con ello, pero es una conexión uno a uno con la Play Store, así que debería estar bien... Lo que no entiendo es cómo puede funcionar, supongo que la app en sí no hace comprobaciones después de instalarse. No es como yo lo diseñaría...
Mi otro banco, bunq, se queja constantemente de algún servicio pero funciona con normalidad de todos modos (debería darle acceso a los servicios de Play a mi "Teléfono", no entiendo qué implica eso así que me niego). N26 y Trade Republic simplemente funcionan.
No tengo pagos inalámbricos vía Google Pay, pero ni siquiera los quiero. Así que estoy deseando que llegue Walt [1]. Incluso empezaría mi suscripción ahora si eso le ayudara a tenerlo disponible en un año... Por ahora está Curve Pay [2], tienen su propia pila NFC. Bunq también solía tenerla (cuando eran muy pro-privacidad) pero la abandonaron en favor de ese horrible Google Pay.
[0] https://discuss.grapheneos.org/d/24630-rabobank-app-no-longe...
[1] https://walt.is/
- agilob
Me gustaría aprovechar este momento para elogiar a ING. Tengo una tablet vieja con un LineageOS bastante moderno. La ROM tiene root y uso apps que requieren cuentas root. Casi su único propósito es la banca. No tengo apps bancarias en mi teléfono principal.
Tengo la app de ING instalada en la tablet, y el único problema que tiene el banco con ello es que recibo más notificaciones queriendo que haga formación online sobre ciberseguridad o sobre ser estafado. Recibo la misma notificación cada pocas semanas de que mi dispositivo tiene root y es "potencialmente más vulnerable", puedo pulsar "Lo entiendo" o "Saber más". Ningún otro problema, no me bloquea nada, no fuerza ninguna actualización, no limita ninguna funcionalidad de la app. A pesar de que mi salario no se ingresa en ING, ING es mi banco principal. Monzo UK no me permitió ejecutarla en LineageOS en una tablet, Revolut no está disponible en tablets en absoluto.
- stef25
En Holanda, los usuarios de GrapheneOS están siendo objetivo de la policía tras "desmantelar" a un revendedor. Los dueños de los teléfonos recibieron visitas de la policía sin estar involucrados en ninguna investigación. Solo tener el teléfono bastaba para que llamaran a tu puerta.
Supuestamente la policía neerlandesa había "hackeado" sus teléfonos.
En neerlandés
- Freak_NL
La respuesta de EPI/Wero en ese hilo es preocupante:
https://github.com/PrivSec-dev/banking-apps-compat-report/is...
Realmente espero que esto no signifique que otros bancos neerlandeses vayan a seguir el ejemplo. Ya es bastante imposible contactar con alguien en el banco que pueda entender el problema si es del lado técnico. No tengo ni idea de cómo empezaría siquiera a plantear este tema con ABN Amro.
- microtonal
Algunos detalles más: varias personas contactaron con ASN, pero en su mayoría les remiten a Wero. La comprobación de Play Integrity se realiza en el método nl.devolksbank.mobile.banking.security.data.wero.IntegrityRepository#requestIntegrityToken. Por el nombre, parece ser código propio de ASN y no un SDK de Wero. Alguien también descubrió que el token de integridad se envía a los propios servidores de ASN: https://m.devolksbank.nl/bspc-payment-consent-administration... (De Volksbank es el propietario de ASN).
Si esto viene de Wero como afirman, me temo que los europeos de países cubiertos por Wero lo vamos a pasar mal. Dicho esto, algunos bancos neerlandeses también hicieron la migración de iDEAL a Wero y no requieren Play Integrity.
- yowo
Instalad siempre estas apps y dejadles reseñas negativas, mencionad específicamente el bloqueo de GrapheneOS, no hay absolutamente ninguna razón plausible para ello.
Entiendo que bloqueen dispositivos con root y bootloader desbloqueado (aunque no estoy de acuerdo con que sean motivo de bloqueo), pero GrapheneOS no deja ninguna excusa posible a nadie.
- dethos
Esto es resultado del duopolio. Abdicas demasiada responsabilidad a la plataforma porque te resulta más fácil. Acaba en una espiral de más dependencia de la plataforma y más poder para sus dueños.
Necesitamos al menos una tercera opción [1].
- croniev
Tengo un Pixel 6 con eOS y me alegro de que mi app bancaria funcione aquí. Aunque si de repente dejara de funcionar, estaría bastante jodido.
Algo similar pasó con mi seguro de salud. Alemania está impulsando eliminar las tarjetas del seguro de salud en favor de una identidad digital. Para gestionarlo, se usa la funcionalidad NFC en el médico, y para iniciar sesión en la app o web del seguro y obtener mensajes, documentos u otra información, en el futuro tendrás que autenticarte usando una nueva app autenticadora. Ahora el problema es que ¡la app de mi aseguradora no funciona! Seguramente por alguna mierda de "Android no estándar". Contactar con su soporte es obviamente inútil, ya que no tienen conocimientos técnicos y asumen que yo tengo aún menos, así que simplemente regurgitan los mismos pasos de "cómo instalar la app" de las preguntas frecuentes. Lo único que me queda es cambiarme a otro seguro cuya app de identificación funcione en mi teléfono.
Aunque todo esto es muy molesto, sí veo el punto de que especialmente la banca y los seguros tienen que ser muy seguros. Y pretenden lograrlo mediante la ocultación. Contra esto se podría argumentar que el código abierto es más seguro, ya que todos pueden revisarlo. Pero eso va en ambos sentidos, para buenas y malas intenciones. ¿Y no hay muchos más recursos y energía detrás de las malas intenciones que de las buenas?
- Aozora7
La app de mi banco funciona en GrapheneOS pero comprueba play integrity y desactiva la biometría y baja los límites.
Por suerte no estoy obligado a usarla, ya que puedo iniciar sesión en el banco y autorizar transacciones con la app de firma digital del gobierno, que usa atestación por hardware y considera GOS totalmente seguro.
Curiosamente, la app del banco se cae al arrancar con el etiquetado de memoria activado, lo que significa que tienen bugs de memoria.