「理想主義」を掲げるオランダのASN銀行がGrapheneOSを締め出した
Dutch 'idealist' bank ASN blocks non-Google Android, including GrapheneOS
オランダの倫理的銀行ASN Bankが、Google純正以外のAndroid、とりわけGrapheneOSでのアプリ利用をブロックしている。以前はGoogle Play Servicesなしでも動作していたが、現在はログインにGMSが必須となり、Weroの利用も「セキュリティ要件」を理由に拒否された。一方、bunqでは問題なく設定できたとの報告もあり、Play Integrityの安易な導入を疑問視する声が上がっている。
ASN Bankから、GrapheneOSは「特定のセキュリティ要件」を理由にWeroではサポートされないとの回答を先ほど受け取った。
HNでの議論
379- ACCount39
SafetyNetはそもそも間違いだった。しかし銀行は特に「我々が望む方法以外のやり方は許さない」という点で最も厄介な連中だ。
何度も何度も、難読化されたコードでいっぱいの120MBのAPK、root検出、カスタムファームウェア検出、「非主流デバイス」検出、VPN検出、さらにはもっと obscure なスパイウェア風の機能といったくだらないものと戦わなければならない。
今や、EUのような主要な規制当局が介入し、鞭を振るって、銀行に共通のAPI標準を通じてあらゆるサードパーティのバンキングアプリへのアクセスを提供するよう強制するなら？私はその変化を歓迎する。
- teekert
私の（オランダの）銀行RabobankもGrapheneOSをブロックしている[0]。それについて問い合わせたところ、いつもの「セキュリティは非常に重要です」という返事だった。議論するのは全く無意味で、彼らは自分たちが何を言っているのか理解していない。Rabobankのアプリは何年もアップデートされていないAndroid端末では問題なく動作するのに…
しかし、Auroraストア経由では問題なく動作する（Weroを含む）… それには少し不快感を覚えるが、Playストアへの1対1の接続なので大丈夫だろう… 理解できないのは、なぜそれが機能するのかということだ。アプリ自体はインストール後にチェックを行わないのだろうか？私ならそういう設計にはしない…
もう一つの銀行、bunqはあるサービスについて延々と文句を言うが、それでも正常に機能する（Playサービスに私の「電話」へのアクセスを与えるべきだと言われるが、それが何を意味するのか理解できないので拒否している）。N26とTrade Republicは問題なく動作する。
Google Pay経由のワイヤレス決済は使えないが、そもそも欲しくもない。だからWalt[1]を本当に楽しみにしている。彼が1年以内に利用可能にするのに役立つなら、今すぐサブスクを始めてもいいくらいだ… 現時点ではCurve Pay[2]があり、彼らは独自のNFCスタックを持っている。Bunqもかつては持っていた（非常にプライバシー重視だった頃）が、あの恐ろしいGoogle Payを選んで捨ててしまった。
[0] https://discuss.grapheneos.org/d/24630-rabobank-app-no-longe...
[1] https://walt.is/
- agilob
この機会にINGを称賛したい。私はかなり現代的なLineageOSを実行している古いタブレットを持っている。ROMはroot化されており、rootアカウントを必要とするアプリを使っている。ほぼ唯一の目的は銀行業務だ。メインの電話には銀行アプリを入れていない。
タブレットにINGアプリをインストールしているが、銀行がそれに対して持つ唯一の問題は、サイバーセキュリティや詐欺についてのオンライントレーニングを受けたり、騙されたりしないようにという通知がより多く来るということだ。数週間ごとに、デバイスがroot化されており「潜在的に脆弱性がある」という同じ通知が来る。「理解しました」か「詳細を見る」をクリックできる。他の問題はなく、何かの実行をブロックしたり、アップデートを強制したり、アプリの機能を制限したりはしない。給与がINGに支払われていないにもかかわらず、INGは私のメインバンクだ。Monzo UKはタブレット上のLineageOSでの実行を許可しなかったし、Revolutはタブレットでは全く利用できない。
- stef25
オランダでは、GrapheneOSユーザーが転売業者を「摘発」した後、警察の標的になっている。携帯電話の所有者は、何の捜査にも関与していないのに家宅捜索を受けた。携帯電話を持っているだけでノックされるのに十分だった。
どうやらオランダ警察は彼らの携帯電話を「解読」したらしい。
オランダ語で
- Freak_NL
そのスレッドでのEPI/Weroからの回答は憂慮すべきものだ：
https://github.com/PrivSec-dev/banking-apps-compat-report/is...
これが他のオランダの銀行も追随することを意味しないことを本当に願う。技術的な側面の問題を理解できる銀行の担当者に実際に連絡することはすでにかなり不可能だ。ABN Amroにこの話題をどう切り出せばいいのか皆目見当がつかない。
- microtonal
さらに詳細：何人かがASNに連絡したが、彼らは主にWeroを指している。Play Integrityチェックはメソッドnl.devolksbank.mobile.banking.security.data.wero.IntegrityRepository#requestIntegrityTokenで実行される。名前からすると、これはWeroのSDKではなくASN自身のコードのようだ。また、整合性トークンがASN自身のサーバーに送信されることを発見した人もいる：https://m.devolksbank.nl/bspc-payment-consent-administration...（De VolksbankはASNの所有者だ）。
これが彼らの主張するようにWeroからのものなら、Weroの対象国にいる我々ヨーロッパ人は大変な目に遭うだろう。とはいえ、一部のオランダの銀行はiDEALからWeroへの移行を行い、Play Integrityを要求していない。
- dethos
これは二重独占の結果だ。プラットフォームにあまりにも多くの責任を委ねすぎている。なぜならそれが楽だからだ。結局はプラットフォームへのさらなるロックインとその所有者へのさらなる権力のスパイラルに陥る。
少なくとも第三の選択肢が必要だ[1]。
- yowo
常にこれらのアプリをインストールして否定的なレビューをし、特にGrapheneOSの禁止について言及しよう。それには全くもっともな理由がない。
root化されたデバイスやアンロックされたブートローダーを禁止することは理解できる（それが禁止の根拠になることには反対だが）、しかしGrapheneOSは誰に対しても可能な言い訳を残していない。
- croniev
私はeOSを搭載したPixel 6を持っていて、ここで銀行アプリが動作することを嬉しく思っている。もし突然動作しなくなったら、ちょっと困るだろう。
同様のことが私の健康保険でも起こった。ドイツは健康保険カードを廃止してデジタルIDに移行しようとしている。これを管理するには、医者のところでNFC機能を使い、保険アプリやウェブサイトにログインしてメッセージや文書などを取得する必要があり、将来的には新しい認証アプリを使って認証しなければならなくなる。問題は、私の保険会社のアプリが動作しないことだ！きっと「非標準のAndroid」か何かのせいだ。サポートに連絡しても明らかに無駄で、彼らは技術知識がなく、私がさらにそれ以下だと想定しているので、Q&Aから同じ「アプリのインストール方法」の手順を繰り返すだけだ。残されたのは、IDアプリが私の電話で動作する別の保険に切り替えることだけだ。
これらすべては非常に迷惑だが、特に銀行や保険は非常に安全でなければならないという点は理解できる。そして彼らは難読化によってそれを達成しようとしている。これに対しては、オープンコードの方が安全だと主張する人もいるかもしれない。誰でもチェックできるからだ。しかしこれは両方向に作用し、善意にも悪意にもだ。そして悪意の背後には善意よりもはるかに多くのリソースとエネルギーがあるのではないか？
- Aozora7
私の銀行アプリはGrapheneOSで動作するが、Play Integrityをチェックし、生体認証を無効にし、制限を引き下げる。
ありがたいことに、政府のデジタル署名アプリ（ハードウェア認証を使用し、GOSを完全に安全と見なす）で銀行にログインして取引を承認できるので、それを使うことを強制されていない。
面白いことに、銀行のアプリはメモリタグ付けを有効にすると起動時にクラッシュする。つまり彼らにはメモリバグがあるということだ。