«Идеалистический» банк ASN закрывает доступ клиентам с не-Google Android, включая GrapheneOS

Мой (нидерландский) банк Rabobank тоже блокирует GrapheneOS [0], я связался с ними по этому поводу, и получил обычное: что «безопасность для них очень важна». Спорить совершенно бессмысленно, они не понимают, о чём говорят. Приложение Rabobank прекрасно работает на Android-телефонах, которые не видели обновлений годами...

Однако через магазин Aurora оно работает нормально (включая Wero)... Мне немного не по себе от этого, но это прямое соединение с Play Store, так что должно быть нормально... Чего я не понимаю, так это как это может работать — само приложение, полагаю, ничего не проверяет после установки? Не так бы я его архитектурил...

Мой другой банк, bunq, всё ноет насчёт какой-то службы, но тем не менее функционирует нормально (мне следует дать Play services доступ к моему «Телефону», я не понимаю, что это влечёт, поэтому отказываюсь). N26 и Trade Republic просто работают.

Бесконтактные платежи через Google Pay мне недоступны, но я этого даже не хочу. Так что я очень жду Walt [1]. Я бы даже начал подписку сейчас, если бы это помогло ему выпустить его через год... На данный момент есть Curve Pay [2], у них свой собственный NFC-стек. У Bunq тоже раньше был такой (когда они были очень за приватность), но они отказались от него в пользу этого ужасного Google Pay.

[0] https://discuss.grapheneos.org/d/24630-rabobank-app-no-longe...

[1] https://walt.is/

[2] https://www.curve.com/

Хочу воспользоваться моментом, чтобы похвалить ING. У меня есть старый планшет, работающий на довольно современном LinageOS. Прошивка рутованная, и я использую приложения, требующие рут-доступа. Почти единственное его назначение — банкинг. У меня нет банковских приложений на основном телефоне.

У меня на планшете установлено приложение ING, и единственные претензии банка к нему — это то, что я получаю больше уведомлений с предложением пройти онлайн-обучение по кибербезопасности или защите от мошенничества. Каждые несколько недель я получаю одно и то же уведомление о том, что моё устройство рутованное и «потенциально более уязвимо», и могу нажать «Я понимаю» или «Узнать больше». Никаких других проблем. Оно не блокирует мне ничего, не навязывает обновления, не ограничивает функциональность приложения. Несмотря на то, что зарплата мне не приходит в ING, ING — мой основной банк. Monzo UK не позволил мне работать на LinageOS на планшете, Revolut вообще недоступен на планшетах.

В Голландии пользователи GrapheneOS подверглись преследованию со стороны полиции после того, как те «накрыли» перепродавца. Владельцев телефонов пришли с обысками, хотя они не были замешаны ни в каком расследовании. Достаточно было просто иметь телефон, чтобы к тебе постучали.

Предположительно, голландская полиция «взломала» их телефоны.

На голландском

https://archive.is/3wawb

Ответ от EPI/Wero в той ветке тревожит:

https://github.com/PrivSec-dev/banking-apps-compat-report/is...

Очень надеюсь, что это не значит, что другие нидерландские банки последуют их примеру. Уже сейчас практически невозможно связаться с кем-то в банке, кто способен понять проблему, если она техническая. Я понятия не имею, как я вообще начал бы поднимать эту тему с ABN Amro.

Ещё немного деталей: разные люди связывались с ASN, но они в основном указывают на Wero. Проверка Play Integrity выполняется в методе nl.devolksbank.mobile.banking.security.data.wero.IntegrityRepository#requestIntegrityToken. Судя по названию, это собственный код ASN, а не SDK от Wero. Кто-то также обнаружил, что токен целостности отправляется на собственные серверы ASN: https://m.devolksbank.nl/bspc-payment-consent-administration... (De Volksbank — владелец ASN).

Если это исходит от Wero, как они утверждают, то, полагаю, нам, европейцам в странах, охваченных Wero, предстоит несладко. Тем не менее, некоторые нидерландские банки также совершили переход с iDEAL на Wero и не требуют Play Integrity.

Всегда устанавливайте эти приложения и оставляйте на них негативные отзывы, особо упоминая блокировку GrapheneOS — для этого нет абсолютно никакой разумной причины.

Я понимаю блокировку рутованных устройств и разблокированных загрузчиков (хотя я не согласен, что это основание для блокировки), но GrapheneOS не оставил никому ни малейшего оправдания.

Это результат дуополии. Вы перекладываете слишком много ответственности на платформу, потому что так вам проще. В итоге это выливается в спираль всё большей привязки к платформе и всё большей власти для её владельцев.

Нам нужен как минимум третий вариант [1].

[1] https://blog.ovalerio.net/archives/3359

У меня Pixel 6 с eOS, и я рад, что моё банковское приложение здесь работает. Если бы оно вдруг перестало работать, мне было бы довольно паршиво.

Похожая история случилась с моей медицинской страховкой. Германия движется к отказу от страховых карточек в пользу цифровой идентификации. Чтобы управлять этим, нужно использовать NFC-функционал у врача и входить в приложение страховой или на сайт для получения сообщений, документов или другой информации; в будущем вам придётся аутентифицироваться с помощью нового приложения-аутентификатора. И вот проблема: приложение от моей страховой не работает! Наверняка из-за какой-то «нестандартной» херни в Android. Обращаться в их поддержку, очевидно, бесполезно, так как у них нет технических знаний и они предполагают, что у меня их ещё меньше, поэтому просто повторяют те же шаги «как установить приложение» из FAQ. Всё, что мне остаётся, — перейти в другую страховую, чьё ID-приложение работает на моём телефоне.

Хотя всё это очень раздражает, я понимаю мысль, что особенно банки и страховые должны быть очень защищёнными. И они стремятся достичь этого путём обфускации. Против этого можно возразить, что открытый код безопаснее, так как каждый может его проверить. Но это работает в обе стороны — как для добрых, так и для злых намерений. И разве за злыми намерениями не стоит гораздо больше ресурсов и энергии, чем за добрыми?

Моё банковское приложение работает на GrapheneOS, но проверяет play integrity и отключает биометрию и снижает лимиты.

К счастью, я не вынужден им пользоваться, так как могу войти в банк и авторизовать транзакции через государственное приложение цифровой подписи, которое использует аппаратную аттестацию и считает GOS полностью безопасным.

Забавно, что приложение банка падает при запуске с включённым тегированием памяти, а значит, у них есть баги с памятью.