Mastodawn

opinonToo

@adfichter es ist nicht klar, wovon du genau sprichst. Google hatte Verschärfungen angekündigt, die ein Sideloading etwas komplizierter machen, aber nicht verhindern.

@adfichter Zusätzlich sollen sich App Entwickler bei Google registrieren, damit die Installation so einfach wie bisher bleibt. Deshalb bringt jetzt F-Droid laufend Hinweise bei der Installation von Apps - ich gehe davon aus, dass diese übertrieben sind.

@opinonToo eine banken-app sendete eine notification: "sie haben eine custom os. zurzeit funktioniert unsere app noch darauf. künftige versionen der app aber nicht mehr"

@adfichter somit plant der Hersteller deiner Banking App den Einsatz des Google Attestation API - du solltest dessen Ersatz durch vom GrapheneOS-Team publizierte, sicherere Ersatzmassnahmen von der Bank verlangen!

@opinonToo @adfichter

Ich hab es kurz getestet, weil ich ja (aus einem vorherigen Post) weiss, welche Bank du meintest. Die App fürs Online-Banking meldet mir das Gleiche. Die Access-App meldet das (noch) nicht. Ich nutze eigentlich nur die, damit ich beim Online-Banking zwei Geräte involviert habe. Aber wenn es schon die eine betrifft, könnte es künftig die andere auch treffen...

Ich melde das jetzt der Bank. Sollten wir vermutich alle tun.

@SilviaMarton @opinonToo Danke euch!

Ich danke ebenfalls, dir @adfichter , für's entdecken (ich hätte es wohl erst gemerkt, wenn die Access-App betroffen wäre, so kann ich frühzeitiger reagieren.

Und dir, @opinonToo , weil ich so etwas mehr "Futter" für die Meldung hatte, was allenfalls dahinter stecken könnte.

Na, vielleicht hilft es ja.

@SilviaMarton @opinonToo dann kriegst du tolle antworten:

"Wir pflegen die höchsten Sicherheitsstandards und der Schutz unserer Kundinnen und Kunden sowie die Sicherheit ihrer Vermögenswerte haben bei uns höchste Priorität. Unsere Mobile Banking App unterstützt ausschliesslich Betriebssysteme, die innerhalb unseres Sicherheitsrahmens vollständig verifiziert werden können. Alternative Betriebssysteme können derzeit nicht durch diese Sicherheitsprüfungen bestätigt werden und werden daher nicht unterstützt.

Ausserdem ergänzend dazu: Es handelt sich dabei um eine Branchen-Thematik, die alle Banken betrifft. Ihre Anschlussfrage bez. Konsortium kommentieren wir nicht."

@adfichter

Ja, eh klar, mit sowasem rechne ich. Allerdings glaube ich an eine gewisse kritische Masse an Meldungen, ab denen es die Bank nicht mehr ignorieren kann.

Vermutlich kommt dann abgesehen von der Meldung von dir oben noch der Vorschlag, doch alternativ wieder auf die alte Methode (Access Card Display) zu wechseln. Naja, vermutlich ist das ja noch nicht einmal die dümmste Idee, rein technisch. Aber es geht ja auch ums Prinzip.

@opinonToo

@SilviaMarton @adfichter es gab bereits Erfolge aufgrund von Benutzermeldungen. Z.B. hat Revolut die Vorschläge von GrapheneOS umgesetzt.

𝗣𝗠𝗝 ⚫Mar 12

@adfichter

lol
das ist so quasi "google/apple/MS hat gesagt das OS ist sicher" 😂
ich wette die haben kein eigenes audit gemacht sondern einfach nur die papers von google und apple überflogen
@SilviaMarton @opinonToo

@pmj @adfichter @opinonToo

Ich glaube, die Thematik ist tatsächlich nicht ganz trivial. OK, wir sind uns einig, dass ein Verlass auf Google jetzt nicht die cleverste Art ist.

Eine Alternative hat GrapheneOS ja auch schon selbst genannt: https://grapheneos.org/articles/attestation-compatibility-guide

Konkret würde das aber bedeuten, die Entwicklys müssten dann jedes alternative System wirklich prüfen. Einfach nur vertrauen und den Key hinzufügen ist da auch nicht ganz optimal.

GrapheneOS attestation compatibility guide

Guide on using remote attestation in a way that's compatible with GrapheneOS.

GrapheneOS

@pmj @adfichter @SilviaMarton alles andere wäre eine Überraschung für mich

پویان Pouyan Mar 12

@adfichter in Deutschland macht die TK (Krankenkasse) das gleiche Spiel. Mir wurde mitgeteilt, dass mein Handy zu unsicher ist für Fingerabdruck als Zweitfaktor-Authentifizierung (2FA), aber gleichzeitig haben sie kein Problem mir eine 2FA per SMS an dasselbe Handy zu schicken. Bestimmt auch aufgrund von "höchsten Sicherheitsstandards".

@SilviaMarton @opinonToo

Mafalda Mar 12

@adfichter @SilviaMarton @opinonToo
Yepp, eine solche Antwort hatte ich auch bekommen (andere Bank).
Und on top werden die Tan-Geräte in Kürze eingestellt, wie ich von einer Mitarbeiterin meiner Bank erfuhr😡.
Die Schlinge zieht sich immer enger...

@mafalda @adfichter @SilviaMarton auch scheinen EUid wallets vermehrt auf Googles Attestation zu setzen (dass die Schweiz eine zu EUid inkompatible eID Lösung verbreiten will, macht es auch nicht besser)!

@opinonToo "du solltest dessen Ersatz durch vom GrapheneOS-Team publizierte, sicherere Ersatzmassnahmen von der Bank verlangen" gerade die entsprechenden Links parat und Doku zufällig? Dann mache ich das.