Mastodawn

Truls (Klarname)12h ago

Ohne Google/Apple = Keine EUDI-Wallet

Die Wallet soll EU-Bürger*innen unabhängiger machen - doch sie vertraut blind den gleichen Tech-Giganten, die wir mit DMA & Datenschutzklagen bekämpfen.

Die Wallet prüft via Play Integrity (Android) & App Attest (iOS), ob euer Gerät sicher ist. Gerootet/Jailbroken? Kein Zugang. Veraltete Sicherheitsupdates? Blockiert.

Wie souverän ist eine digitale ID, wenn zwei US-Konzerne über ihre Nutzung bestimmen? Und was passiert, wenn Google/Apple die Attestierung einfach abschalten? Oder meinen Account sperren? Ich soll doch in der EUDI-Wallet zukünftig alles vom Personalausweis bis zum Mietvertrag speichern, wenn ich das recht verstanden habe.

via HackerNews

https://bmi.usercontent.opencode.de/eudi-wallet/wallet-development-documentation-public/latest/architecture-concept/06-mobile-devices/02-mdvm/#motivation

#DigitalSouveränität #eIDAS #EUDI #Privacy #BigTech

Mobile Device Vulnerability Management Concept - German National EUDI Wallet: Architecture Documentation

MasterEmit 12h ago

@kaffeeringe Play Integrity ist Snake Oil. Wer als App-Anbieter darauf angewiesen ist, hat seine Security nicht im Griff.

Nils Fuhrmann 11h ago

@masteremit
Problem ist doch, dass man ohne Anbindung an einen der beiden App Stores kaum die Reichweite auf dem Markt bekommt, die man gerne für eine Appentwicklung hätte. Das heißt, Entwickler fallen doch vermutlich gar nicht auf das Sicherheitsversprechen rein, sondern müssen schlicht überlegen, ob sie ein Nischenprodukt rausbringen oder die breite Masse erreichen wollen.

Steffen Voß 11h ago

@nfk @masteremit Es ist ja eine Sache, dass die App in den Stores ist. Es ist eine andere Sache, dass die App abhängig von den Stores ist.

Reiner Jung 🇬🇱 🇺🇦 🇪🇺11h ago

@kaffeeringe @nfk @masteremit man könnte gerade als Staat sich für alternative Stores einsetzen und auf andere Absicherungsmethoden.

Mit F-Droid gibt es bereits für Android eine Alternative.

MasterEmit 10h ago

@prefec2 @kaffeeringe @nfk F-Droid ist leider nicht immer eine Alternative, da nur FOSS dort zulässig ist. Closed Source Apps gehen dort nicht.

MasterEmit 10h ago

@prefec2 @kaffeeringe @nfk Allerdings F-Droid + Aurora könnte gehen, hab ich selbst allerdings nie probiert.

Reiner Jung 🇬🇱 🇺🇦 🇪🇺9h ago

@masteremit @kaffeeringe @nfk für Endnutzer ist das eine Option. Aber F-Droid ist Open Source. Man könnte auch ein C-Droid oder Public-Droid einrichten für Closed Source Apps. Darf gerne die EU oder die Bundesregierung betreiben. Ich sehe das Analog zum Wochenmarkt. Den organisiert auch die Kommune (also der Staat) und die Anbieter zahlen einen kleinen Beitrag.

Steffen Voß 9h ago

@prefec2 @masteremit @nfk Es reicht ja ein Repository für F-Droid…

MasterEmit 9h ago

@kaffeeringe @prefec2 @nfk Es sollte einfach nutzbar sein und Repositories in F-Droid hinzufügen ist für viele bereits wieder eine Hürde. Aber ja, vielleicht ist ein EU store auf Basis von F-Droid mit vorkonfigurierten Repos eine Option. FOSS + auf Sicherheit geprüfte andere Apps. Der Store und die Software drumherum selbst ist natürlich auch FOSS. Public Money und so.

Michael S.7h ago

@masteremit @prefec2 @kaffeeringe @nfk Es ist natürlich die Frage, ob eine staatliche Closed-Source-App ausreichend vertrauenswürdig sein kann. Ich bevorzuge inzwischen generell OpenSource-Software.

MasterEmit 6h ago

@M_E_ST @prefec2 @kaffeeringe @nfk oh die staatlichen Apps sollten definitiv FOSS sein. Mit Closed Source Apps meinte ich generell andere Apps von Unternehmen. Da war ich nicht eindeutig.

Nils Fuhrmann 10h ago

Man tut doch alles dafür, dass es keine zwei verschiedenen Sachen sind: Wenn der Googlestore keine Apps zulässt, die unabhängig von Playintegry sind, das Wallet somit abhängig von Google ist, werden alle Anwendungen, die Funktionen des Wallet nutzen, ebenfalls googleabhängig.

Vielleicht verstehe ich Dich auch falsch?

MasterEmit 10h ago

@nfk @kaffeeringe Play Integrity wird von Google nicht erzwungen. Es gibt also keinen Grund es zu nutzen, um im PlayStore zu sein. Und andere Services wie Push oder Pay können auch optional in den Apps angeboten werden. Es ginge schon, wenn Hersteller wollen würden.

Die Entscheidung ist doch jetzt stark vereinfacht:)

Für alle, die jetzt ein mulmiges Gefühl haben - keine Wallet. Keine Diskussion.

PEisenhofer 10h ago

@kaffeeringe
@kaibojens

Die Abhängigkeit besteht automatisch, weil für die breite Bereitstellung der EUDI-Wallet die vorhandenen Plattformen genutzt werden müssen.
Die Abhängigkeit von den (Gatekeeper-)Plattformen ist deshalb durch den DMA beschränkt. Dort ist auch die konkrete Verpflichtungen auferlegt, Zugänge zu HW- und SW-Funktionen freizugeben.
(Vgl. Art. 5-9 DMA)
Ich sehe die Risiken eher in der erfolgreichen Durchsetzung des DMA durch die EU-Kommission.

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022R1925

Verordnung - 2022/1925 - EN - EUR-Lex

DigiDoc 10h ago

@Peisho @kaffeeringe @kaibojens

Die AusweisApp kann man auch ohne Google installieren und nutzen.
Corona-Warn-App war ebenfalls so nutzbar außer, dass man keine Pushbenachrichtigungen bekommen hat.

Es geht also absolut ohne. Beim überfliegen der BMI-Quelle hatte ich irgendeine Referenz zu einer IEC-Norm gesehen. Ich vermute das dort irgendwas steht von nur auf sicherem Device ausführbar und sich die Entwickler da entspannt zurück lehnen und auf Apple und Google verweisen...

PEisenhofer 3h ago

@FK_Med @kaffeeringe @kaibojens
Das prüft das BSI. Da lehnt sich definitv niemand zurück.

@Peisho @kaffeeringe @kaibojens
Nur zu Android weil ich von Apple noch weniger Ahnung habe:
Das BSI prüft die Einhaltung der Norm, welche ein "sicheres" Gerät fordert. Die Möglichkeit die Sicherheit des Gerätes zu prüfen kann durch Googles "SafetyNet" erfolgen was wahrscheinlich irgendwie zertifiziert ist wo Google aber jederzeit Unfug mit treiben kann. 1/X

Alternativ könnte jeder App-Developer aber auch die Android-Eigenen Funktionen nutzen um die Geräteintegrität zu prüfen. Zumindest Laut Aussage der Entwickler von @GrapheneOS unter https://grapheneos.org/articles/attestation-compatibility-guide

Soweit ich das verstehe würde dies sogar eine höhere Sicherheit bedeuten, weil es dafür kein Vertrauen zu Google braucht.

Es gibt auch Banking-Apps die dieses Feature unproblematisch nutzen. 2/3

GrapheneOS attestation compatibility guide

Guide on using remote attestation in a way that's compatible with GrapheneOS.

GrapheneOS

Ich werfe also den Entwicklern der deutschen euIDAs-App Faulheit vor, weil Sie statt selbst etwas zu programmieren was dem Standard entspricht lediglich die Google-Lösung nutzen.

Sie müssten nicht einmal relevant viel neuen Code schreiben sondern lediglich eine Android-eigene API integrieren.

So wird das halt nichts mit Souveränität.

3/3

Björn Beck 10h ago

@kaffeeringe empfinde ich persönlich als nicht hinnehmbar. Wie kann man staatliche Apps in Abhängigkeit zu außereuropäischer proprietärer Technologie setzen? (rhetorische Frage) 🤔

@kaffeeringe
Wir bräuchten eine Lösung auf Geräteebene und nicht auf OS Ebene (ist das überhaupt möglich)?

Hammerwell 8h ago

@kaffeeringe Viel Besser. Bei der USA in Ungnade gefallen? Puff, Account weg. Gabs ja schon bei ICC-Richtern und Microsoft.

Marcel Geveler 7h ago

@kaffeeringe "wenn zwei US-Konzerne über ihre Nutzung bestimmen?"

Kleine Korrektur: Wenn am Ende ein faschistisches launisches Kleinkind darüber entscheidet ob man sich noch ausweisen kann oder nicht. <.<

@kaffeeringe Hatte die Diskussion vor kurzem in deren GitHub-Projekt, aber da wird sich nichts tun befürchte ich. Scheinbar ist die Spec schon fertig, in der wird das zwingend gefordert und jetzt sind die Devs zu strack das noch mal prüfen zu lassen.

@kaffeeringe ernstgemeinte Frage: kann das bitte jemand als Bundestagspetition so formulieren, dass es
a) fachlich richtig und fundiert ist
b) völlig klar ist, was genau das Problem ist und
c) auch für Leute verständlich ist, die keine Ahnung von Programmierung und Big Tech haben?
Bitte?