Der Verlust des beliebten 2FA-Tools stellt das sicherheitsbewusste GrapheneOS vor ein Paradoxon

„Wenn das Betriebssystem nicht offiziell ist, müssen wir davon ausgehen, dass es schlecht ist.“

sagte Sean Wilden, Chief Technology Officer für hardwaregestützte Sicherheit bei Android. Beschrieben Die aktuelle Realität benutzerdefinierter Android-basierter Betriebssysteme als Reaktion auf ein echtes Sicherheitsdilemma. Graphene OS Benutzer Es wurde kürzlich entdeckt Welche Ein EinheimischerApple ID, der beliebte (und allgemein anerkannte) Zwei-Faktor-Authentifizierungsmanager, funktioniert nicht auf ihren Telefonen – Telefonen, auf denen ein Betriebssystem läuft, das sicherer und robuster ist als ein Standard-Android-Telefon.

„Wir wollen Benutzer alternativer Betriebssysteme nicht bestrafen, aber im Moment gibt es keine andere Wahl“, fügte Wilden hinzu, bevor er seinen offenen Vortrag abschloss. „Play Integrity hat keine Möglichkeit zu erraten, ob ein bestimmtes benutzerdefiniertes Betriebssystem das Sicherheitsmodell von Android vollständig untergräbt.“ .“

Fair spielenvorher SafetyNet-ZertifizierungDamit können Apps grundsätzlich prüfen, ob ein Android-Gerät Berechtigungen erteilt hat, die über die von Google vorgesehenen Formen hinausgehen, oder ob es gerootet wurde. Der Root-Zugriff ist für Hersteller einiger Anwendungen wie Banking, Zahlungen, Wettbewerbsspiele und urheberrechtlich geschützte Medien nicht attraktiv.

Es gibt neben Betrug und Phishing viele Gründe, warum jemand sein Android-Gerät rooten oder modifizieren könnte. Um seine Sicherheit zu beweisen, muss ein Android-Gerät jedoch über die Google Play Services API eine Verbindung zu Google-Servern herstellen und dann den Bootloader, die ROM-Signatur und den Gerätekernel überprüfen. GrapheneOS verfügt, wie die meisten benutzerdefinierten Android-ROMs, standardmäßig nicht über das Google Play Services-Bundle, ermöglicht Benutzern jedoch die Installation einer abgespeckten Version der Play Services, wenn sie dies wünschen.

Wilden machte Hoffnung auf eine Zukunft, in der ROMs Google von ihrer nichtkriminellen Natur überzeugen könnten. Notiz „Einige Gespräche mit High-End-ROM-Herstellern“ über den Pass KompatibilitätstestsuiteDann „eine Art Beziehung aufbauen, die wir nutzen können, um ihnen zu vertrauen“, aber Wilden merkt an, dass „das viel Arbeit auf beiden Seiten erfordert, auch von Seiten der Anwälte.“ Während sein Team gerne hilft, ist die Unterstützung bei Leveling up schon da schwierig, weil „Modder einen sehr kleinen Teil der Benutzerbasis ausmachen“.

Das offizielle GrapheneOS Weniger hoffnungsvoll. Es wurde darauf hingewiesen, dass ein anderes benutzerdefiniertes ROM, LineageOS, den verifizierten Startvorgang bei der Installation deaktiviert und „die Sicherheit auf verschiedene andere Arten wiederherstellt“, was zu der „falschen Annahme beiträgt, dass jedes alternative Betriebssystem die Sicherheit wiederherstellt und nicht der Produktionsqualität entspricht“. Eine typische LineageOS-Installation deaktiviert, wie die meisten benutzerdefinierten ROMs, den verifizierten Start, obwohl er mit Ausnahme von wieder aktiviert werden kann Es ist riskant und kompliziert. GrapheneOS hat Seite auf ihrer Website Zu seiner Position und Kritik am Authentifizierungsmodell von Google für Android.

Ars hat Google, GrapheneOS und Authy (über Eigentümer Twilio) um Feedback gebeten. Derzeit scheint es für keine der Parteien einen klaren Weg nach vorn zu geben, es sei denn, eine Partei ist bereit, das, was sie als angemessene Sicherheit erachtet, deutlich zu ändern.