GrapheneOS-Nutzer wegen der Verwendung von GrapheneOS den Behörden gemeldet

• GrapheneOS ist ein OS mit verstärkten Sicherheits- und Datenschutzfunktionen. Auslöser der Kontroverse war ein Screenshot einer Yoti-Kundensupport-Antwort mit der Formulierung, dass Geräte mit GrapheneOS „automatisch markiert und automatisch an die Behörden sowie das Sicherheitsteam gemeldet“ würden.
• Die zentrale Sorge ist, dass ein Datenschutz-OS als Hochrisiko-Signal behandelt werden könnte, wenn Dienste zur Alters- und Identitätsprüfung bereits die Nutzung von GrapheneOS selbst als Meldegrund ansehen.
• Apps können OS und Gerätemodell über Standard-APIs, Speicherinspektion, die Hardware Attestation API und Play Integrity identifizieren; in der App lässt sich das praktisch nicht verbergen.
• Die Gegenposition lautet, dass sich aus der überzogenen Aussage eines einzelnen Support-Mitarbeiters schwer eine dystopische Zukunft ableiten lässt und dass Yoti womöglich eher die Nichtverwendung von Google Mobile Services erkannt hat als gezielt GrapheneOS zu erkennen oder zu blockieren.
• Als pragmatische Reaktion wird vorgeschlagen, ein günstiges oder älteres stock-Android-Gerät ohne sensible Daten ausschließlich für Identitätsprüfung und Behörden-Apps zu verwenden und Käufe von Produkten, die Identitätsnachweise verlangen, zu überdenken.

---

Darstellung des Vorfalls und erste Reaktionen

• Ein Screenshot einer Kundensupport-Erfahrung mit Yoti enthält die Aussage, dass Yoti Geräte mit GrapheneOS automatisch markiere und solche Fälle automatisch an die Behörden und das Sicherheitsteam melde.
• Der dazu geteilte Reddit-Thread verbindet dies mit der Erfahrung, dass die Nutzung von GrapheneOS im Altersverifizierungsprozess von Yoti als Problem behandelt worden sei.
• Im Mittelpunkt der Kritik steht die Sorge, dass GrapheneOS von Diensten wie Yoti identifiziert und gesondert behandelt werden kann und dass die Nutzung von GrapheneOS selbst zu einem „heatscore“ werden könnte, wenn ein Dienst dies als Grund für Meldungen an Strafverfolgungsbehörden betrachtet, während Alters- und Identitätsprüfungen immer weiter ausgedehnt werden.
• Einige Reaktionen äußerten die Hoffnung, dass Sony seinen Partner für Altersverifikation wechselt, hielten das aber für sehr unwahrscheinlich.
• Es gibt auch Reaktionen, die die britische Entwicklung bei Alters- und Identitätsprüfung samt rechtlichem Umfeld als orwellsch oder dystopisch bewerten.

Erkennbarkeit von GrapheneOS

• Es wird erklärt, dass GrapheneOS-Geräte wegen ihrer umfangreichen Exploit-Abwehrmaßnahmen fingerprintbar sind.
  • Als Beispiel wird darauf hingewiesen, dass Schutzfunktionen wie secure exec spawning, die es auf anderen Systemen nicht gibt, als Side-Channel dienen können.
• Apps können die Hardware Attestation API anfordern und den verifiedBootKey mit den GrapheneOS-Boot-Keys abgleichen, um GrapheneOS zu erkennen.
• Eine weitere Erklärung lautet, dass Apps das laufende OS leicht erkennen können, indem sie Standard-APIs verwenden oder ihren eigenen Speicher prüfen.
  • Dabei gehe es nicht nur darum, dass GrapheneOS zusätzliche Datenschutz- und Sicherheitsfunktionen einführt; erklärt wird auch, dass sich Unterschiede zwischen Android-OEM-OSen sowie das Modell des laufenden Geräts identifizieren lassen.
• Play Integrity kann prüfen, ob Google-zertifizierte Hardware und ein Google-zertifiziertes stock-OS laufen, verwendet dafür selbst die Hardware Attestation API und soll deren Nutzung künftig verpflichtend machen.
• Wenn alle Apps in einer softwaregerenderten virtuellen Maschine unter demselben OS laufen, lassen sich Gerätemodell und das Bare-Metal-Host-OS verbergen; wenn aber nur GrapheneOS einen solchen Ansatz nutzt, bleibt GrapheneOS selbst weiterhin erkennbar.
  • Zudem wird erklärt, dass viele Apps versuchen, Virtualisierung, Emulation und andere Formen von Manipulation zu erkennen, und dass einer der Hauptzwecke der Play Integrity API genau darin besteht, dies zu erkennen und zu unterbinden.

Bewertung und Gegenargumente zu Yotis Vorgehen

• Eine Kritik lautet, dass Anbieter von Altersverifikation eine feindselige Haltung gegenüber Projekten einnehmen könnten, die Sicherheit und Datenschutz tatsächlich verbessern, und dass die Antwort des Kundensupports eine uninformierte Haltung zeige, die Sicherheit und Datenschutz nur für Kriminelle halte.
• Eine weitere Sorge ist, dass ein Nutzer erst nach dem Hochladen sensibler Dokumente mit GrapheneOS erfahren habe, dass seine Identität Gegenstand einer Meldung sein könnte, und dass dadurch die Anonymität seines Proton-Postfachs verloren gegangen sein könnte.
• Ein starkes Gegenargument sieht in dem Fall vor allem Panikmache auf Basis einer absurden Aussage eines Support-Mitarbeiters.
  • Die Nutzung von GrapheneOS ist nicht illegal, und es wird für sehr wahrscheinlich gehalten, dass der Support-Mitarbeiter die Geschichte erfunden hat, um das Ticket zu schließen.
  • Es gilt als unwahrscheinlich, dass Yoti gezielt GrapheneOS erkannt oder dessen Nutzung verboten hat; wahrscheinlicher sei, dass erkannt wurde, dass kein unverändertes OS mit Google Mobile Services verwendet wird.
• Es gibt auch die Reaktion, dass es ein sehr großer Sprung sei, allein aus der Aussage eines einzelnen Support-Mitarbeiters eine dystopische Zukunft vorherzusagen.

Vorgeschlagene Reaktionen und Nutzungstrennung

• Als pragmatische Reaktion wird vorgeschlagen, ein günstiges oder älteres stock-Android-Smartphone ohne sensible Daten separat bereitzuhalten.
  • Also ein Gerät ohne Kontakte, E-Mail mit persönlichen Gesprächen, Messenger-Apps und Ähnliches.
  • Es soll nur als eine Art „Pass“-Gerät für Identitätsprüfung oder möglicherweise verpflichtende Behörden-Apps dienen.
• Vorgeschlagen wird eine Trennung der Nutzung: das GrapheneOS-Gerät für alle allgemeinen Zwecke, aber nicht für Identitätsnachweise.
• Es wird geraten, noch einmal zu überlegen, ob eine Identitätsprüfung bei einem bestimmten Anbieter den Aufwand für eine einzelne Spielkonsole überhaupt wert ist.
• Wenn ein Unternehmen Handlungen verlangt, die man nicht akzeptieren will, sei es eine reife Entscheidung, das betreffende Produkt nicht zu kaufen.
• Zudem wird vorgeschlagen zu hinterfragen, ob Games, Videostreaming oder Erwachsenen-Inhalte wichtiger sind als Privatsphäre und Würde, und sich ein anderes Hobby zu suchen, wenn Identifizierung verlangt wird.
• Außerdem wird vorgeschlagen, sich an Gesetzgeber zu wenden, um Entwicklungen wie Altersverifikation und die Notwendigkeit von Google-Apps zurückzudrängen.

Zweifel an der Verifizierung und ähnliche Fälle

• Es gibt Reaktionen, wonach viele Menschen Sicherheit, Datenschutz und Anonymität grundsätzlich mit Kriminellen verbinden.
  • Als Beispiel wird ein Bekannter aus dem Bereich Strafverfolgung genannt, der überrascht gewesen sei, dass jemand GrapheneOS nutzt, weil er dachte, das würden nur Kriminelle tun; der Grund sei gewesen, dass die einzigen Nutzer, die er gesehen habe, Kriminelle gewesen seien.
  • Daraufhin habe man erklärt, was GrapheneOS ist, warum man es nutzt und warum man es für das beste OS hält.
• Ein weiterer Fall berichtet davon, dass man am Arbeitsplatz nachdrücklich dagegen argumentieren musste, Tor-Exit-IPs und Domains für E-Mail-Aliasing pauschal zu blockieren.
• Mit der Analogie, „nur Kriminelle verstecken ihr Schlafzimmer hinter einer Wand“, wird die Denkweise kritisiert, Privatsphäre mit Kriminalität gleichzusetzen.
• Es gibt auch die Reaktion, dass Beschäftigte in der Strafverfolgung wegen ihres Berufs und ihrer symbolischen Rolle sogar größere Ziele sein können und daher noch stärker von den Vorteilen von GrapheneOS profitieren könnten.
• Ein mitzitierter Hacker-News-Kommentar äußert den Verdacht, dass der ursprüngliche Reddit-Poster viele Beiträge zu Altersverifikation, Umgehung und Privatsphäre veröffentlicht und sein Profil verborgen habe.
  • Derselbe Kommentar vertritt außerdem die Ansicht, dass der Screenshot der E-Mail-Antwort des Unternehmens leicht bearbeitet worden sein könnte und man sich deshalb bei der Geschichte insgesamt nicht sicher sein könne.
  • Außerdem wird argumentiert, dass ein Anbieter von Altersverifikation einem blockierten Nutzer normalerweise nicht den Grund für die Erkennung mitteilen würde, weil das so wäre, als würde man das Rezept einer geheimen Quelle preisgeben.

[GN⁺]

Hacker-News-Kommentare

• Der OP dieses Reddit-Posts hat viele Beiträge zu Altersverifikation, Umgehungen und Privatsphäre gepostet und sein Profil inzwischen verborgen. Nachdem das auch im Thread angesprochen wurde, hat er sein Profil versteckt, aber man kann es noch finden, wenn man nach „reddit PaiDuck“ googelt
  Das heißt nicht, dass dieses Unternehmen im Recht war, aber es wirkt so, als habe diese Person bei mehreren Altersverifikationsfirmen ausgetestet, wie weit sich Umgehungsversuche treiben lassen, bis sie gesperrt wird. Auch die Antwort per Firmen-E-Mail ließe sich vor dem Screenshot leicht bearbeiten, daher ist schwer sicher zu sein, ob die Geschichte überhaupt stimmt. Wenn ich eine Altersverifikationsfirma betreiben würde, würde ich einem gesperrten Nutzer niemals sagen, warum er erwischt wurde. Das wäre, als würde man das geheime Rezept preisgeben

  • Der Mitarbeiter des Unternehmens sagte, dass alle Nutzer von GrapheneOS ohne weitere Bedingungen gemeldet werden. Vermutlich wurden die personenbezogenen Daten da bereits hochgeladen, und genau das ist der wirklich schwerwiegend unfaire Teil
  • Ich halte es für eine wirklich schlechte Entscheidung, dass Leute ihre Historie verbergen können
    https://arctic-shift.photon-reddit.com/search

• „Na, Kumpel, haben Sie eine Lizenz für dieses Betriebssystem?“
  Das Erstaunliche an dieser Geschichte ist nur, dass der Nutzer einen Polizeibesuch bekam und nicht wegen eines „nicht kriminellen Cybersicherheitsvorfalls“ angeklagt wurde. Das Vereinigte Königreich ist wirklich zu einem furchtbaren Land geworden

  • Ja. Die Polizei kann von jedem Passwörter verlangen, und wenn man sie nicht herausgibt, kann man ins Gefängnis kommen
    Ich habe nicht vor, dort hinzugehen. Die USA haben auch viele Probleme, aber im Vergleich zu anderen Ländern haben Bürger dort in Sachen Bürgerrechte ziemlich starke Rechte
  • Das ist wirklich das Endziel, und der Teil des Kriegs gegen die Privatsphäre, vor dem ich am meisten Angst habe. Künftig könnte schon der Versuch, ein Recht auf Privatsphäre geltend zu machen, als Verdachtsmoment gelten
  • https://www.openbsd.org/lyrics.html#35
  • Es ist zu lustig, Briten dabei zuzusehen, wie sie das abstreiten
  • Lasst uns bitte nichts sagen wie „Na, Kumpel, haben Sie eine Lizenz für dieses Betriebssystem?“

• Wenn die Behörden herausfinden, dass ich ein Hacker-News-Konto habe, bin ich erledigt

  • In der Highschool brachte ich The Hacker's Dictionary mit, um es einem Freund zu zeigen, und ein Lehrer sah es
    Ein paar Wochen später gab es einen Hacking-Vorfall. Eine gemeinsam genutzte Tabelle mit Schülernoten, auf die alle Lehrer Zugriff hatten, wurde verändert, sodass einige Noten stiegen und andere fielen. Meine gehörten zu den erhöhten, und die von Leuten, mit denen ich nicht gut auskam, zu den gesenkten. Während der Untersuchung wurde ich sofort nach Hause geschickt, aber am Ende passierte nichts
    Einige Jahre später verriet ein Freund die ausgefeilte Methode, mit der er das Passwort des Musiklehrers herausgefunden hatte: Er hatte einfach den Zettel unter der Tastatur gesehen, auf dem „bassoon“ stand
  • Ist mir wirklich passiert. 2022 wurde mein Haus in Australien von der Polizei durchsucht. Acht Monate später hieß es, ich könne die beschlagnahmte Ausrüstung abholen, und der zuständige Beamte erklärte mir, welche Punkte ihm verdächtig vorkamen
    1. Nutzung von MEGA. Das werde zum Teilen von CSAM verwendet
    2. Nutzung virtueller Maschinen
    3. „Tor ist auf meinem Computer.“ Klingt unsinnig, aber genau das wurde gesagt
       Sie hatten wirklich überhaupt keine Ahnung. Man darf nicht unterschätzen, wie wenig sie verstehen. Eine Erklärung dafür, dass etwas harmlos ist, kann für sie leicht wie ein Schuldeingeständnis klingen
       Es war eine augenöffnende Erfahrung, und ich sowie viele meiner Verwandten respektieren seitdem die Kompetenz der Strafverfolgungsbehörden deutlich weniger
  • Als ich einmal zu einem Hackathon in einem anderen Land flog, machte ich mir Sorgen, wie ich den Grenzbeamten diesen Namen erklären sollte. Zum Glück kam das Thema nicht auf

• Lassen wir einmal beiseite, dass die Quelle kein Nachrichtenportal ist, bei dem ein Journalist seinen Ruf aufs Spiel setzt, um den Wahrheitsgehalt zu prüfen, sondern ein Reddit-Post, der einen Text-Screenshot verlinkt
  Jeder kann aus irgendeinem Grund irgendwen bei den „Behörden“ melden. Das heißt noch lange nicht, dass eine nicht näher benannte Behörde tatsächlich tätig wird. Und wenn das kein Scherz ist, ist es auch ziemlich seltsam, dass Yoti nicht angibt, an welche Strafverfolgungsbehörde solche Meldungen gehen

  • „Ein Nachrichtenportal, bei dem ein Journalist seinen Ruf aufs Spiel setzt“ – haben Sie in letzter Zeit den Ruf der meisten „Journalisten“ gesehen? Einige britische Zeitungen veröffentlichen regelmäßig einfach neu verpackte Beiträge aus Foren wie Reddit oder Mumsnet

• Diese Antwort sieht aus, als wäre sie aus einer Textbausteinvorlage erzeugt worden, und der Teil mit der „Meldung an die Behörden“ ist wahrscheinlich ungefähr so wahr, wie wenn sudo dasselbe sagt

• https://postimg.cc/3kVXKzhk

  • Was sudo angeht: https://xkcd.com/838/
  • sudo macht das tatsächlich standardmäßig. Ich hasse es wirklich, dass ich auf meinem Computer E-Mail-Berichte über meine eigenen fehlgeschlagenen Authentifizierungsversuche bekomme

• Wenn man die Behauptung genauer liest, lautete die eigentliche Nachricht von Yoti so
  „Aufgrund früherer Sicherheitsbedenken markiert Yoti automatisch mehrfache Verifizierungsversuche und alle Geräte, auf denen GrapheneOS läuft. Solche Fälle werden automatisch sowohl an die Behörden als auch an das Sicherheitsteam gemeldet.“
  Danach heißt es
  „Leider wurde das Konto aufgrund mehrerer Versuche auf diesem speziellen Gerät als verdächtige Aktivität markiert.“
  Das „and“ wirkt also wie ein Tippfehler. Oder das System hätte Mehrfachversuche auf GrapheneOS-Geräten von vornherein gar nicht zugelassen
  Bedeutet also: Wenn man auf einem GrapheneOS-Gerät mehrfach eine Verifizierung versucht, wird das Konto markiert

  • Glückwunsch dazu, dass GrapheneOS als Betriebssystem der nächsten Generation anerkannt wurde. Mit einem alten Android oder OS X wäre man wohl einfach nur als verwirrter Babyboomer abgetan worden

• In den letzten 15 Jahren haben die westlichen Medien ständig „China“ gerufen, und trotzdem ist es erstaunlich, dass so etwas im Westen passiert, während man in China offenbar frei ist, jedes Betriebssystem zu nutzen, ohne Nachteile befürchten zu müssen. Warum ist das so? Was passiert da?

  • China übt Kontrolle auf einem völlig anderen Niveau aus. Dass man dort das gewünschte mobile Betriebssystem nutzen kann, liegt daran, dass sie sämtliche Internetverbindungen überwachen, sehen, was heruntergeladen wird, alle Inhalte blockieren können, die sie für unangemessen halten, und es kaum Möglichkeiten gibt, dagegen Einspruch einzulegen. Außerdem können sie Menschen verhaften und in Arbeitslager schicken.
    Damit will ich das Verhalten der britischen Polizei hier nicht verteidigen, aber diese Leier von „genauso schlimm wie China“ taucht oft auf und trifft meist nicht zu.
  • Der Teil über China stimmt nicht, aber es stimmt schon, dass westliche Staaten sich als viel freier darstellen, als sie tatsächlich sind.
    Wenn man in China Xi nicht kritisieren oder dagegen protestieren kann, dann versuch doch mal im Rest der Welt, Gesetze zu kritisieren oder dagegen zu protestieren. Das gilt besonders für Dinge, die unter dem Vorwand der Privatsphäre getan werden, und ich erinnere mich daran, dass das Vereinigte Königreich Leute wegen Facebook-Posts ins Gefängnis gebracht hat. So etwas passiert sonst eher in Ländern der Dritten Welt.
    Das Vereinigte Königreich hatte ohnehin nie besonders viel vorzuweisen, und jetzt macht die USA dasselbe, was ziemlich beängstigend ist.
    Vor Reisen in irgendein Land prüfe ich inzwischen als Erstes meine Social-Media-Accounts und lösche alles, was bei einer Kontrolle am Flughafen problematisch sein könnte. Früher dachte man, so etwas passiere in entwickelten Ländern nicht.
    Freunde sagen immer noch, so schlimm sei es nicht, aber seit ein paar Jahren jeden Monat einen solchen Beitrag auf HN zu lesen, ist einfach beängstigend.
  • In 50 westlichen Ländern interessiert das niemanden, und vielleicht liegt es einfach daran, dass das Vereinigte Königreich als einzige Ausnahme beim Online-Policing merkwürdige Dinge macht. Selbst im Vereinigten Königreich verhängen Gerichte dafür keine Strafen; man hört nur von Maßnahmen der Polizei.
    Das Vereinigte Königreich befindet sich seit dem Brexit in starkem Niedergang und hat vielleicht Angst vor Unruhen in der Bevölkerung.
    In China kommt man für oppositionelle Aktivitäten in ein Umerziehungslager. Oder vielleicht sind Vorfälle in China einfach so vorhersehbar, dass sie keinen Nachrichtenwert mehr haben.
  • Es war nie so einfach wie „der Westen gut, China böse“.
    Dieses von der US-Regierung vorangetriebene Propagandanarrativ hat fast ein Jahrhundert lang gut funktioniert, aber jetzt nicht mehr.

• In den Kommentaren zu dem Beitrag hat jemand eine lange FAQ dazu verlinkt, wie GrapheneOS von Apps erkannt werden kann und Ähnliches [1]. Ich verstehe nicht, warum man nicht überall, wo es möglich ist, versucht, sich als Stock Android/Google zu tarnen.
  [1] https://grapheneos.org/faq#:~:text=Apps%20can%20detect%20tha...

  • Das Ziel ist, die Nutzung alternativer Betriebssysteme zu normalisieren. In dem Moment, in dem man nach Workarounds sucht und das Problem nicht anspricht, akzeptiert man die Position der Gegenseite, und irgendwann gehen auch die Workarounds aus.
    Antworten nach dem Muster „Über Y kann man X ja noch, also wurde es nicht entfernt“ sieht man oft, manchmal sogar ganz oben, in Beiträgen von Unternehmen, die geschlossene Ökosysteme weiter zementieren. Das liefert vielleicht eine kurzfristige Lösung, behebt aber nicht das eigentliche Problem. Ich wünschte, wir würden das nicht tun.
  • Das wäre sinnlos. Wenn die Abschwächung für use-after-free-Schwachstellen aktiviert ist, kann eine App einfach tatsächlich versuchen, einen Use-after-free auszuführen, und so feststellen, dass sie vorhanden ist. Die einzige Möglichkeit, die Abschwächung unbemerkt zu halten, wäre, sie zu deaktivieren.
  • GrapheneOS konzentriert sich darauf, die Privatsphäre und Sicherheit der Nutzer zu erhöhen, nicht darauf, die 0,01 % der problematischen Apps zu täuschen.
    Das ist ein Katz-und-Maus-Spiel, das erhebliche Investitionen erfordern würde und am Ende sogar noch verdächtiger wirken könnte. Besser ist es, die Verbreitung zu erhöhen, damit Unternehmen solche dummen Entscheidungen schwerer treffen können. Ich habe sogar schon eine Banking-App gesehen, die nach Hinweisen von Kunden die Unterstützung für GrapheneOS bei Hardware Attestation ausdrücklich ergänzt hat.
    Selbst spezielle Browser zur Erkennungsvermeidung werden laufend blockiert und müssen ständig gepatcht werden. Das ist kein Bereich, auf den sich GrapheneOS konzentrieren sollte.
  • Oberflächliche Tarnung ist sinnlos. Wenn es einer App wichtig ist, kann sie einfach die Play Integrity API verwenden, und GrapheneOS kann diese nicht fälschen.
    0: https://developer.android.com/google/play/integrity/overview
  • Das GrapheneOS-Team nimmt Sicherheit ernst, und Tarnung könnte eine Sperre tatsächlich erst rechtfertigen.
    Unter https://grapheneos.org/articles/attestation-compatibility-gu... heißt es:

    GrapheneOS not only upholds the app security model but substantially reinforces it, so it cannot be justified with reasoning based on security, anti-fraud, etc.

• Da das Internet auch für Betrug genutzt werden kann, wäre es wohl besser, einfach alle Internetnutzer bei den Behörden zu melden.

  • Genau. Und nicht vergessen: Wer ein Auto besitzt oder fährt, ist ganz sicher ein Krimineller, denn Autos werden schließlich als Fluchtfahrzeuge bei schweren Straftaten benutzt.
  • Da fällt mir gerade ein: Was würde passieren, wenn plötzlich eine Meldungsflut einträte, die man gar nicht mehr bewältigen kann? Wenn alle GrapheneOS-Nutzer diese App installieren und gemeldet werden, und man zusätzlich noch Bots oder Fake-Accounts drauflegt?
  • Die meisten Menschen, die ein Betriebssystem ohne Backdoor verwenden, sind keine Betrüger, aber wahrscheinlich träfe das immer noch etwas häufiger zu als die Annahme, jemand sei ein Betrüger, nur weil er das Internet nutzt.
  • Meinst du so etwas? https://en.wikipedia.org/wiki/Collection_of_Internet_Connect...

• Ein neues Zeitalter der Piraterie kommt auf uns zu. Wenn sie wegen ihrer „Einnahmen“ jammern, wird man sich an die heutigen Tage erinnern.

  • Bitte nenn das nicht Piraterie. Dann klingen wir wie Diebe.
    Das ist Widerstand gegen Massenüberwachung und einen Staat, der wie Krebs gewachsen ist. Eigentlich kommt es einer Bürgerpflicht nahe.
  • Was meinst du damit?