- Europas digitale ID-Wallets sollen für den Zugang zu öffentlichen Diensten und zur Online-Altersprüfung genutzt werden, setzen für Sicherheitsprüfungen aber auf private Plattformen wie die Google Play Integrity API und Apple Managed Device Attestation
- Play Integrity prüft, ob eine App auf einem echt zertifizierten Android-Gerät läuft, und nimmt dabei ein von Google lizenziertes Android sowie die Installation über den Play Store als Maßstab, wodurch die Abhängigkeit vom Google-Ökosystem wächst
- Wallet-Entwickler in den Niederlanden und Italien haben Play Integrity implementiert, wodurch Nutzer von de-Googled Betriebssystemen wie e/OS und GrapheneOS von öffentlichen Diensten ausgeschlossen werden könnten
- Das Architecture Reference Framework der EU verlangt keine Google-Attestierung, empfiehlt sie aber; Italien hat dies wie eine Pflicht ausgelegt, während die Schweiz sie wegen Bedenken zu Datenschutz, Datensouveränität und Wahlfreiheit ausschließt
- Wenn ID-Wallets öffentliche Infrastruktur sind, sollten statt der Abhängigkeit von Google- und Apple-Attestierungen offene, hardwarebasierte Attestierungsmechanismen verpflichtend sein
Digitale ID-Wallets stützen sich auf private Attestierungsdienste
- Europäische Regierungen führen digitale ID-Wallets ein, damit Bürger auf Dienste zugreifen und online ihr Alter nachweisen können
- Diese Wallets sind auf Sicherheitsdienste wie die Google Play Integrity API und Apple Managed Device Attestation angewiesen
- Solche Sicherheitsdienste werden als Remote Attestation bezeichnet und dienen dazu zu prüfen, ob die Wallet-App auf unveränderter Hardware ausgeführt wird
- Wenn Sicherheitsdienste privater Unternehmen in öffentliche Infrastruktur eingebaut werden, macht das die europäische Gesellschaft von privaten Unternehmen wie Google und Apple abhängig und kann Strukturen schaffen, die deren Interessen begünstigen
Die Play Integrity API schafft Google-zentrierte Kontrolle
- Die Google Play Integrity API ist eine von Google kostenlos bereitgestellte Software, mit der Entwickler die Integrität der Ausführungsumgebung einer App prüfen können
- Entwickler können damit prüfen, ob eine App auf einem „genuine certified Android device“ läuft
- kann zur Reduzierung von Bot-Missbrauch genutzt werden
- zur Betrugsprävention bei Banking-Apps
- zur Verhinderung von Cheating in Spiele-Apps
- Das Problem ist, dass diese API auch prüft, ob auf dem Gerät ein von Google lizenziertes Android läuft, und nicht lizenzierte Alternativen als potenzielles Sicherheitsrisiko behandelt
- Auch bei der Bewertung, ob eine App verändert wurde, dient der Google Play Store als Maßstab
- Es wird geprüft, ob die App modifiziert wurde
- Es wird geprüft, ob die App über den Play Store installiert wurde
- Dadurch schließt Play Integrity Betriebssysteme ohne Google-Lizenz aus und schafft eine Struktur, die zur Installation über den Play Store und zum Login mit einem Google-Konto drängt
- Dieses Design steht im Konflikt mit dem Digital Markets Act (DMA)
- Eine offenere Alternative ist die Hardware Attestation API von Android, die hardwarebasierte Sicherheitsprüfungen bereitstellt, ohne Richtlinien des Google-Ökosystems zu erzwingen
Wie staatliche Implementierungen monopolistische Strukturen stärken
- Die EU betont häufig das Ziel, Big-Tech-Monopole aufzubrechen, doch einige Mitgliedstaaten riskieren, durch die Einbindung der Google Play Integrity API in die Architektur digitaler ID-Wallets das Google-Ökosystem zu stärken
- Wallet-Entwickler in den Niederlanden und Italien haben Play Integrity implementiert
- Bei diesem Ansatz könnten Nutzer von de-Googled Betriebssystemen wie e/OS und GrapheneOS vom Zugang zu Wallet-Diensten ausgeschlossen werden
- Wenn Regierungen Googles Sicherheitsdienste in Wallets einbauen, übernehmen öffentliche Stellen die Rolle, die Plattformrichtlinien eines privaten Unternehmens durchzusetzen
- Das steht in einem Spannungsverhältnis zu Europas Ziel, digitale öffentliche Infrastruktur auf Grundlage öffentlicher Werte wie Offenheit, Inklusion und technologischer Souveränität aufzubauen
- Die EU-Regeln für ID-Wallets machen Interoperabilität zu einem Kernziel, doch Nutzer, die Betriebssysteme ohne vorinstallierte Google-Software, Google-Tracker und integrierte LLMs verwenden wollen, geraten in die Lage, für die Nutzung der Wallet Google-Software akzeptieren zu müssen
ID-Wallets sind keine gewöhnlichen Apps, sondern öffentliche Infrastruktur
- ID-Wallets sind ein zentrales Mittel für den Zugriff auf staatliche Dokumente und die Verwaltung von Logins zu öffentlichen Diensten
- Sie sind daher ein wichtiger Bestandteil digitaler öffentlicher Infrastruktur, die allen bereitgestellt werden sollte, ohne von Google und Apple abhängig zu sein
- Alternative de-Googled Betriebssysteme verlieren stark an Attraktivität, wenn zentrale Apps, die für den Login bei staatlichen Diensten erforderlich sind, wie Identitäts-Wallets, nicht nutzbar sind
- Forschung im EU-geförderten Mobifree-Projekt von Waag stützt dieses Problem ebenfalls
- In den vergangenen zwei Jahren wurde untersucht, welchen Wert ein de-Googled Mobile-Software-Ökosystem für unterschiedliche Endnutzer hat
- Viele der 120 Tester sahen die Kompatibilität mit zentralen Service-Apps wie Zahlungs-Apps und staatlichen Identifikations-Apps als wichtige Voraussetzung für den Wechsel zu einem de-Googled Betriebssystem
- Staatliche Entwickler müssen bei der Optimierung von Interoperabilität auch tiefere Stack-Ebenen berücksichtigen
- Da die Play Integrity API mit dem DMA kollidiert, widerspricht sie auch dem Ziel von ID-Wallets, europäische Souveränität zu stärken
Unterschiedliche Attestierungsansätze je nach Land
- Die EU stellt mit dem Architecture Reference Framework einen allgemeinen technischen Rahmen für die Wallet-Architektur bereit
- Dieses Framework verlangt von europäischen Regierungen nicht die Nutzung von Google-Attestierung, empfiehlt sie aber
- Wegen dieser Empfehlung unterscheiden sich die nationalen Ansätze
- Einige Länder verwenden keine Google-Attestierung
- Einige Länder implementieren sie auf eine Weise, die Richtlinien des Google-Ökosystems erzwingt
- Italien hat die Empfehlung zur Nutzung der Play Integrity API wie eine Pflicht ausgelegt
- Die Schweiz stützt sich auf den Attestierungsmechanismus von Android und schließt Play Integrity wegen Bedenken zu Datenschutz, Datensouveränität und Wahlfreiheit aus
- Die Niederlande und Italien nutzen Play Integrity bedingungslos und legen die Empfehlung zur Nutzung von Attestierungssoftware von Google und Apple sehr streng aus
- Wenn Europa digitale Autonomie ernsthaft verfolgt, sollte das Architecture Reference Framework Attestierungen von Google und Apple vollständig ausschließen und offene, hardwarebasierte Attestierungsmechanismen verpflichtend machen
- Das Beispiel der Schweiz zeigt, dass die Nutzung von Google Play Integrity nicht gerechtfertigt ist und andere Lösungen möglich sind
Öffentliche Rechenschaftspflicht und Wege zur Reaktion
- Da digitale Wallets öffentliche Infrastruktur sind, braucht ihr Designprozess öffentliche Beteiligung und Rechenschaftspflicht
- Bürger und Entwickler bringen ihre Bedenken in nationalen Repositories vor
- gitlab.opencode.de, der öffentliche Entwicklungs-Tracker für Wallets in Deutschland
- github.com/orgs/swiyu-admin-ch, das öffentliche Diskussionsforum der Schweiz
- Solche Kanäle sind legitime Wege, Probleme vorzubringen, ihre Reichweite ist jedoch auf ein schmales technisches Publikum begrenzt
- Nutzer alternativer de-Googled Betriebssysteme können von den Entwicklern der jeweiligen nationalen EUDI-Wallet-App Unabhängigkeit von Google- und Apple-Attestierungen verlangen
- Für die niederländische Wallet kann die Kontaktseite der EDI-Website des Außenministeriums genutzt werden
- Besorgte Bürger können ihre gewählten Vertreter auffordern, ID-Wallets von Google und Apple unabhängig zu machen
- Journalisten können politische und gestalterische Prozesse nachverfolgen
- Entwicklungsupdates und Repositories sind auf der EUDI-Wallet-Seite von developer.overheid.nl zu finden
- Treffen und Kontaktdaten sind auf der EDI-Website des niederländischen Außenministeriums zu finden
1 Kommentare
Hacker-News-Kommentare
Die Referenzimplementierung der Wallet in der EU verlangte strikt Google Play services
https://github.com/eu-digital-identity-wallet/eudi-app-andro...
Deshalb lehnt auch Italiens IO-App https://github.com/pagopa/io-app weiterhin Anfragen nach Unterstützung von GrapheneOS für Wallet-, Dokumenten- und Altersverifikationsfunktionen ab und verlangt Google
Es wird sich wohl nichts ändern, bis Klagen eingereicht werden; Hoffnung gibt es nur in der Zusammenarbeit von Motorola und GrapheneOS sowie bei Verbraucherverbänden, die wegen wettbewerbswidrigen Verhaltens klagen könnten
Man sollte in allen möglichen Kanälen gegen Apps, die Play services verlangen, seine Stimme erheben. Wenn später Klagen beginnen, helfen solche Aufzeichnungen dabei, die Unterstützung der Nutzer zu belegen
Jeder Bürger wird dazu gebracht, solchen Unternehmen einige hundert Euro zu zahlen, und diese Unternehmen führen dann wiederum Kampagnen gegen die Rechte der Bürger
Selbst wenn Probleme auftreten, erhalten Bürger keinerlei Unterstützung und müssen extrem asymmetrische Verträge eingehen, bei denen das Unternehmen fast keine Verantwortung trägt, aber weitreichende Rechte hat, die Gegenseite auf sehr unheimliche Weise zu verfolgen
Nur so kann jeder auf der Hardware seiner Wahl das Betriebssystem seiner Wahl nutzen
Die EU hat die Gefahr einer vollständigen Abhängigkeit von iOS und Android ausdrücklich vorausgesehen und das EUDI-Wallet-Framework so entworfen, dass auch andere physische Formen möglich sind
Dazu gehören zum Beispiel Smartcards wie heutige nationale Ausweise, eigenständige Hardware-Token und USB-Schlüssel
Wogegen man sich stellen sollte, ist die im Kern nutzerfeindliche Hardware-Attestierung. Eine populäre Android-Distribution zusätzlich zuzulassen, bedeutet im großen Ganzen nicht viel
Selbst wenn man sich statt auf Play Integrity auf Androids Hardware-Attestierungs-API stützt, ist das aus meiner Sicht ein Angriff auf die digitale Autonomie
Sicherheitsfunktionen, die auf der Fernattestierung der gesamten Plattform des Nutzers beruhen, laufen letztlich darauf hinaus, dass Regierungen das Recht bekommen zu bestimmen, welche Betriebssysteme zulässig sind, und das ist ein Machtmissbrauch des Staates
Dass diese Befugnis missbraucht wird, um Betriebssystementwickler zum Einbau von Backdoors für Geheimdienste zu drängen, ist nur eine Frage der Zeit, und den Leuten zu sagen, sie sollten zwei Smartphones besitzen, ist keine Lösung
Für anonyme digitale Altersverifikation auf Basis geeigneter Zero-Knowledge-Proofs (ZKP) oder Blind Signatures braucht man kein universelles Betriebssystem; einige kryptografische Grundoperationen und ein an das Gerät gebundener Schlüsselsatz reichen aus
Es ist keine überzogene Forderung, dass die EU einen dedizierten Hardware-Token entwickelt, der nur solche Funktionen bietet, und ihn allen Bürgern kostenlos als Alternative zur App zur Verfügung stellt. Damit wäre auch die Freiheit gewährleistet, digitale Dienste zu nutzen, ohne dass Menschen ohne Smartphone stark eingeschränkt werden
Man darf nur nicht die Fähigkeit einschränken, auf dem Telefon benutzerdefinierte Software auszuführen, und vor allem darf man nicht von allen ein von Google/Apple signiertes Telefon verlangen
Wenn man auf einem Pixel GrapheneOS installiert, sollten Bank- und Regierungs-Apps trotzdem funktionieren, und ich glaube, dass das trotz erzwungener Hardware-Sicherheit möglich ist
Aus Kundensicht könnte der mögliche Vorteil sein, darauf vertrauen zu können, dass die eigenen Schlüssel im Gerät sicher sind, aber das verfehlt den Kern
Was man wirklich braucht, ist eine Open-Source-Spezifikation, die Standardprotokolle definiert. Das Gerät erkennt, dass eine Anfrage aus einer vertrauenswürdigen Quelle stammt, etwa weil sie mit einem Regierungsschlüssel signiert wurde, und signiert diese Anfrage mit einem Schlüssel, den die Regierungs-API als zu dieser Person gehörig kennt
Ich stelle mir vor, dass man im Regierungsportal mehrere gerätespezifische öffentliche Schlüssel hinzufügen kann und dort auch den öffentlichen Schlüssel der Regierung teilt, der zur Verifikation von Anfragen dient. Ein Dienst, der eine Identitätsprüfung braucht, fordert den öffentlichen Schlüssel des Nutzers an, holt sich von der Regierungs-API ein Challenge-Token und leitet es an den Nutzer weiter
Der Nutzer prüft dann, ob diese Challenge mit einem Schlüssel signiert ist, dem er vertraut, signiert sie und gibt sie an die App zurück; die App sendet das an die Regierungs-API und erhält nur Zugriff auf den angeforderten Teil der Informationen. Wenn die App nur das Alter braucht, bekommt sie auch nur diese Information
Eine Smartphone-Implementierung könnte zum Schutz der Schlüssel Hardware-Attestierung verwenden wollen, aber es gibt keinen Grund, das verpflichtend zu machen. Ein gut entworfenes Public-Key-System reicht aus, und bei Bedarf sollte man Schlüssel leicht widerrufen und neue hinzufügen können
Ein europäisches digitales ID-System, das vollständig von zwei US-Unternehmen abhängt
Wurde nicht noch vor Kurzem davon gesprochen, dass Europas digitale Souveränität dringend sei? Oder war das nur symbolisches Gerede?
Aber in vielen Fällen gibt es keine europäischen Alternativen, die das unterstützen könnten. Es gibt kein einziges EU-Unternehmen, das auch nur nennenswerte Teile des von Google und Apple bereitgestellten Software-Stacks ersetzen könnte
Solange sich das regulatorische Umfeld nicht ändert, wird es das vermutlich auch künftig nicht geben
Nur weil möglicherweise jemand an Bord gewesen sein könnte, tatsächlich aber nicht an Bord war, und dessen einziges reales „Verbrechen“ darin bestand, die im Kern verfassungswidrigen illegalen Handlungen der USA offenzulegen und die USA damit bloßzustellen
Bei schwedischen Staatsanwälten war es dasselbe. Die USA konnten mit einem einzigen Anruf zwar keine Anklage, aber doch eine offizielle Aussage erwirken, durch die noch am selben Abend weltweit Schlagzeilen mit „Assange“ und „rape“ erschienen
Europäische Staaten verhalten sich im Großen und Ganzen wie Schoßhunde der USA, und das ist wirklich traurig. Trotzdem fällt der US-Präsident ihnen in den Rücken, indem er mit Invasion und Annexion droht oder grundlegende Pflichten gegenüber NATO-Mitgliedern völlig missachtet
Ich verstehe nicht, warum Europa sich immer weiter in die dummen Spiele der USA hineinziehen lässt. Wie man immer wieder sieht, wird eine solche Haltung nicht in gleicher Weise erwidert
Es funktioniert genau wie beabsichtigt. Die EU will, dass nur vollständig kontrollierbare Geräte und Betriebssysteme verwendet werden
Apps können verboten werden, wenn sie neue und absurde Vorschriften nicht einhalten
Regulierung schafft Monopole. Selbst wenn Regulierung die Kontrolle von Großkonzernen verringern soll, können kleinere Anbieter die Kosten meist nicht tragen und verlieren Marktanteile
Das ist tatsächlich etwas, das an Business Schools als Strategie für Wettbewerbsvorteile gelehrt wird. Unternehmen lobbyieren bei Regierungen dafür, Gesetze zu erlassen, die ihnen oberflächlich schaden, tatsächlich aber die Implementierungskosten erhöhen, das Spielfeld zugunsten der Etablierten kippen und ihnen Marktanteile verschaffen
Nicht jede Regulierung bricht Monopole auf, aber Regulierung ist auch das einzige Mittel, mit dem man sie aufbrechen kann
Es ist bekannt, dass alle „freien“ Märkte wegen des 1%-Gesetzes zu Monopolen tendieren. Da ein vollständig freier Markt nur als Abstraktion existiert und nicht in der Realität, braucht es Regulierung, um tatsächlich freie Märkte zu gewährleisten
In manchen Fällen ist der freie Markt die falsche Lösung, und ein reguliertes Monopol ist notwendig; ich denke, beim Thema Identität ist das genau so. Identität ist einer Person nämlich inhärent eindeutig zugeordnet
Theoretisch sollte eine Person nur eine einzige Identität haben, und außer in extrem seltenen und gut dokumentierten Ausnahmefällen ändert sich diese Identität nicht
Staaten sollten über gute Verfahren zur Bereitstellung von Identität verfügen, und wenn kleinen Staaten die Ressourcen fehlen, sollten große Staaten dies für alle bereitstellen. Das würde Inkompatibilitäten zwischen Staaten verringern und private Interessen ausschließen
Der Staat sollte das alleinige Monopol darauf haben, wessen Identität bescheinigt wird. Er ist der einzige Akteur, der nicht von Marktbedingungen beeinflusst wird
Länder, die bei diesem Thema weiter sind, funktionieren in der Praxis tatsächlich so. Wenn einzelne Staaten nicht zu einer gemeinsamen Lösung gelangen können, dann sollte es die Gemeinschaft tun
Hier hat die Gemeinschaft versagt. Sie hat keine europäische Lösung vorgeschrieben, sondern private Lösungen empfohlen
Der Privatsektor verfolgt eine Gewinnagenda und sollte daher nicht festlegen, was als Identität gilt und wie sie nachgewiesen wird. Der Staat sollte Lösungen evaluieren, aber Betrieb und Umsetzung sollten Sache des Staates sein
Es gibt viele Bereiche, in denen Marktlösungen gut sind, aber das gehört nicht dazu
Zum Beispiel zielt MMTIS (Multimodale Verkehrspassagierinformationen) ausdrücklich auf Innovation und neue Akteure ab. Es gibt auch weitere ähnliche Beispiele
Wichtig ist auch, wie teuer die betreffende Regulierung ist. In vielen Bereichen ist Regulierung absolut notwendig, damit Gebäude nicht einstürzen, Lebensmittel nicht giftig sind und Medikamente kein pharmakologisches Russisch Roulette werden
Das Ziel sollte daher sein, die Kosten-Wirkungs-Bilanz von Regulierung zu optimieren
Aber das ist etwas anderes als die pauschale Behauptung, „Regulierung schafft Monopole“
Wenn Google jemanden sperrt, verliert diese Person dann für immer auch den Zugang zu allen Diensten, die eine digitale ID erfordern?
Früher gab es einmal einen Fall, in dem ein YouTuber seine Livestream-Zuschauer aufforderte, per Emoji-Eingabe „abzustimmen“, worauf mehrere Google-Konten von Zuschauern wegen Spam gesperrt wurden[1]
Google ist außerdem dafür bekannt, ungern Nutzersupport zu leisten, daher ist individueller Rechtsschutz kaum zu erwarten
Es gibt bereits neue Ransomware. „Zahl, sonst verschicke ich Spam über dein Gmail und sorge dafür, dass du deine digitale ID verlierst“
[1] https://www.engadget.com/2019-11-10-youtube-reinstates-banne...
Eine relativ einfache, deutlich offenere und sicherere Lösung dafür wäre, die physische EU-Identitätskarte als Vertrauensanker zu verwenden und bei wichtigen Vorgängen wie hochwertigen Signaturen, dem Login auf neuen Geräten oder Anmeldungen nach wiederholten fehlgeschlagenen Authentifizierungen zu verlangen, dass Nutzer die Karte an ihr Telefon halten
Damit würde das „Problem“ offener Hardware und offener Betriebssysteme auf der Geräteseite vollständig verschwinden. Denn dann bräuchte man weder vertrauenswürdige Hardware noch Betriebssystemsignaturen mehr
Man könnte argumentieren, dass damit auf dem Telefon die Möglichkeit für Man-in-the-Middle-Angriffe entsteht. Die Karte hat weder Bildschirm noch PIN-Pad, daher kann man nicht wissen, was man signiert oder wem man die PIN gibt
Aber es ist fraglich, ob die Minderung dieses Risikos es wert ist, all die Abhängigkeitsprobleme in Kauf zu nehmen, die mit Telefon-Attestierungen einhergehen
Derzeit verfügen alle EU-Identitätskarten bereits verpflichtend über starke kryptografische Authentifizierung, allerdings in einer Form, die nur für persönliche Identitätsprüfungen nach dem ICAO-Standard für biometrische Ausweisdokumente verwendbar ist und nicht für den Remote-Nachweis der Identität. Es ist frustrierend nah an dem, was man braucht, aber eben nicht die tatsächlich benötigte Funktion
In Deutschland gab es ein Gerichtsurteil, dass die Deutsche Bahn (DB) Offline-Tickets anbieten muss, die ohne Computer oder Smartphone gekauft werden können, damit ältere Menschen nicht diskriminiert werden
Ich halte ein ähnliches Urteil auch für wahrscheinlich, falls die EUDI Wallet Google/Apple voraussetzt
Deshalb bezweifle ich, dass es ein ähnliches Urteil geben wird, solange EUDI eine optionale Alternative für Menschen bleibt, die Online-Dienste nutzen möchten
Die Menschen sind vom Play Store oder App Store abhängig, und auch die DB bietet ihre App nicht als Direktdownload an
Die EU hätte ein nutzerseitiges Authentifizierungssystem vorschreiben sollen, das für alles zufällige Zeichenfolgen als einzigen Authentifizierungsfaktor verwendet
Fast genau wie API-Tokens in moderner Unternehmenssoftware, nur eben für normale Menschen statt für App-Entwickler
Und für besonders sensible Anwendungen könnte man Hardware-Token ergänzend einsetzen
Passkeys hätten diese Rolle erfüllen können, wurden von der Branche aber schnell verwässert
Wie willst du täglich 50.000 Menschen unterstützen, die ihre zufällige Zeichenfolge verloren haben? Und weitere 50.000, die sie in irgendeine Website eingefügt haben? In Europa gibt es 1 Milliarde Menschen
Der allgemeine Maßstab ist folgender
Wenn ich einen digitalen Dienst oder ein Produkt nicht auf einem Computer nutzen kann, den ich vollständig selbst gebaut habe oder von jemandem bauen lassen kann, den ich ausgewählt habe, indem ich Code ausführe, den ich vollständig selbst geschrieben habe oder von jemandem schreiben lassen kann, den ich ausgewählt habe, dann ist das absolut nicht akzeptabel