[GrapheneOS] Ervaringen & Discussie

[nonagoninf]

Vaevictis_ schreef op maandag 2 november 2026 @ 11:33:
Ik heb dit zelfde verhaal met ASN bank. Daar werkte de hele app niet toen zat ik op LineageOS het antwoord van ASN 2e lijnssupport was "Koop maar een Samsung device." Behoorlijk arrogante houding en was voor mij de reden om over te stappen op GrapheneOS.

Wow, dat voor een ideëele bank!

[nonagoninf]

Impossibl3 schreef op zondag 1 november 2026 @ 23:51:
Volgens mij is dit de controle waar een bankapp in feite naar vraagt: is dit toestel wat het zegt te zijn, en is de software ongewijzigd?

Ja, wat ze in feite willen is dat er geen persistente malware is die zou kunnen leiden tot verlies van geld en dat de app zelf niet gewijzigd is door malware. Die zorgen begrijp ik overigens, maar nog geen reden niet ook support voor AOSP attestatie toe te voegen.

Dus ze gebruiken Play Integrity om te verifiëren dat het OS getekend is door een vertrouwde sleutel (volgens Google dan, dit deel is strong/device integrity) en dat de app getekend is met hun (ASN) sleutel (basic integrity). AOSP remote attestation kan beide bevestigen.

DroidGuard in Play Integrity doet ook extra verificatie, zoals controleren of de telefoon niet rooted is, SELinux enforced is, etc. Maar dat is op GrapheneOS allemaal irrelevant, want rooten of SELinux uitschakelen vereist dat je het OS aanpast en dan zou remote attestation van het OS falen. Dus dat wordt op deze manier al gedetecteerd.

[Vaevictis_]

nonagoninf schreef op maandag 2 november 2026 @ 12:21:
[...]

Ja, wat ze in feite willen is dat er geen persistente malware is die zou kunnen leiden tot verlies van geld en dat de app zelf niet gewijzigd is door malware. Die zorgen begrijp ik overigens, maar nog geen reden niet ook support voor AOSP attestatie toe te voegen.

Dus ze gebruiken Play Integrity om te verifiëren dat het OS getekend is door een vertrouwde sleutel (volgens Google dan, dit deel is strong/device integrity) en dat de app getekend is met hun (ASN) sleutel (basic integrity). AOSP remote attestation kan beide bevestigen.

DroidGuard in Play Integrity doet ook extra verificatie, zoals controleren of de telefoon niet rooted is, SELinux enforced is, etc. Maar dat is op GrapheneOS allemaal irrelevant, want rooten of SELinux uitschakelen vereist dat je het OS aanpast en dan zou remote attestation van het OS falen. Dus dat wordt op deze manier al gedetecteerd.

Het is gewoon incompetentie van de PO / ontwikkelaars. Die kiezen voor Play Integrity want dat is bekend, de rest boeit ze niet. Dat kun je ook zien aan het antwoord dat je krijgt "we voldoen aan de hoogte beveiligingsnormen."

Als je daar niets mee kunt is het "Koop maar een Samsung device." Of bij de Rabobank destijds "U kunt ook uw rekening opzeggen,"

[Impossibl3]

Vaevictis_ schreef op maandag 2 november 2026 @ 12:25:
[...]


Het is gewoon incompetentie van de PO / ontwikkelaars. Die kiezen voor Play Integrity want dat is bekend, de rest boeit ze niet. Dat kun je ook zien aan het antwoord dat je krijgt "we voldoen aan de hoogte beveiligingsnormen."

Als je daar niets mee kunt is het "Koop maar een Samsung device." Of bij de Rabobank destijds "U kunt ook uw rekening opzeggen,"

Ja mooi dat zelfde kreeg ik te horen bij de Rabo. Maar het installeren van Aurora store was dan weer geen probleem en mijn app draait lekker door. Punt is wel als ASN niets gaat aanpassen dan ben ik toch gedwongen om mijn Pixel terug te zetten naar Google Android spijtig genoeg. Ik ga niet nog een toetstel er bij nemen en krijg mijn vrouw echt niet zo ver dat we naar een andere bank gaan (met de kans op het zelfde gezeur).

Edit:
Ik vond het destijds ook al zo jammer dat de banken allemaal naar Visa zijn overgestapt. Ik had juist de rekeningen gesplitst zodat ik Mastro en Visa had als betaal omgeving. Dat mocht er eentje uit vallen ik nog kan betalen. Maar ondertussen zitten de Rabo, ABN en ASN allemaal op Visa.

Kan eerlijk gezegd niet wachten op de Digitale Euro zodat ik daar ook mee kan betalen.

[ Voor 20% gewijzigd door Impossibl3 op 02-11-2026 12:39 ]

[BdK9001]

Impossibl3 schreef op maandag 2 november 2026 @ 12:33:
[...]


Ja mooi dat zelfde kreeg ik te horen bij de Rabo. Maar het installeren van Aurora store was dan weer geen probleem en mijn app draait lekker door. Punt is wel als ASN niets gaat aanpassen dan ben ik toch gedwongen om mijn Pixel terug te zetten naar Google Android spijtig genoeg. Ik ga niet nog een toetstel er bij nemen en krijg mijn vrouw echt niet zo ver dat we naar een andere bank gaan (met de kans op het zelfde gezeur).

Edit:
Ik vond het destijds ook al zo jammer dat de banken allemaal naar Visa zijn overgestapt. Ik had juist de rekeningen gesplitst zodat ik Mastro en Visa had als betaal omgeving. Dat mocht er eentje uit vallen ik nog kan betalen. Maar ondertussen zitten de Rabo, ABN en ASN allemaal op Visa.

Kan eerlijk gezegd niet wachten op de Digitale Euro zodat ik daar ook mee kan betalen.

In het kader van de overstap naar Visa, precies toen ik ASN mobiel betalen wilde gaan gebruiken stapten ze over op Google Play. Ach ik kan altijd de workaround met twee telefoons gebruiken, of als het echt te gortig wordt mijn shoppen maar doen met de Samsung van werk...