[GraheneOS] [E/OS] Play Integrity onnodig en ongewenst

[franssie]

Zoals enkelen melden in
[GrapheneOS] Ervaringen & Discussie en [/e/OS] Ervaringen & Discussie
zijn er apps zoals bankieren van ASN, maar bijvoorbeeld ook IKEA Home, en vast veel anderen die niet werken op de genoemde de-googled android versies.
Dit terwijl we als EU en Nederland los willen komen van de US (en CN) infra.

In beide topics worden heel zinnige bijdragen geplaatst in de afzonderlijke discussies, maar aangezien dit beide versies betreft leek het me handig om een topic te starten over dit specifieke probleem, zodat enerzijds de kennis wordt gebundeld, gezamenlijk actie kan worden ondernomen richting de Tweede Kamer en het EU parlement.

Ik ben technisch en juridisch niet voldoende om de inhoudelijk technische en juridische kant te beschrijven dus wellicht wil iemand als mede TS dat toevoegen aan deze topic start?

EDIT: Een eerder NRC artikel waarin al wordt benoemd dat WERO gebruikt maakt van AWS (naast Paystore en AppStore).
https://www.nrc.nl/nieuws...kost-dat-a4936388/appview

edit: PSD3 lijkt al redelijk definitief te zijn maar moet nog door het EP
https://www.regulationtom...s-texts-at-first-reading/

edit https://www.tweedekamer.n...ommissies/commissies/diza

[ Voor 20% gewijzigd door franssie op 07-11-2026 01:50 ]

[ranjo]

Goed idee om een los topic aan te maken. Random de issues met ASN vind ik dit ook een waardevolle pagina om door te lezen(zijn waarschijnlijk meer tweakers actief op): https://github.com/PrivSec-dev/banking-apps-compat-report/issues/105

[S91]

Nu nog voorbeeldmails

[franssie]

@S91 Zoiets?
Impossibl3 in "[GrapheneOS] Ervaringen & Discussie"

ASN Bank sluit privacybewuste klanten uit van Wero door afhankelijkheid van Google Play Integrity

Verzoek om AOSP-attestation in plaats van Google Play Integrity
Een ideële bank met een maatschappelijk profiel mag van haar klanten verwachten dat zij kritisch staat tegenover grote technologiebedrijven. Klanten, waaronder ik, kiezen juist voor ASN Bank omdat zij waarde hechten aan duurzaamheid, ethiek en onafhankelijkheid. Omgekeerd mag de klant dan ook verwachten dat de bank dezelfde kritische houding hanteert en haar klanten niet overlevert aan niet-Europese big tech-partijen. Helaas gebeurt dit op dit moment wel.

Als klant gebruik ik een mobiel besturingssysteem zonder Google-diensten (een zogenaamde alternatieve ROM, zoals GrapheneOS of Murena). Omdat ASN Bank voor de apparaatvalidatie bij het gebruik van Wero Google Play Integrity inzet, werkt de app op ontgooglede systemen niet, terwijl iDEAL wel wordt ondersteund. Daarmee maakt ASN Bank het gebruik van ontgooglede systemen vrijwel onmogelijk en word ik, juist de klant die bewust niet aan big tech meedoet, het slachtoffer van deze keuze. Dit terwijl de privacy-bewuste klant juist aansluiting zoekt bij een bank met ideële uitgangspunten. Met dit beleid jaagt ASN Bank al haar privacybewuste klanten weg.

Ik ben van mening dat het gebruik van Google Play Integrity dan ook niet past bij een bank als ASN. Graag vraag ik ASN Bank om AOSP-attestation te implementeren, in plaats van Google Play Integrity.

Daarbij komt dat ASN Bank nog steeds in handen is van de Nederlandse Staat via NLFI (https://www.nlfi.nl/over-nlfi/). De afhankelijkheid van een Amerikaanse validatiedienst is niet in lijn met de Nederlandse Digitaliseringsstrategie (NDS) (https://www.digitaleoverh...n-over-digitale-toekomst/) , waarin het kabinet stelt dat Nederland zelf baas moet worden over zijn digitale toekomst en expliciet inzet op digitale autonomie. Juist van een bank in publiek bezit mag worden verwacht dat zij deze lijn volgt.

Het is dan ook bijzonder ironisch dat Wero, het Europese betalingssysteem dat digitale soevereiniteit zou moeten uitdragen, binnen de ASN-app gekoppeld wordt aan een Amerikaanse validatie-API van Google. Juist voor deze bank vind ik die afhankelijkheid niet juist: uw aandeelhouder wil digitale soevereiniteit, maar in de praktijk ondermijnt ASN deze lijn. Overigens blijkt uit berichtgeving dat Wero deels op Amazon AWS draait, waardoor ook dit platform niet immuun is voor Amerikaanse wetgeving, zoals de CLOUD Act. Er is dus nog een lange weg te gaan.

Ik hoop dat ASN Bank deze feedback serieus overweegt en kiest voor een attestatie-oplossing die voor alle klanten, ook degenen met privacybewuste keuzes, toegankelijk blijft.

Achtergrondinformatie over Play Integrity-API.
De Google Play Integrity-API maakt onderdeel uit van de Google Play Services en functioneert daardoor uitsluitend op apparaten waarop die diensten aanwezig zijn. Op basis van deze API kan een apparaat in beginsel drie beoordelingen ontvangen: MEETS_BASIC_INTEGRITY, MEETS_DEVICE_INTEGRITY en MEETS_STRONG_INTEGRITY.

De twee hoogste beoordelingen zijn echter niet alleen een maatstaf voor de veiligheid van het toestel. Deze controleren tevens of het apparaat door Google zelf is gecertificeerd. Voor besturingssystemen die niet door Google zijn goedgekeurd, is dat niet het geval. Het gevolg is dat zelfs een smartphone die in de praktijk uiterst veilig is, nooit verder komt dan de laagste beoordeling: MEETS_BASIC_INTEGRITY.

Toepassingen die aan die laagste beoordeling onvoldoende waarde hechten, waaronder betalingen via Wero in de ASN-app, bestempelen het toestel vervolgens als onveilig en blokkeren de functionaliteit. Dit gebeurt ook bij GrapheneOS, een op Android gebaseerd besturingssysteem dat in veiligheidsopzicht als veiliger wordt beschouwd dan de Android-versie van Google zelf, maar dat nu eenmaal geen certificering van Google heeft.

Voor achtergrondinformatie over AOSP-attestation verwijs ik u naar: https://developer.android.../security-key-attestation en https://grapheneos.org/ar...ation-compatibility-guide.

Een overzicht van Europese telefoons zonder Google-diensten is te vinden op: https://tuta.com/blog/degoogled-phones.

Omdat het verspreidt is over twee topic heb ik ook niet alles scherp. Maar hier gaat wel iets fout in de NL/EU aspiraties om onafhankelijk te worden van andere regio's wat belangrijk is voor bijvoorbeeld een Strafhof.

EDIT:
Ook specifiek ASN maar het probleem is breder natuurlijk

nonagoninf in "[GrapheneOS] Ervaringen & Discussie"

quote: https://www.asnbank.nl/ba...urzaam-aandelenfonds.html

In het onderzoek van 2025 vonden onze duurzaamheidsonderzoekers kwesties op het gebied van privacy van consumenten en tegelijkertijd lobbywerk voor minder strenge privacyregels.

[ Voor 4% gewijzigd door franssie op 07-11-2026 01:17 ]

[Compuchip87]

Mooie brief. En in het andere topic is een voorbeeld van een melding naar Brussel:

Maaixs in "[/e/OS] Ervaringen & Discussie"

[esdeboer]

Je kan ook naar een europarlementariër mailen: https://www.europarl.europa.eu/meps/en/search/advanced?name=&countryCode=NL

Ik zou het inderdaad breder trekken dan een specifieke app en het over Play Integrity hebben en de aanstootgevende apps als voorbeeld noemen. Voor inspiratie https://alexaltea.github.io/blog/posts/2026-06-25-dma-play-integrity/ . Ik zou in ieder geval noemen dat de Hardware Attestation API in android veiliger is en geïmplementeerd kan worden door andere Android OSen zonder het vereisen van Google services.

Maar zolang de EU Play Integrity aanraad in de eigen digital identity wallet weet ik niet of ze er snel iets aan gaan doen https://github.com/eu-digital-identity-wallet/eudi-app-android-wallet-ui/issues/287