GrapheneOS

GrapheneOS
Startbildschirm von GrapheneOS
Entwickler GrapheneOS Foundation
Lizenz(en) MIT License, Apache License 2.0
Akt. Version 2021121602[1] vom 16. Dezember 2021
Kernel monolithisch
Abstammung Linux
↳ Android
↳ G. Android Hardening
↳ GrapheneOS
Architektur(en) ARM
Sprache(n) Englisch, Französisch, Italienisch, Arabisch
grapheneos.org

GrapheneOS ist ein gemeinnütziges Open-Source-Betriebssystem für Google Pixel-Geräte, das speziell auf Datenschutz und Sicherheit ausgerichtet ist. Es ist ein sogenanntes Android-Custom-ROM und basiert auf dem Android Open Source Project (AOSP) mit voller Android-App-Kompatibilität. Das Projekt, das 2014 als Abspaltung des CopperheadOS-Projekts gegründet wurde, konzentriert sich auf die Forschung und Entwicklung von Datenschutz- und Sicherheitstechniken. Hierzu gehören signifikante Verbesserungen im Bereich Sandboxing, Exploit-Abschwächung und dem Berechtigungsmodell.[2]

Entwickler und Geschichte

[Bearbeiten | Quelltext bearbeiten]

Im Jahr 2014 begann der Softwareentwickler Daniel Micay, sicherheitsrelevante Verbesserungen für das Projekt AOSP beizusteuern. 2015 gründete Micay gemeinsam mit James Donaldson die Firma Copperhead, welche ein auf Sicherheit optimiertes mobiles Betriebssystem entwickelte, das auf dem AOSP basiert. Der Name dieses Betriebssystems war CopperheadOS.[3]

Im Juni 2018 schied Daniel Micay, technischer Direktor (CTO) und 50-prozentiger Anteilseigner des Unternehmens, aus dem Unternehmen nach einem Streit mit Geschäftsführer (CEO) James Donaldson aus.[4] Der CEO versuchte nach Micays Aussage „das Projekt zwangsmäßig zu übernehmen“ und „stahl die Spenden“.[5] Micay, der große Teile von CopperheadOS entwickelte, veröffentlichte als dessen Fortsetzung Android Hardening, welches 2019 in GrapheneOS umbenannt wurde und den ursprünglichen Weg eines unabhängigen Open-Source-Projekts fortsetzt.[4]

Im Mai 2023 gab Micay bekannt, dass er als leitender Entwickler von GrapheneOS und als Direktor der GrapheneOS Foundation zurücktreten werde. Micay schrieb: „Ich bin nicht in der Lage, mit dem eskalierenden Niveau der Belästigungen, einschließlich der jüngsten Swatting-Attacken, umzugehen. Es wird einen reibungslosen Übergang geben.“[6] Stand April 2024 führt ihn die GrapheneOS Foundation allerdings weiterhin als einen von drei Direktoren.[7]

Datenschutz

[Bearbeiten | Quelltext bearbeiten]
Standardapps-Übersicht von GrapheneOS.

GrapheneOS verzichtet standardmäßig auf die Nutzung der Google-Play-Dienste, bietet aber die Möglichkeit diese in einer Sandbox mit weniger weitgehenden Berechtigungen nachzuinstallieren. Es enthält außerdem Datenschutz-Erweiterungen auf verschiedenen Ebenen des Betriebssystems und in den mitgelieferten Anwendungen. Einige Beispiele dafür sind:[8]

  • Der Zugriff auf die Zwischenablage für Anwendungen, die im Hintergrund laufen, ist standardmäßig deaktiviert.
  • Netzwerkzugriff (inklusive Wi-Fi und GSM) kann einzelnen Anwendungen entzogen werden.
  • Zugriff auf die Sensoren des Gerätes kann Anwendungen entzogen werden.
  • Kamerazugriff ist für Anwendungen, die im Hintergrund laufen, nicht möglich, und es wird angezeigt, wenn die Kamera benutzt wird.
  • Storage- bzw. Contact Scopes: Ermöglicht beschränkte Zugriffsvergabe zu Dateien und Kontakten an Apps
  • Verschlüsselte Backups durch die Integration der Seedvault-App mit Unterstützung für lokale Backups und alle Cloud-Speicheranbieter mit einer Cloudanbieter-App.
  • Das Update-Protokoll sendet keine identifizierbaren Informationen an den Update-Server und funktioniert gut über ein VPN oder mit Tor.
  • Schutz der Privatsphäre in WLAN-Verbindungen durch jeweils neue MAC-Adressen pro Verbindung

Sicherheit

[Bearbeiten | Quelltext bearbeiten]

Google Pixel ab Modell 6 auf denen GrapheneOS mit SW-Stand mindestens Anfang 2023 installiert ist, sind mit Stand Juli 2024 die einzigen Geräte auf die Cellebrites UFED laut ihrer eigenen Cellebrite Premium 7.69.5 Android Support Matrix nicht zugreifen kann.[9][10]

  • Vanadium: gehärtetes WebView und auf Chromium basierender Standardbrowser (WebView wird von den meisten anderen Anwendungen zur Verarbeitung von Webinhalten verwendet)
  • GrapheneOS PDF Viewer: abgesichterter PDF-Viewer, der vor Schadcode in Dokumenten schützen soll[11][8]
  • Beim Start aktualisiert ein HTTPS-Kontakt mit https://time.grapheneos.org/ die Zeit aus dem Datums-Header-Feld. Dies ersetzt die Android-Netzwerkzeitaktualisierung mittels Mobilfunknetz, wenn es verfügbar ist, oder per SNTP, wenn es nicht verfügbar ist. Dieser Abgleich ist sicherheitsrelevant, da die Zertifikat-Prüfung die exakte Zeit erfordert, die üblichen Standardprotokolle NTP/SNTP der meisten Betriebssysteme jedoch keine Authentifizierung nutzen.
  • gehärtete C-Standard-Bibliothek und Memory-Allocator zum Schutz vor Sicherheitslücken wie z. B. Pufferüberlauflücken.
  • diverse weitere kleinere Absicherungen zur Angriffsflächenreduktion wie z. B. beim Starten von Apps oder im Bootprozess.

Unterstützte Geräte

[Bearbeiten | Quelltext bearbeiten]

GrapheneOS hat offizielle Produktionsunterstützung für die folgenden Geräte:[12]

  • Pixel 9 Pro Fold (komet)
  • Pixel 9 Pro XL (komodo)
  • Pixel 9 Pro (kaiman)
  • Pixel 9 (tokay)
  • Pixel 8a (akita)
  • Pixel 8 Pro (husky)
  • Pixel 8 (shiba)
  • Pixel Fold (felix)
  • Pixel Tablet (tangorpro)
  • Pixel 7a (lynx)
  • Pixel 7 Pro (cheetah)
  • Pixel 7 (panther)
  • Pixel 6a (bluejay)
  • Pixel 6 Pro (raven)
  • Pixel 6 (oriole)

Die folgenden Geräte haben ihr Lebensende erreicht, erhalten keine vollständigen Sicherheitsupdates mehr und werden über erweiterte Support-Versionen von GrapheneOS unterstützt:[12]

  • Pixel 5a (barbet)
  • Pixel 5 (redfin)
  • Pixel 4a (5G) (bramble)
  • Pixel 4a (sunfish)
  • Pixel 4 XL (coral)
  • Pixel 4 (flame)

Daniel Micay gab 2022 bekannt, den Vertrieb eines fremdgefertigten OEM-Mobiltelefones mit GrapheneOS anzustreben.[13]

Unterstützte Banking-Apps

[Bearbeiten | Quelltext bearbeiten]

Banking-Apps sind eine besonders problematische Klasse von Apps für die Kompatibilität mit alternativen Betriebssystemen. Einige von ihnen funktionieren problemlos mit jeder GrapheneOS-Konfiguration, aber die meisten von ihnen haben umfangreiche Abhängigkeiten von Play-Diensten. Für viele dieser Apps reicht es aus, die Sandbox-Funktion von Google Play in GrapheneOS im selben Profil einzurichten. Leider gibt es noch weitere Komplikationen, die bei Nicht-Finanz-Apps im Allgemeinen nicht auftreten.[14]

Die folgenden Listen beinhalten Banking-Apps die getestet, eingereicht, überprüft und als kompatibel mit GrapheneOS verifiziert wurden.[15]
Stand: 21. Mai 2024

International

[Bearbeiten | Quelltext bearbeiten]
  • Payoneer
  • PayPal - Send, Shop, Manage
  • Paysend Money Transfer App
  • Revolut - Mobile Finance
  • UnionPay APP

Deutschland

[Bearbeiten | Quelltext bearbeiten]
  • 1822direkt Banking
  • 1822direkt QRTAN+
  • 1822TAN+
  • apoTAN
  • C24 Bank
  • comdirect
  • comdirect photoTAN App
  • Commerzbank Banking
  • Consorsbank
  • Deutsche Bank Mobile
  • Digitales Bezahlen
  • DKB
  • DKB-TAN2go
  • ElsterSecure – sicherer Login
  • finanzen.net zero Aktien & ETF
  • finanzen.net zero Secure TAN
  • flatex next: Aktien und ETF
  • FNZbanking
  • GLS Banking
  • GLS mBank Classic
  • ING Banking to go
  • Klarna — Shop now. Pay later.
  • Kontist
  • N26 — Love your bank
  • norisbank App
  • Pay – Die Bezahl-App
  • Penta — Business Banking App
  • PSD Banking
  • Santander Banking
  • SecureGo+ Renault Bank direkt
  • SecureGo plus
  • SMARTBROKER+ Aktien & ETF
  • Sparkasse Ihre mobile Filiale
  • TARGOBANK Mobile Banking
  • Tomorrow: Mobile Banking
  • Trade Republic: Broker & Bank
  • VR Banking – einfach sicher

Österreich

[Bearbeiten | Quelltext bearbeiten]
  • bank99 | Online Banking ex-ING
  • Bank Austria MobileBanking
  • complete Control
  • Mein ELBA-App
  • s Identity

Schweiz

[Bearbeiten | Quelltext bearbeiten]
  • ABS Mobile Banking
  • Airlock 2FA
  • BCN Mobile banking
  • BCV Mobile
  • Credit Suisse – CSX
  • debiX+
  • neon - your account app
  • PostFinance App
  • Prepaid TWINT & other banks
  • Raiffeisen E-Banking
  • ZKB Access
  • ZKB Mobile Banking

Rezeption

[Bearbeiten | Quelltext bearbeiten]

Edward Snowden sagte im September 2019: „Wenn ich heute ein Smartphone konfigurieren würde, würde ich Daniel Micays GrapheneOS als Basis-Betriebssystem verwenden.“[16][17] Diese Aussage bekräftigte er nochmals am 4. November 2022.[18]

[Bearbeiten | Quelltext bearbeiten]

Einzelnachweise

[Bearbeiten | Quelltext bearbeiten]
  1. ↑ Releases. (abgerufen am 20. Dezember 2021).
  2. ↑ GrapheneOS: the private and secure mobile OS. Abgerufen am 26. November 2023 (englisch).
  3. ↑ GrapheneOS, the true of successor of CopperheadOS, is here. In: reddit.com. Abgerufen am 8. März 2020.
  4. ↑ a b Android Hardening wird zu GrapheneOS. In: pro-linux.de. Abgerufen am 20. Februar 2024.
  5. ↑ History | GrapheneOS. Abgerufen am 28. Dezember 2020 (englisch).
  6. ↑ Daniel Micay: Daniel Micay (@DanielMicay). 26. Mai 2023, archiviert vom Original am 30. Mai 2023; abgerufen am 27. Mai 2023 (englisch).
  7. ↑ Federal Corporation Information – 1485757-7. Government of Canada, abgerufen am 8. April 2024 (englisch).
  8. ↑ a b Features overview | GrapheneOS. Abgerufen am 10. Mai 2024 (englisch).
  9. ↑ Claims made by forensics companies, their capabilities, and how GrapheneOS fares
  10. ↑ öffentlich gemachte Matrix von Cellebrite
  11. ↑ A Vulnerability in Mozilla PDF.js Could Allow for Arbitrary Code Execution. Abgerufen am 10. Mai 2024 (englisch).
  12. ↑ a b Frequently Asked Questions | GrapheneOS. Abgerufen am 26. November 2023 (englisch).
  13. ↑ Daniel Micay: GrapheneOS on X. In: X.com. 7. Februar 2022, abgerufen am 10. Mai 2024 (englisch).
  14. ↑ GrapheneOS.org. Abgerufen am 17. Mai 2024 (englisch).
  15. ↑ akc3n, Tommy, spring-onion: Banking Applications Compatibility with GrapheneOS. In: privsec.dev. 26. Januar 2022, abgerufen am 17. Mai 2024 (englisch).
  16. ↑ Edward Snowden: Ein Trick macht dein Handy abhörsicher (Memento vom 9. Juni 2021 im Internet Archive)
  17. ↑ Wie Edward Snowden sein Smartphone einrichten würde. In: derstandard.at. Abgerufen am 8. März 2020.
  18. ↑ Edward Snowden (@Snowden). In: nitter.net. Abgerufen am 7. November 2022 (englisch).