Veiligheid
Veiligheid: locked bootloader (verified boot, rollback protection)
Geverifieerd opstarten (verified boot) is een belangrijk onderdeel van de veiligheid op een mobiel besturingssysteem. Het zorgt voor bescherming tegen ‘evil maid attacks’ (aanvallen die uitgevoerd worden door iemand die fysieke toegang heeft tot de telefoon) en het zorgt voor ‘rollback protection’ (voorkomt het kunnen terugdraaien van updates welke essentieel zijn voor veiligheid).
Op Android is enkel je data encrypted. Het besturingssysteem is niet encrypted (om belangrijke redenen) en dient daarom beschermd te worden. Verified boot zorgt voor de integriteit van het opererende besturingssysteem. In het onwaarschijnlijke geval dat het iemand (met fysieke toegang) toch gelukt is om aanpassingen te maken, zal verified boot dit terugdraaien op het moment dat het systeem opnieuw opgestart wordt.
GrapheneOS is het enige besturingssysteem wat dit op een volledige wijze geïntegreerd heeft. Bij GrapheneOS kun je dus nooit de bootloader unlocken zonder daarmee ook alle persoonlijke data op het toestel te verwijderen.
Bij andere deGoogled besturingssystemen hangt dit af van de hardware van de telefoon. Mocht dit wel ondersteund worden dan worden systeem app updates bij deze andere besturingssystemen vaak niet meegenomen (wat je wel wilt).
Veiligheid: hardware veiligheidsverificatie
De “Auditor app” en “verificatiedienst” helpen om er zeker van te zijn dat de installatie op het apparaat (firmware/software) écht is en niet is veranderd. Hiervoor worden sterke, fysieke eigenschappen van het apparaat gebruikt. Er wordt gecontroleerd of het apparaat echt is en of het de juiste persoonlijke code heeft. Dit gebeurt met hulp van een speciale sleutel die voor elk apparaat apart wordt gemaakt. Daarnaast worden er extra softwarecontroles uitgevoerd, waarbij GrapheneOS er voor zorgt dat alles veilig en betrouwbaar blijft. In onze start-handleiding op het Pro Privacy Platform leggen we onze klanten uit hoe de Auditor app werkt en wat alle verschillende meldingen betekenen.
Veiligheid: Razendsnelle uitrol van veiligheidsupdates
GrapheneOS staat bekend om zijn razendsnelle uitrol van veiligheidsupdates. Als alternatief besturingssysteem is het wel nog steeds van belang om de veiligheidsupdates van het ‘gewone Android’ te integreren. Gezien het gewone Android het meest gebruikte besturingssysteem ter wereld is, weet Google vaak als eerst waar bepaalde veiligheidslekken zitten. Zij zorgen er vervolgens voor dat deze lekken worden verholpen (want Google heeft wel baat bij veilige telefoons, privacy is natuurlijk een ander verhaal). Deze zogenoemde patches moeten vervolgens geïntegreerd worden door andere op Android-gebaseerde besturingssystemen. Wanneer je een Google Pixel gebruikt heb je sowieso al een snelheidsvoordeel, want bij de telefoons van Google worden de veiligheidsupdates als eerst uitgerold.
Deze patches worden vaak binnen twee dagen na publicatie al geïntegreerd in GrapheneOS. Andere ‘deGoogled’ besturingssystemen lopen hier vaak in achter, waardoor je in de tussentijd mogelijk gevaar kunt lopen. Digitale privacy en veiligheid is een constant kat- en muisspel. Veiligheidslekken zullen er altijd zijn. Des te sneller een besturingssysteem reageert op deze zwaktes, des te beter. In sommige specifieke gevallen heeft GrapheneOS zelfs sneller bepaalde lekken gedicht dan het standaard Google Android zelf (!).
Je vindt hier een overzicht van besturingssystemen en de reputatie die ze in het verleden hebben opgebouwd m.b.t. de snelheid van het uitrollen van veiligheidspatches.
GrapheneOS: 2 dagen, DivestOS: 1-3 weken, CalyxOS: ongeveer een week (soms langer), LineageOS: 1-2 weken, soms langer, /e/OS: ongeveer 2 maanden, soms langer
Veiligheid: Netwerk toegang blokkeren per applicatie (bij installatie)
De netwerk blokkade-functies op besturingssystemen die gebaseerd zijn op op LineageOS zijn niet waterdicht, omdat hun aanpak alleen directe netwerktoegang uitschakelt (via sockets), maar niet indirecte de toegang via de INTERNET-toestemming blokkeert. Hierdoor zijn er verschillende manieren om deze beperkingen te omzeilen, zonder dat tussenkomst van apps vereist is. Deze functionaliteit wordt regelmatig gebruikt door apps zonder kwaadaardige bedoelingen. Samenwerking tussen apps is een probleem bij alle soorten toegestane toegang, zoals toestemmingen, en geldt niet alleen voor de INTERNET-toestemming. Als de INTERNET-toestemming niet geblokkeerd wordt, is samenwerking tussen apps niet nodig. In het geval van GrapheneOS wordt de INTERNET-toestemming dus wel geblokkeerd.
Daarnaast kun je in GrapheneOS de netwerk permissie direct bij de installatie van een app al uitschakelen. Zo weet je zeker dat een specifieke app nooit toegang gehad heeft tot het internet (indien de app dit niet nodig heeft voor gebruik). Uiteraard kun je netwerk toegang ook later uitschakelen.
Veiligheid: Hardened memory allocator (Versterkte geheugen allocator)
Een versterkte geheugen allocator (toewijzer) is een beveiligingsgerichte, generieke geheugen allocator die is ontworpen om sterke bescherming te bieden tegen geheugenfouten door de kans op geheugenlekken te verminderen. Het biedt een standaard C-allocatie- en deallocatie-interface (zoals malloc, free, new, delete) en streeft ernaar veelvoorkomende kwetsbaarheden, zoals heap-gebaseerde buffer-overflows, gebruik na vrijgeven en dubbele vrijgave, te verminderen. Versterkte allocators hebben doorgaans minder metadata-overhead en minder geheugenverspilling door fragmentatie in vergelijking met traditionele allocator ontwerpen. Enkele voorbeelden van versterkte allocators zijn Scudo en hardened_malloc. GrapheneOS maakt gebruik van de laatste.
GrapheneOS en DivestOS zijn de enige besturingssystemen die gebruik maken van een versterkte geheugen allocator.
Veiligheid: Hardened webview (Versterkte webview)
Vertserkte webview verwijst naar het proces van veilige configuratie en implementatie van de WebView-component in Android-apps om de risico’s en kwetsbaarheden te verminderen die samenhangen met het weergeven van webcontent. Hierbij worden verschillende veiligheidsmaatregelen genomen om de integriteit en vertrouwelijkheid van de app en de gebruiker te beschermen.
Enkel GrapheneOS (met de ingebouwde Vanadium webbrowser) en DivestOS maken op dit moment gebruik van een hardened webview.
Privacy
Privacy: MAC address willekeurig per connectie
GrapheneOS ondersteunt per-verbinding MAC-randomisatie en schakelt het standaard in. Dit is een een veel betere aanpak dan de standaard willekeurige MAC die door het gewone Android besturingssysteem wordt gebruikt. In het standaard Android besturingssysteem wordt namelijk standaard een uniek willekeurig MAC-adres per netwerk gebruikt.
Een MAC-adres is een uniek adres welke door middel van een WiFi verbinding jouw apparaat kan identificeren. MAC-randomisatie (een willekeurig gegenereerd nummer) staat in GrapheneOS standaard ingeschakeld om je te beschermen tegen WiFi-scans. Zo wordt er voorkomen dat je apparaat als hetzelfde apparaat geïdentificeerd kan worden door meerdere WiFi netwerken. Geassocieerde MAC-randomisatie wordt standaard uitgevoerd. Dit kan echter per netwerk worden beheerd.
GrapheneOS en DivestOS zijn de enigen die een willekeurig MAC adres per verbinding ondersteunen. Andere deGoogled besturingssystemen hebben de standaard Android per netwerk MAC instelling.
Privacy: Storage en Contact scopes
Storage Scopes is een functionaliteit waarmee je aan bepaalde apps toegang kunt toekennen tot specifieke bestandsmappen op je telefoon, zonder dat de app alle dus al je bestanden kan inzien. De app denkt echter wel dat er toegang is verleend tot de gehele telefoon. Mocht je bijvoorbeeld een foto via Signal willen versturen zonder Signal toegang te willen geven tot al je bestanden, dan kun je met de Storage Scopes functie Signal enkel toegang geven tot een specifieke map waarin de desbetreffende foto staat (bijvoorbeeld de Downloads map). Signal heeft op deze manier ook niet de mogelijkheid om zelf mappen aan te maken, in tegenstelling tot het standaard Android besturingssysteem waar een app dit zelfs zonder permissies kan doen.
Contact Scopes is een zelfde soort functionaliteit van GrapheneOS waarmee je een app toegang kunt geven tot specifieke contacten. De app kan dan alleen deze specifieke contacten inzien en niet bij de rest komen. Zo maak je het voor een app als WhatsApp (Facebook) bijvoorbeeld lastiger om ‘social graphs’ te maken en je volledige sociale kring in kaart te kunnen brengen.
GrapheneOS is het enige besturingssysteem wat je de mogelijkheid biedt om van Storage Copes en Contact Scopes gebruik te kunnen maken. Heb je een Pro Privacy Phone? Dan vind je een uitgebreide uitleg van deze functionaliteiten in de GrapheneOS handleiding op het Pro Privacy Platform.
Privacy: Per app sensor rechten controle
Sensors-toestemmingsknoppen: verbied toegang tot alle andere sensoren die niet worden gedekt door bestaande Android-permissies (Camera, Microfoon, Lichaamssensoren, Activiteitsherkenning), inclusief de accelerometer, gyroscoop, kompas, barometer, thermometer en elke andere sensor welke aanwezig is op het apparaat. Wanneer de toegang wordt uitgeschakeld, ontvangen apps bij het controleren van de sensordata nulwaarden en worden er geen gebeurtenissen verstuurd. GrapheneOS toont een gemakkelijk te negeren melding wanneer apps proberen toegang te krijgen tot sensoren die door de ontzegging van de toestemming zijn geblokkeerd. Dit maakt het functiegebruik gemakkelijker, omdat gebruikers kunnen zien of de app probeert toegang te krijgen tot deze functionaliteit.
Om compatibiliteit met Android-apps te behouden, staat de nieuwe toestemming standaard ingeschakeld. Wanneer een app probeert toegang te krijgen tot sensoren en nulwaarden ontvangt de gebruiker een melding omdat de toestemming is geweigerd. Deze kan gemakkelijk worden uitgeschakeld.
Privacy: Geen device identifier leaks
GrapheneOS heeft verschillende belangrijke apparaatidentificatie-lekken opgelost, waardoor apps de unieke identificatie van een apparaat niet meer kunnen achterhalen (zoals Android het bedoeld heeft). GrapheneOS elimineert ook verschillende gaten in het voorkomen dat apps toegang hebben tot hardware-identificatoren, inclusief het verstrengen van de beperkingen voor apps die legacy-versies (oudere ondersteunde versies) van het Android-platform targeten.
GrapheneOS is het enige besturingssysteem dat deze optimalisaties heeft doorgevoerd.
Privacy: Metadata stripping voor screenshots
Op Android staan er bij elke screenshot EXIF-gegevens (Exchangeable Image File Format) met gevoelige metadata, zoals gedetailleerde informatie over het besturingssysteem en de versie (android.os.Build.DISPLAY). Deze informatie lekt het besturingssysteem, de versie en meestal ook het type apparaat.
GrapheneOS zorgt ervoor dat deze gevoelige metadata niet wordt meegestuurd bij het maken van screenshots. Het schakelt de EXIF Software-tag uit met informatie over het besturingssysteem en de versie. Daarnaast schakelt het de EXIF-gegevens met lokale datum, tijd en tijdzone-afwijking uit, tenzij de gebruiker dit zelf inschakelt in de privacy-instellingen. Dit gebeurt om te voorkomen dat er via onzichtbare metadata informatie wordt gelekt over de tijd en de locatie.
Het is belangrijk om te weten dat de datum en tijd al in de naam van het screenshotbestand worden vermeld, wat volledig zichtbaar is voor de gebruiker. Deze informatie kan eenvoudig door de gebruiker worden aangepast zonder extra tools. GrapheneOS biedt in de privacy-instellingen een schakelaar om de EXIF-gegevens alsnog in te schakelen, omdat sommige gebruikers deze informatie misschien wel handig vinden.
GrapheneOS, DivestOS en CalyxOS zijn de enige besturingssystemen die dit doen
Meer functionaliteiten
GrapheneOS heeft nog veel meer geweldige functionaliteiten, denk bijvoorbeeld aan:
- Auto Reboot: indien het toestel X aantal uur ontgrendeld is (zelf in te stellen) wordt het toestel automatisch opnieuw opgestart waardoor het in de ‘voor de eerste unlock status’ terecht komt, wat de meest veilige status van de telefoon is. Dit is geweldig als je telefoon bijvoorbeeld in beslag genomen is of gestolen is.
- Sandboxed Google Play: met deze privacy-vriendelijke versie van Google Play Services kun je zo’n beetje elk mogelijke applicatie draaien op GrapheneOS. Dit is standaard niet geïnstalleerd, hier kun je dus zelf voor kiezen indien je dit nodig hebt. Dit is nodig bij bijvoorbeeld bank apps, sommige big tech applicaties etc.
- Automatisch Wifi/Bluetooth uitschakelen: wanneer je je wifi of bluetooth onnodig aan laat staan kan dit gevolgen hebben voor je privacy. Om die reden kan je in GrapheneOS automatisch je wifi en je bluetooth uit laten schakelen na het X aantal minuten niet gebruikt te hebben.
- Fysieke SIM-kaart uitschakelen: het gebruiken van een SIM-kaart heeft vaak privacy-gevolgen. In GrapheneOS heb je de mogelijkheid om een fysieke SIM-kaart uit te schakelen! Op die manier hoef je je SIM-kaart niet uit je telefoon te halen indien je deze niet wilt gebruiken. Dit is bij andere besturingssystemen vaak wel het geval. Je kan dan dus tijdelijk enkel gebruik maken van een anonieme data eSIM (meer informatie op ons Pro Privacy Platform).
En dan hebben we nog niet eens alles genoemd. Daarnaast komen er nog veel meer geweldige functionaliteiten aan. Denk bijvoorbeeld aan een alternatieve pincode waarmee je je telefoon volledig kunt wissen! Wie weet ik welke noodsituatie dat van pas kan komen…