Hilangnya alat 2FA yang populer menempatkan GrapheneOS yang sadar akan keamanan dalam sebuah paradoks

“Jika sistem operasinya tidak resmi, kita harus berasumsi bahwa itu buruk.”

kata Sean Wilden, chief technology officer untuk keamanan yang mendukung perangkat keras di Android. Dijelaskan Realitas sistem operasi kustom berbasis Android saat ini sebagai respons terhadap dilema keamanan yang nyata. OS Grafena Pengguna Hal itu ditemukan baru-baru ini Yang AsliID Apple, pengelola autentikasi dua faktor yang populer (dan umumnya dihormati), tidak akan berfungsi di ponsel mereka — ponsel yang menjalankan sistem operasi yang dirancang agar lebih aman dan tangguh dibandingkan ponsel Android standar.

“Kami tidak ingin memberikan sanksi kepada pengguna sistem operasi alternatif, namun tidak ada pilihan lain saat ini,” Wilden menambahkan sebelum mengakhiri pembicaraan jujurnya. “Play Integrity tidak dapat menebak apakah OS khusus tertentu benar-benar merusak model keamanan Android .”

Keamanan mainansebelumnya Sertifikasi Jaring KeamananIni pada dasarnya memungkinkan aplikasi untuk memeriksa apakah perangkat Android telah memberikan izin di luar bentuk yang dimaksudkan oleh Google atau telah di-root. Akses root tidak menarik bagi pembuat beberapa aplikasi yang mencakup perbankan, pembayaran, permainan kompetitif, dan media berhak cipta.

Ada banyak alasan mengapa seseorang melakukan root atau memodifikasi perangkat Android mereka, selain kecurangan dan phishing. Namun untuk membuktikan keamanannya, perangkat Android harus terhubung ke server Google melalui Google Play Services API, kemudian memverifikasi bootloader, tanda tangan ROM, dan kernel perangkat. GrapheneOS, seperti kebanyakan ROM Android khusus, tidak memiliki bundel Layanan Google Play secara default, namun memungkinkan pengguna untuk menginstal versi Layanan Play yang disederhanakan jika mereka menginginkannya.

Wilden menawarkan harapan di masa depan dimana ROM dapat meyakinkan Google akan sifat non-kriminalnya. catatan “Beberapa diskusi dengan pembuat ROM kelas atas” tentang izin tersebut Rangkaian pengujian kompatibilitas“Kemudian “membangun semacam hubungan yang dapat kita gunakan untuk mempercayai mereka,” tetapi Wilden mencatat bahwa “dibutuhkan banyak kerja keras dari kedua belah pihak, termasuk dari para pengacara.” sulit dilakukan karena “modder merupakan bagian yang sangat kecil dari basis pengguna.”

GrapheneOS resmi Kurang berharap. Disebutkan bahwa ROM khusus lainnya, LineageOS, menonaktifkan Boot Terverifikasi saat instalasi, dan “memulihkan keamanan dengan beberapa cara lain,” yang berkontribusi pada “kesalahpahaman bahwa setiap OS alternatif memulihkan keamanan dan tidak sesuai dengan kualitas produksi.” Instalasi LineageOS pada umumnya, seperti kebanyakan ROM khusus, menonaktifkan Boot Terverifikasi, meskipun dapat diaktifkan kembali, kecuali Ini berisiko dan rumit. GrapheneOS memiliki Halaman di situs webnya Mengenai posisi dan kritiknya terhadap model otentikasi yang diadopsi Google untuk Android.

Ars telah menghubungi Google, GrapheneOS, dan Authy (melalui pemilik Twilio) untuk mendapatkan masukan. Saat ini, tampaknya tidak ada jalan maju yang jelas bagi salah satu pihak kecuali salah satu pihak bersedia mengubah secara signifikan apa yang mereka anggap sebagai keamanan yang memadai.