Auf Mastodon ansehen
Die deutsche Volla Systeme GmbH hat ein Industriekonsortium angeregt und führende europäische Hersteller von mobilen Betriebssystemen und Endgeräten zusammengebracht, um eine unabhängige Alternative zu Google Play Integrity zu entwickeln. Ziel ist eine unabhängige, transparente und vertrauenswürdige Lösung für die Sicherheitsprüfung – frei von der Kontrolle eines einzelnen US-Konzerns.
„Mit UnifiedAttestation schaffen wir ein transparentes und vertrauenswürdiges Verfahren für die Sicherheitsprüfung, auf die Entwickler und Herausgeber von Apps gleichermaßen vertrauen können. Damit beseitigen wir die letzte Hürde für die Verwendung alternativer mobiler Betriebssysteme", sagt Dr. Jörg Wurzer, Geschäftsführer der Volla Systeme GmbH und Initiator des Konsortiums.
Beim ersten virtuellen Arbeitstreffen von sechs informellen Konsortialpartnern am 13. Februar waren unter anderem Vertreterinnen und Vertreter von Murena sowie der e.foundation (Frankreich), Iodé (Frankreich) und Apostrophy (Schweiz) anwesend.
Weitere europäische und ein führender Hersteller aus Asien sowie Europäische Stiftungen wie die deutsche UBports-Stiftung haben Interesse an der Unterstützung angemeldet. Erste Entwickler und Herausgeber staatlicher Apps aus Skandinavien prüfen zudem, als First Mover das neue Verfahren einzusetzen.
Allen beteiligten Herstellern gemeinsam ist der Fokus auf Google-freie mobile Betriebssysteme, überwiegend auf Basis des Android Open Source Projektes (AOSP).
Sicherheitsparadox bei Google Play Integrity
Google Play Integrity ist ein Android-Dienst, der App-Entwicklern eine Schnittstelle bereitstellt, um zu prüfen, ob eine App auf einem Gerät mit bestimmten Sicherheitsanforderungen ausgeführt wird. Dies betrifft insbesondere Anwendungen aus sensiblen Bereichen wie Identitätsnachweis, Banking oder digitale Wallets – einschließlich Apps von Regierungen und öffentlichen Verwaltungen.
Der Dienst unterscheidet drei Sicherheitsstufen. Für die beiden höheren Stufen ist eine Zertifizierung des Betriebssystems durch Google erforderlich – jeweils spezifisch für ein bestimmtes Gerätemodell.
Eine solche Zertifizierung wird jedoch ausschließlich für Googles eigenes, proprietäres „Stock Android" angeboten. Da dieses eng mit Google-Diensten und Google-Rechenzentren verflochten ist, entsteht ein strukturelles Abhängigkeitsverhältnis – und für alternative Betriebssysteme ein faktisches Ausschlusskriterium.
Aus Sicht des Konsortiums ergibt sich daraus ein sicherheitstechnisches Paradox: Die Prüfung der Vertrauenswürdigkeit erfolgt durch genau jene Instanz, deren Ökosystem gleichzeitig vermieden werden soll.
„Wenn die Vertrauensprüfung selbst von nur einem Marktakteur kontrolliert wird, entsteht strukturelle Abhängigkeit," schließt der Volla Gründer.
UnifiedAttestation: Offene Architektur mit drei Komponenten
Volla Systeme hat für das erste Arbeitstreffen eine Basisversion der Alternative vorbereitet. Unter dem Projektnamen „UnifiedAttestation" entsteht eine modulare Architektur mit drei zentralen Elementen:
- Ein Betriebssystem-Dienst, der mit wenigen Codezeilen in Apps integriert werden kann. Apps können darüber eine Anfrage stellen, ob das jeweilige Betriebssystem definierte Sicherheitsanforderungen erfüllt.
- Ein dezentral betriebener Validierungsdienst, der prüft, ob das Zertifikat eines Betriebssystems auf dem betreffenden Gerät gültig ist.
- Eine offene Test-Suite, die zur Prüfung und Zertifizierung eines Betriebssystems für ein konkretes Gerätemodell dient.
Geplant ist ein Peer-Review-Verfahren: Die Konsortialmitglieder prüfen und zertifizieren ihre Betriebssysteme sowie Smartphone- oder Tablet-Modelle gegenseitig. Dadurch soll Transparenz geschaffen und Vertrauen durch Nachvollziehbarkeit ersetzt werden.
„Wir wollen Vertrauen nicht zentralisieren, sondern transparent und öffentlich überprüfbar organisieren. Wenn Unternehmen die Produkte der Konkurrenz prüfen, können wir jenes Vertrauen stärken," erklärt Dr. Wurzer.
Die Software wird quelloffen entwickelt und unter einer liberalen Apache 2.0 Lizenz veröffentlicht. Sie kann damit auch in kommerziellen Produkten ohne Lizenzkosten eingesetzt werden.
Breite Unterstützung aus Industrie und Politik
Mit einem weltweit führenden Hersteller von mobilen Endgeräten und einer renommierten Europäischen Open-Source-Stiftung hat das Konsortium Aussicht auf Partner, die wesentlich dazu beitragen können, UnifiedAttestation international sichtbar zu machen und bei App-Entwicklern sowie Herausgebern zu etablieren. Ziel ist es, diese Industrieinitiative als offenes Kooperationsformat unter dem Dach der Eclipse Foundation zu etablieren. Erste Gespräche dazu haben bereits begonnen.
Parallel zum Projektstart sucht Volla Systeme bereits erste App-Entwickler und Herausgeber, die UnifiedAttestation als Early Adopter einsetzen. Gespräche mit Entwicklern von ID- und Verwaltungs-Apps laufen. Auch auf politischer Ebene besteht Interesse an einer europäischen, transparenten Lösung.
Das Projekt versteht sich als pragmatischer Beitrag der Wirtschaft zur digitalen Souveränität: Statt regulatorischer Forderungen werden konkrete technische Alternativen geschaffen.
Titelbild: https://cloud.hallo-welt-systeme.de/s/63cJKwQYEj2YsLT
Quellen:
... "Auch auf politischer Ebene besteht Interesse an einer europäischen, transparenten Lösung." Na prima, von der US Krake zur EU Krake. Die EU Politik wird dann höchstwahrscheinlich ein Wörtchen mitreden wollen. Und was das bedeutet wissen wir ja alle.
Prinzipiell eine gute Idee. Nur wenn "die Politik" daran auch Interesse hat, sollten die Alarmglocken klingeln. Besonders die EU Politik zeigt mehr als deutlich, dass sie nicht im Interesse der Bürger bzw. Verbraucher oder Nutzer handelt.
Warum schreibt ihr nicht einfach einen Artikel und teilt den auf gnulinux und linuxnews. Manches mal verstehe ich das nicht!
Weil es viel zu aufwendig wäre, alle Artikel vorher mit Linuxnews.de abzustimmen. Vor Jahren haben wir das versucht und es hat nicht funktioniert.
Wer hat den Artikel geschrieben? Für mich liest sich der fast 1:1 und genau das verstehe ich nicht. Nicht das erste Mal!
Natürlich steht bei allen das Gleiche, weil es eine Pressemitteilung ist. Siehe Quellen.
Denkt euch mal eigene News aus.
Hallo Thomas,
was sollen wir uns denn für "News" ausdenken? Wir können lediglich Artikel über "News" schreiben, die andere veröffentlichen oder uns mitteilen. In diesem Fall haben wir einfach die Pressemitteilung mit Hinweis in den Quellen veröffentlicht. Wir bekommen als Magazin-Plattform einen Haufen Pressemitteilungen zugesandt. Einige von Ihnen veröffentlichen wir, was nicht bedeutet, dass wir sie besonders gut und schlecht finden. Wir sind da grundsätzlich erst einmal neutral. Ob der Inhalt gut oder schlecht ist, darf gerne in den Kommentaren oder im Matrix-Chat diskutiert werden.
Endlich! Ich warte schon lange auf eine Alternative zu G-Pay. Das ist doch sehr erfreulich :-) Bei mir gibt es schon lange kein G mehr. Ich nutze auf allen meine Geräten /e/OS und bin begeistert.
Klingt erstmal toll, aber GrapheneOS hat es direkt scharf kritisiert und das aus gutem Grund: im Endeffekt bestimmen nun ein paar Unternehmen (mit Gewinnerzielungsabsicht) statt einem was sicher ist; und zwar nicht anhand wirklicher Sicherheitstests und Offenlegung allen Codes, sondern indem alles was von außen kommt unsicher ist, und alles was von ihnen selbst kommt sicher ist (wer glaubt denn ernsthaft, dass ein Mitglied da jemals die Zertifizierung verliert, da würde sich das ja viel zu schnell auflösen inkl. evtl. Offenlegung der Probleme der Konkurrenz aus Rache).
Die Betreiber "lebenswichtiger" Apps wie für ÖPNV, Krankenkasse, Bezahlen können dann mit minimalem Aufwand so tun als ob sie tolle Datenschutz-freundliche Alternativ-OS zu Android unterstützen, aber die wirklich unabhängigen und hochsicheren FLOSS Systeme wie GrapheneOS selbst, aber vermutlich auch andere beliebte wie LineageOS und irgendwelche Linux Phones bleiben weiter (bzw. erst recht) außen vor.
Code von FLOSS-Projekt übernehmen + eigene kommerzielle und teils proprietäre Hülle drüber + nur die Kombination zertifizieren = Profit. In Hardware Security investieren? Unnötiger Aufwand. Uralte ungepatchte Android-Versionen ausnehmen? Wird wahrscheinlich auch hier nicht passieren, denn sonst wäre man ja im Nachteil gegenüber Google.
Im Grunde ist es eine EU-Wirtschaftsförderung, mehr als dass der Nutzen für den Verbraucher im Vordergrund steht. Viel schöner wäre es, wenn man den Integrity Check auf eigene Verantwortung in den Einzelapps abschalten könnte - kann ja irgendwie für den Normalnutzer verborgen sein, so wie das 7-Mal Antippen der Versionsnummer für Entwickleroptionen.