Ich finde es herrlich, wie die Graphene devs Konkurrenzprojekte scharf dafür kritisieren, dass diese in ihrem Marketing unzutreffende Behauptungen über „De-Googling“ und Privatsphäre aufstellen – während ihre eigenen FAQs schlichtweg darüber lügen, welche Verbindungen das Betriebssystem standardmäßig herstellt.
Hintergrund: Der Sicherheitsforscher Kuketz hat herausgefunden, dass GrapheneOS Verbindungen zu Google herstellt: https://www.kuketz-blog.de/grapheneos-warum-android-eine-verbindung-zu-gstatic-com-aufbaut/
Selbst wenn keine Inhalte oder Kontodaten übertragen werden, sieht Google bei jeder Anfrage die IP-Adresse des Nutzers sowie den genauen Zeitstempel. Wenn das Smartphone diese Listen beispielsweise immer dann abruft, wenn das Ladekabel angeschlossen wird (wie im Artikel beschrieben), könnte Google theoretisch anhand der IP-Adresse erfahren, wann der Nutzer zu Hause ist und sein Gerät auflädt.
Das ist nur ein Beispiel. Ich weiß nicht, was man durch Korrelation noch für Sachen herausfinden könnte…
Whistleblower und Aktivisten vertrauen ihr Leben GrapheneOS an. Da kann man sowas nicht ignorieren.
übrigens: zu erst haben die graphene devs versucht die ganze sache unter den teppich zu kehren. die sache ist nämlich schon seit mehreren monaten bekannt, doch erst als kuketz einen post auf mastodon veröffentlicht hat, haben graphene devs angefangen sich dem problem zu widmen. sie haben es immer runtergespielt und leugnen immer noch wie schwerwiegend die sache ist (gemessen an ihren eigenen maßstäben istdie sache schwerwiegend) und trotzdem wollen sie plötzlich einen proxy dienst dafür aufbauen. sehr interessant…
sie behaupten sogar, sie tun es nur damit sich die user „gut fühlen“: https://grapheneos.social/@GrapheneOS/116813168121504197
Kuketz naja. Ja es gibt immer mal Baustellen. Ich würde es nicht Heuchelei nennen. Es gab früher auch einmal die Baustelle, das er bei öffentlichen Wifis über das Google Captive Portal ging und Google potenziell hätte darüber Daten sammeln können. Da wurde es auch erst bestritten und dann bestätigt sowie später gefixt. Vielleicht kam das aber auch erst mit einem der letzten Updates mit ins System und deshalb ist es jetzt da. Keiner von uns weiß es wirklich. Aber es Heuchelei zu nennen ist schlicht falsch. Unpassend reagiert wäre das richtige. Seien wir realistisch es gibt zu Graphene als FOSS Security Android keine Alternative. Ja es gibt Security Phones nur sind die alle closed Source und man ist komplett vom Hersteller abhängig.
Naja aber gerade da bei Graphene ja das „de-googled“ eine große Rolle spielt und ja auch ein bedeutender Werbeclaim ist finde ich es schon sehr ärgerlich. Das Betriebssystem gibt es jetzt seit etlichen Jahren und dass so was in der ganzen Zeit nicht abgestellt wurde hinterässt schon einen Beigeschmack.
Da diese TLS-Abfragen aber immens wichtig sind, um z.B. gegen Malware-Verteilung zu schützen, ist es mit einem schlichten Nachbauen der Guubel-Infra nicht getan! Die dabei abgefragten Inhalte, um eine gültige CT-Rückmeldung zu erhalten, müssten mind. 5,2 mal (brutto 6x) pro Jahr die Werte an die eigene Infra komplett neu übertragen und manifestiert werden. Ich kann mir kaum vorstellen, dass Guubel dieser Vorgehensweise zustimmen würde und freiwiilig die benötigten Daten an Graphene rausgibt.
Also müssten die Graphene Devs auch die benötigten Daten eins zu eins nachbauen, die sich allerdings auch dabei alle 70 Tage komplett ändern würden! Das ist im Falle von CTs, CAs usw. extrem komplex und somit fehlerbehaftet, was dem Graphene User mehr Sorgen bereiten sollte, als die derzeitige Abhängigkeit von gstatic.
Ähnliche Problematiken hat auch das Aurora-Storesystem immer wieder zu beklagen bzgl. Zertifikatsfehler. Nur bei einem AppStore mit nachgebautem Account-System kann man dies vernachlässigen. Bei einem OS allerdings nicht und das sollte jedem auch mal klar sein!
Das irreführende FAQ von GrapheneOS wurde auch noch nicht korrigiert. Ich frage mich, ob das überhaupt noch geschehen wird.
Abgesehen davon gibt es nach wie vor keine Entschuldigung vom GrapheneOS-Team. Man tut einfach so, als ob nichts geschehen wäre.
Es ist schon ironisch: Zu erst haut man alle anderen CustomROMs in die Pfanne, sagt dass Linux Schrott sei und nur GrapheneOS das beste, privateste und sicherste OS aller Zeiten wäre… und dann passiert sowas! Und plötzlich ist es still.
GrapheneOS devs stellen so hohe Maßstäbe an andere, aber für sie selbst gelten sie anscheinend nicht. Das ist der Inbegriff von Heuchelei.
Am besten finde ich tatsächlich diese Beitrag von GrapheneOS:
Also irgendwie ist das alles kein Problem, aber trotzdem will man jetzt doch eine Lösung machen, nur damit sich die User „gut fühlen“. Das ist das OS, welchem Whistleblower und Aktivisten ihr Leben anvertrauen. Geht es noch zynischer?
Was hat das nun mit Heuchelei und / oder Zynismus zu tun? Man sollte das auch nicht aus dem Zusammenhang reißen! Kurz über deinem Post von dort, steht z.B. auch noch folgendes…
Das ganze Bild verschweigen und sich nicht an die eigenen Maßstäbe halten: Das ist pure Heuchelei.
GrapheneOS devs haben immer behauptet und behaupten nach wie vor auf ihrem FAQ, dass sie jegliche Verbindung zu Google gekappt hätten. Das ist objektiv falsch.
Übrigens, versucht mal über dieses Thema auf Reddit zu reden: Sofortiger Bann.
Eigentlich waren ja alle Smartphones mit AOSP erst vor nicht allzulanger Zeit anfällig für remote code Schwachstelle… CVE-2025-48530
Wie auch immer
https://tarnkappe.info/forum/t/was-grapheneos-kann-wenn-es-richtig-eingerichtet-ist/18282/11?u=smokedope
Alles was direkt eine SIM-Karte … eine IMEI - Nummer hat ist eine Personen-ID oder nicht weit davon entfernt.
Vor einem Jahr haben auf GrapheneOS einige APPs nicht funktioniert, jetzt ein Jahr später nochmals installiert und es geht alles !
Echt tolles Betriebssystem,
vom Layout,
bis einige zusätliche Funktionen wie autoreboot [stockrom hatte nur zw flugmodus und wieder aktiv, was sicherheitstechnisch nicht sein sollte],
gesammte Betriebssystem ein sandboxed system was die Apps betrifft (manuelle Berechtigungs-Freigabe für jede Anwendung)
Google (play dienste) sind nicht im OS integriert, aber kann trotzdem über Graphene Apps installieren
usw usf …
Deepseek copy and paste:
GrapheneOS verfolgt konsequent das Prinzip der Sandbox-Isolierung für Apps. Tatsächlich basiert Android bereits auf einem Sandbox-Modell, und GrapheneOS baut dieses weiter aus.
Jede App läuft in einer eigenen Linux-Sandbox mit einer eigenen Benutzer-ID (UID).
Apps können nicht direkt auf die Daten anderer Apps zugreifen.
Zugriffe auf Kamera, Mikrofon, Standort, Kontakte usw. erfolgen über das Berechtigungssystem.
GrapheneOS verschärft diese Isolation zusätzlich, z.B. durch stärkere Speicher-Schutzmechanismen, strengere SELinux-Richtlinien und weitere Hardening-Maßnahmen.
Die Apps laufen jeweils in separaten Sandboxes.
Systemkomponenten sind ebenfalls voneinander isoliert, aber sie laufen nicht alle in derselben Art von App-Sandbox.
GrapheneOS ein stark sandboxbasiertes Betriebssystem. Eine erfolgreiche Kompromittierung einer einzelnen App bedeutet daher nicht automatisch, dass der Angreifer das gesamte Gerät kontrolliert. Dafür wären in der Regel weitere Schwachstellen (z.B. eine Privilege-Escalation) erforderlich.
was ich noch gruseliger finde ist, dass dieses thema absolut tabu auf reddit ist. alle beiträge werden schon nach wenigen minuten bzw. stunden gelöscht. crazy…
Synopse aller Änderungen des TKG am 18.12.2015
Diese Gegenüberstellung vergleicht die jeweils alte Fassung (linke Spalte) mit der neuen Fassung (rechte Spalte) aller am 18. Dezember 2015 durch Artikel 2 des VerkDSpG geänderten Einzelnormen.
Ja, ich meide eigentlich ebenfalls Reddit. Aber Reddit ist de facto der Ort wo alles diskutiert wird, Reddit hat die klassischen Foren gekillt.
Alle gehen zu Reddit wenn sie Infos brauchen, sogar die KIs nehmen ihre Antworten von Reddit. Reddit spielt eine entscheidende Rolle in der Kontrolle des Informationsflusses. Es gibt im Internet keine Möglichkeit mehr, unbequeme Themen zu diskutieren: Reddit zensiert alles und bei X wird man sowieso nicht gehört, wenn man keine 10000 follower hat und kein X Premium hat.
Der letzte Ort wo man wirklich über Tech ohne Scheuklappen quatschen kann ist 4chan’s /g/ board.
Diese ganze Story erinnert mich daran, wie zensiert und zentralisiert das Internet tatsächlich ist. Der Informationsfluss wird perfekt kontrolliert. Es gibt zwar winzige Foren wie bspw. dieses hier die mehr Meinungsfreiheit ermöglichen, aber diese sind versteckt in Nischen und stellen keine Gefahr für die vorherrschenden Dogmen dar.
Das ist leider die Wahrheit. Ja, 4chan besteht zu 99,9% Müll. Aber es ist der letzte Ort wo man nicht komplett zensiert und gebannt wird.
Auf den ganzen Mainstream-Plattformen wird alles zensiert was nicht dem Dogma entspricht. Man darf nicht auf Reddit, Kuketz Forum usw. die Frage aufwerfen, ob GrapheneOS vielleicht tatsächlich eher ein Placebo ist. Darüber darf nicht gesprochen werden.
Noch was ist mir aufgefallen: Versucht mal fundierte Kritik über GrapheneOS auf Youtube zu finden. Es gibt keine Videos dazu. Nur 1 Video von Louis Rossman, welches auf oberflächlichem Boulevard-Niveau verbleibt.
Das stimmt, bei Kuketz darf man nicht einmal kritische Fragen stellen, die am glänzenden Image von GOS kratzen. Ich habe es verschiedentlich gewagt, und wurde gleich gecancelt. Zum Beispiel die (rhetorische) Frage, ob GOS auch gegen die Hintertüren Sicherheitslücken in Qualcomm hilft, was ja auch in Guggels Pixel Telefonen werkelt.
BTW → Man kann im Netz (egal, ob mit / ohne KI) nur einem Dogma entkommen, indem man sich selber als denkender Mensch die Vielfältigkeit seiner Informationsquellen offen hält. Es ist halt nie hilfreich, bestimmte Quellen zu priorisieren und andere zu verteufeln, weil das nur subjektive Meinungen spiegelt und eine offene Objektivität verhindert!
Es sollte dabei auch völlig Latte sein, was vereinzelte Quellen dabei an Input rausgeben. Das verhindert doch nur aus reiner Bequemlichkeit den eigenen Denkprozess!
Und jetzt bitte wieder zu GrapheneOS zurück, weil:
Du wunderst dich darüber das du gecancelt wurdest. Wer sagt in einem Smartphone was komplett bei Samsung gefertigt wurde QC Technik drin steckt, da war das dann wohl legitim. Patente sind nicht Technik
