Usuário do GrapheneOS é denunciado às autoridades por usar o GrapheneOS
(discuss.grapheneos.org)- GrapheneOS é um sistema operacional com recursos reforçados de segurança e privacidade, e a polêmica começou com a frase em uma captura de resposta do suporte da Yoti: “dispositivos executando GrapheneOS são automaticamente sinalizados e automaticamente reportados às autoridades e à equipe de segurança”
- A principal preocupação é que, se serviços de verificação de idade e identidade tratarem o simples uso do GrapheneOS como motivo para denúncia, um sistema voltado à privacidade poderá passar a ser tratado como um sinal de alto risco
- Apps conseguem identificar o sistema operacional e o modelo do aparelho por meio de APIs padrão, inspeção de memória, Hardware Attestation API e Play Integrity, e não há uma forma prática de esconder isso do app
- O contraponto é que é difícil prever um futuro distópico com base apenas na fala exagerada de um atendente de suporte, e que é mais provável que a Yoti tenha detectado a ausência de Google Mobile Services do que identificado e bloqueado especificamente o GrapheneOS
- Uma resposta prática seria manter um aparelho stock Android barato ou antigo, sem dados sensíveis, dedicado a verificação de identidade e apps governamentais, além de repensar compras de produtos que exijam comprovação de identidade
Levantamento do caso e reação inicial
- A captura de uma experiência com o suporte relacionada à Yoti contém a frase de que “a Yoti sinaliza automaticamente dispositivos executando GrapheneOS e reporta automaticamente esses casos às autoridades e à equipe de segurança”
- A thread no Reddit compartilhada junto conecta isso ao relato de que o uso do GrapheneOS foi tratado como problema no processo de verificação de idade da Yoti
- O foco da crítica é a preocupação de que, se o GrapheneOS puder ser identificado e diferenciado por serviços como a Yoti, e o serviço considerar isso um motivo para reportar às autoridades, então, em um cenário de expansão das verificações de idade e identidade, o simples uso do GrapheneOS pode virar um “heatscore”
- Algumas reações dizem que gostariam que a Sony trocasse de parceira de verificação de idade, mas consideram isso muito improvável
- Também há reações que enxergam o movimento britânico de verificação de idade e identidade, e o ambiente legal ao redor, como algo orwelliano e distópico
Possibilidade de identificar o GrapheneOS
- Há a explicação de que dispositivos com GrapheneOS podem ser identificados por fingerprint por causa de seus amplos mecanismos de mitigação de exploits
- Um exemplo citado é que proteções como secure exec spawning, inexistentes em outros sistemas, podem virar um canal lateral
- Um app pode solicitar a Hardware Attestation API e comparar a verifiedBootKey com as boot keys do GrapheneOS para detectar o GrapheneOS
- Outra explicação diz que um app pode detectar facilmente o sistema operacional em execução usando APIs padrão ou inspecionando a própria memória
- Essa detecção não ocorre apenas porque o GrapheneOS adiciona recursos de proteção de privacidade e segurança; também é possível identificar diferenças entre os sistemas de cada OEM Android e o modelo do aparelho em execução
- O Play Integrity consegue verificar se o aparelho roda hardware certificado pelo Google e um stock OS certificado pelo Google, usa internamente a Hardware Attestation API e deve torná-la obrigatória
- Se todos os apps fossem executados no mesmo sistema operacional dentro de uma máquina virtual sem aceleração de hardware, seria possível esconder o modelo do aparelho e o sistema do host bare metal, mas, se apenas o GrapheneOS adotar esse método, o próprio GrapheneOS ainda não ficaria oculto
- Muitos apps tentam detectar virtualização, emulação e outras formas de modificação, e um dos objetivos centrais da Play Integrity API é justamente detectar e bloquear isso
Avaliações e contrapontos sobre a resposta da Yoti
- Uma crítica é que empresas de verificação de idade podem adotar uma postura hostil a projetos que realmente melhoram segurança e privacidade, e que a resposta do suporte revela uma atitude ignorante que trata segurança e privacidade como coisas exclusivas de criminosos
- Outra preocupação é que o usuário só teria descoberto que seria alvo de denúncia depois de já ter enviado documentos sensíveis pelo GrapheneOS, e que o anonimato de sua caixa de e-mail Proton pode ter sido perdido
- O contraponto mais forte é que esse caso seria uma fabricação de medo baseada na fala absurda de um atendente de suporte
- Usar GrapheneOS não é ilegal, e é muito provável que o atendente tenha inventado a história para encerrar o chamado
- Considera-se pouco provável que a Yoti tenha detectado especificamente o GrapheneOS ou proibido seu uso; é mais provável que tenha detectado o uso de um sistema sem Google Mobile Services sem modificações
- Também há quem diga que prever um futuro distópico com base na fala de um único atendente é um salto grande demais
Sugestões de resposta e separação de uso
- Como resposta prática, foi sugerido manter um celular stock Android barato ou antigo, sem dados sensíveis, separado para esse tipo de uso
- Um aparelho sem contatos, e-mails com conversas pessoais, apps de mensagens e afins
- Usado apenas como uma espécie de dispositivo “passaporte” para verificação de identidade ou apps governamentais que possam ser exigidos
- A proposta é usar o aparelho com GrapheneOS para todo uso geral, mas não para provar identidade
- Há o conselho de repensar se vale a pena fazer verificação de identidade com uma empresa desse tipo por causa de um único console de videogame
- Também se argumenta que, se uma empresa exige um comportamento que você não aceita, a decisão madura é não comprar o produto
- Sugere-se refletir se jogos, streaming de vídeo e conteúdo adulto vêm antes de privacidade e dignidade, e procurar outros hobbies quando houver exigência de identificação
- Também foi sugerido entrar em contato com legisladores para tentar reverter tendências como verificação de idade e a exigência de apps do Google
Suspeitas sobre a verificação e casos ao redor
- Há reações dizendo que muita gente parte do pressuposto de que segurança, privacidade e anonimato existem para criminosos
- Um caso citado conta que um conhecido que trabalha na polícia ficou surpreso ao ver alguém usando GrapheneOS, porque achava que só criminosos usavam isso, já que os únicos usuários que ele tinha visto até então eram criminosos
- A pessoa então explicou o que é o GrapheneOS, por que o usa e por que o considera o melhor sistema operacional
- Outro relato menciona que foi preciso insistir fortemente no trabalho para evitar o bloqueio total de IPs de saída do Tor e domínios de aliasing de e-mail
- A analogia de que “só criminosos escondem o quarto atrás de uma parede” é usada para criticar a associação entre privacidade e criminalidade
- Há também a reação de que agentes da lei, por sua profissão e pelo simbolismo do cargo, podem ser alvos maiores e portanto se beneficiar ainda mais das vantagens do GrapheneOS
- O comentário no Hacker News citado junto levanta suspeitas sobre o autor original do post no Reddit, dizendo que ele publicou muito sobre verificação de idade, contornos e privacidade, além de ter escondido o perfil
- O mesmo comentário diz que a captura da resposta por e-mail da empresa pode ter sido facilmente editada, então não dá para ter certeza da história
- Também afirma que, se fosse uma empresa de verificação de idade, ela não compartilharia com usuários bloqueados o motivo exato da detecção, pois isso seria como revelar a receita de uma fonte secreta
1 comentários
Comentários do Hacker News
O OP deste post no Reddit publicou bastante sobre verificação de idade, formas de contornar e privacidade, e agora isso está oculto. Quando apontaram isso na própria thread, ele ocultou o perfil, mas ainda dá para ver se você procurar por “reddit PaiDuck” no Google
Isso não quer dizer que a empresa estivesse certa, mas passa a impressão de que essa pessoa foi bloqueada enquanto testava até onde conseguia forçar tentativas de contornar várias empresas de verificação de idade. Também é difícil ter certeza se a história é verdadeira, já que a resposta por email da empresa poderia ser facilmente editada antes do screenshot. Se eu operasse uma empresa de verificação de idade, jamais diria a um usuário bloqueado por que ele foi pego. Isso seria como compartilhar a receita secreta
https://arctic-shift.photon-reddit.com/search
“Ei, amigo, você tem licença para esse sistema operacional?”
O mais surpreendente nessa história é só o fato de o usuário ter recebido uma visita da polícia e não ter sido processado por um “incidente cibernético não criminoso”. O Reino Unido realmente virou um país de merda
Eu não pretendo visitar. Os EUA também têm muitos defeitos, mas em comparação com outros países ainda têm direitos civis bem fortes
Se as autoridades descobrirem que eu tenho uma conta no Hacker News, estou ferrado
Algumas semanas depois houve um incidente de hacking. Uma planilha compartilhada com notas dos alunos, à qual todos os professores tinham acesso, foi alterada: as notas de alguns alunos subiram e as de outros caíram. Eu estava entre os que tiveram a nota aumentada, e alguns colegas com quem eu não me dava bem ficaram entre os que tiveram a nota reduzida. Durante a investigação, me mandaram direto para casa, mas no fim não deu em nada
Anos depois, um amigo revelou a técnica avançada que usou para descobrir a senha do professor de música: ele viu “bassoon” escrito num post-it embaixo do teclado
Eles realmente não sabem de nada. Não dá para subestimar o quanto eles não entendem. Qualquer explicação de que algo é inofensivo pode soar para eles como admissão de culpa
Foi uma experiência reveladora, e depois disso eu e muitos dos meus parentes passamos a respeitar muito menos a competência das forças de segurança
Vamos deixar de lado, por um momento, o fato de que a fonte não é um site de notícias em que um jornalista precisa apostar sua reputação para verificar os fatos, mas sim um post no Reddit com link para screenshots de texto
Qualquer pessoa pode denunciar qualquer outra às “autoridades” por qualquer motivo. Isso não significa que uma autoridade não identificada vá realmente agir. E, se isso não for brincadeira, também é bastante estranho que a Yoti não especifique a qual órgão policial esses relatos estão sendo enviados
Aquela resposta parece ter sido gerada a partir de um modelo padrão, e a parte de “denunciado às autoridades” provavelmente é tão verdadeira quanto quando o sudo diz a mesma coisa
https://postimg.cc/3kVXKzhk
Olhando a alegação com mais atenção, a mensagem real da Yoti foi esta
“Devido a preocupações de segurança anteriores, a Yoti sinaliza automaticamente várias tentativas de verificação e todos os dispositivos que executam GrapheneOS. Esses casos são automaticamente reportados tanto às autoridades quanto às equipes de segurança.”
E depois
“Infelizmente, como houve várias tentativas nesse dispositivo específico, a conta foi sinalizada por atividade suspeita.”
Então o “and” parece um erro de digitação. Ou então o sistema nem permitiria mais de uma tentativa em dispositivos com GrapheneOS
Ou seja, a conta é sinalizada quando há várias tentativas de verificação em um dispositivo com GrapheneOS
Nos últimos 15 anos, a mídia ocidental viveu gritando “China”, então é surpreendente que isso esteja acontecendo no Ocidente, enquanto na China você pode usar qualquer sistema operacional livremente sem sofrer desvantagens. Por quê? O que está acontecendo?
Não estou defendendo aqui a atuação da polícia britânica, mas esse refrão de “é tão ruim quanto a China” aparece muito e, na maioria das vezes, não se sustenta
Se você não pode criticar Xi ou protestar na China, tente criticar leis ou protestar no resto do mundo. Isso vale especialmente para o que fazem em nome da privacidade, e lembro do Reino Unido mandando pessoas para a prisão por causa de posts no Facebook. Isso é coisa que se esperaria de país de terceiro mundo
O Reino Unido nunca teve muito do que se orgulhar, e agora os EUA estão fazendo a mesma coisa, o que é muito assustador
Antes de viajar para qualquer país, a primeira coisa que faço agora é verificar minhas contas em redes sociais e apagar o que possa ser inspecionado no aeroporto. Isso era algo que se supunha não acontecer em países desenvolvidos
Meus amigos ainda dizem que não está tão ruim assim, mas ler um post desses no HN uma vez por mês nos últimos anos é simplesmente assustador
O Reino Unido está em forte declínio desde o Brexit e talvez esteja com medo de agitação popular
Na China, se você fizer atividade dissidente, vai para um campo de reeducação. Ou talvez os casos na China simplesmente não tenham valor jornalístico por serem algo previsível
Essa narrativa de propaganda empurrada pelo governo dos EUA funcionou bem por quase um século, mas agora não mais
Nos comentários daquele post, alguém linkou um longo FAQ [1] sobre como o GrapheneOS pode ser identificado por apps, entre outras coisas. Não entendo por que ele não tenta se disfarçar de Android/Google puro em todos os lugares possíveis
[1] https://grapheneos.org/faq#:~:text=Apps%20can%20detect%20tha...
Respostas do tipo “não removeram X porque ainda dá para fazer X por Y” aparecem com frequência, às vezes até no topo, em textos de empresas reforçando ecossistemas fechados. Dão uma solução imediata, mas não resolvem o problema central. Preferia que isso não acontecesse
Isso exige um investimento considerável em um jogo de gato e rato, e ainda pode parecer mais suspeito. É melhor aumentar a adoção e tornar mais difícil para as empresas tomarem decisões idiotas como essa. Já vi até app bancário adicionar explicitamente suporte ao GrapheneOS na atestação de hardware depois que clientes mencionaram isso
Até navegadores dedicados a evitar detecção são continuamente bloqueados e precisam de patches. Não é uma área na qual eu gostaria que o GrapheneOS focasse
0: https://developer.android.com/google/play/integrity/overview
Em https://grapheneos.org/articles/attestation-compatibility-gu...:
Já que a internet também pode ser usada para fraude, seria melhor denunciar todos os usuários da internet às autoridades
Uma nova era da pirataria está chegando. Quando eles chorarem por causa da “receita”, estes dias serão lembrados
Isso é resistência contra vigilância em massa e contra um Estado que cresceu como um câncer. Na verdade, está mais próximo de um dever cívico