GrapheneOS-ի օգտատիրոջ մասին, իբր, տեղեկացվել է իշխանություններին. Yoti-ն հերքում է

GrapheneOS-ի քննարկումների ֆորումի գրառումը պատմում է մի օգտատիրոջ մասին, որը, իր խոսքով, բրիտանական տարիքային ստուգման Yoti ծառայության աջակցության բաժինը տեղեկացրել է, որ իր սարքը նշանավորվել է, իսկ հարցը փոխանցվել է իշխանություններին և ընկերության անվտանգության թիմին։ Պատմությունը արագ տարածվել է Reddit-ի r/privacy բաժնում և Hacker News-ում, մինչև ընկերությունը հրապարակայնորեն արձագանքեց։

Ինչ է հայտնել օգտատերը

Ֆորումի թեմայի համաձայն՝ օգտատերը տարիքային ստուգումն անցել է Yoti-ի միջոցով GrapheneOS-ով աշխատող հեռախոսից. սա Google Pixel սարքերի համար ստեղծված ամրապնդված, Android-ի վրա հիմնված օպերացիոն համակարգ է։ Imgur-ում հրապարակված էկրանի պատկերը ցույց է տալիս աջակցության պատասխան, ըստ որի հարթակը «ավտոմատ կերպով նշում է GrapheneOS-ով աշխատող ցանկացած սարք», և նման դեպքերի մասին տեղեկացվում է ինչպես իրավապահ մարմիններին, այնպես էլ ծառայության անվտանգության թիմին։

Պատմությունը մեծ արձագանք առաջացրեց, քանի որ տարիքային ստուգումը ավելի ու ավելի շատ երկրներում դառնում է պարտադիր, իսկ նման համակարգերի մի մասը հենվում է սարքի մակարդակի ատեստացիայի վրա՝ հաստատելու, որ հեռախոսում արտադրողի կողմից հաստատված, չփոփոխված համակարգ է աշխատում։

Yoti-ի պատասխանը

Yoti-ն հրապարակեց հայտարարություն՝ «Yoti-ն GrapheneOS-ի օգտատերերի մասին չի տեղեկացնում իշխանություններին» վերնագրով։ Ընկերությունը նշել է, որ տեղյակ է համացանցում տարածվող պնդմանը, և որ «Yoti-ն չի տեղեկացնում և երբեք չէր տեղեկացնի օգտատերերի մասին իշխանություններին՝ ելնելով նրանց սարքի կամ օպերացիոն համակարգի ընտրությունից»։ Նաև, ըստ ընկերության, տարածվող աջակցության նամակի պատկերը «չի համապատասխանում մեր աջակցության ծառայության գրառումներին», իսկ GrapheneOS նախագծի հետ կապ է հաստատվել՝ օգտատերերի խնդիրները պարզելու համար։

Նախագծի դիրքորոշումը և տեխնիկական քննարկումը

GrapheneOS-ի հաշիվը նույն թեմայում պատմությունն անվանեց վախի սերմանում՝ հիմնված աջակցության աշխատակցի խոսքերի վրա, և նշեց, որ GrapheneOS-ի օգտագործումը անօրինական չէ, իսկ աշխատակիցը, ամենայն հավանականությամբ, ինքնաբերաբար էր գործում՝ դիմումը փակելու համար։ Նախագծի գնահատմամբ՝ ծառայությունները շատ ավելի հաճախ են նկատում Google Mobile Services-ի բացակայությունը, քան հենց GrapheneOS-ը։

Ֆորումի մասնակիցները, սակայն, նշեցին, որ նույնականացումը տեխնիկապես հեշտ է. հավելվածը կարող է դիմել ստանդարտ համակարգային API-ներին կամ ապարատային ատեստացիայի API-ին և համեմատել verified boot key-ը GrapheneOS-ի հայտնի բանալիների հետ, իսկ Google-ի Play Integrity-ն ստուգում է սերտիֆիկացված սարքում սերտիֆիկացված համակարգի առկայությունը։ GrapheneOS-ը պատասխանեց, որ օպերացիոն համակարգի ինքնությունը հավելվածներից թաքցնելը գործնականում անհնար է և իր անվտանգության ամրապնդման կողմնակի ազդեցությունը չէ։

Hacker News-ի թերահավատները նշեցին, որ հեղինակը նախկինում էլ տարիքային ստուգումը շրջանցելու մասին գրառումներ ուներ, և որ աջակցության նամակի պատկերը կարելի է խմբագրել, ուստի պատմության ճշգրտությունը վիճելի է մնում։ Ֆորումի գործնական խորհուրդը միևնույնն է՝ պարտադիր նույնականացման և տարիքային ստուգման հավելվածների համար առանձին, էժան ստանդարտ Android հեռախոս պահեք, իսկ հիմնական սարքը մասնավոր պահեք։