Користувача GrapheneOS, за його словами, «донесли» владі — Yoti заперечує

Допис на форумі GrapheneOS описує користувача, якому, за його словами, служба підтримки британського сервісу вікової верифікації Yoti повідомила, що його пристрій «позначено», а справу передано владі та службі безпеки компанії. Історія швидко поширилася на Reddit у розділі r/privacy та на Hacker News, перш ніж компанія відповіла публічно.

Що розповів користувач

Згідно з темою на форумі, користувач пройшов перевірку віку через Yoti на телефоні з GrapheneOS — посиленою операційною системою на базі Android, створеною для пристроїв Google Pixel. Скріншот, опублікований на Imgur, показує відповідь підтримки: платформа «автоматично позначає будь-які пристрої з GrapheneOS», і про такі випадки повідомляють як правоохоронним органам, так і службі безпеки сервісу.

Історія викликала бурхливу реакцію, адже вікова верифікація стає обов'язковою дедалі більше країн, а деякі з таких систем спираються на атестацію на рівні пристрою, щоб підтвердити, що телефон працює на незміненій, схваленій виробником системі.

Відповідь Yoti

Yoti опублікувала заяву під заголовком «Yoti не повідомляє про користувачів GrapheneOS владі». Компанія заявила, що знає про поширюване в мережі твердження, і що «Yoti не повідомляє і ніколи не повідомляла б про користувачів владі через їхній вибір пристрою чи операційної системи». Також, за її словами, скріншот листа підтримки «не відповідає нічому в наших записах служби підтримки», а з проєктом GrapheneOS уже налагоджено контакт, щоб розібратися з проблемами його користувачів.

Позиція проєкту і технічна дискусія

Акаунт GrapheneOS у тій самій темі назвав цю історію нагнітанням страху на основі слів одного співробітника підтримки, наголосивши, що користування GrapheneOS не є незаконним, а співробітник, найімовірніше, імпровізував, аби закрити звернення. На думку проєкту, сервіси значно частіше виявляють відсутність Google Mobile Services, ніж власне GrapheneOS.

Учасники форуму зауважили, що ідентифікація технічно нескладна: застосунок може звернутися до стандартних системних API або API апаратної атестації та порівняти verified boot key з відомими ключами GrapheneOS, а Google Play Integrity перевіряє наявність сертифікованого обладнання із сертифікованою стоковою системою. GrapheneOS відповів, що приховати ідентичність операційної системи від застосунків практично неможливо і що це не є побічним ефектом його заходів безпеки.

Скептики на Hacker News зауважили, що автор мав історію дописів про обхід вікової верифікації, а скріншот листа підтримки можна відредагувати, тож достовірність історії залишається спірною. Практична порада з теми однакова: для обов'язкових застосунків ідентифікації та перевірки віку тримайте окремий дешевий телефон зі стоковим Android, а основний пристрій бережіть приватним.