Het grote probleem is dat mensen niet weten wat er kan gebeuren als iemand zonder hun medeweten dat ding unlockt.
Dat lijkt me irrelevant. Zodra je de bootloader unlocked, wordt de telefoon leeggeveegd als veiligheidsmaatregel:
https://source.android.com/docs/setup/test/running#unlocking-the-bootloader
Dat ga je als gebruiker wel doorhebben, want al je data/accounts/etc. zijn weg. Ik zie dat je dat later wel noemt, maar dit is wel een belangrijk punt en voor veel aanvallen een goede bescherming. Groter probleem is zelf de telefoon unlocken, een ander OS installeren en nooit mee relocken.
Als je toestel ontgrendelbaar is, zou je het weg moeten gooien zodra je hem ooit voor een tijdje uit het oog verliest, zoals bijvoorbeeld bij de Amerikaanse/Chinese grens nog wel eens gebeurt, of als je telefoon door de politie wordt ingenomen ongeacht of je vrijgesproken wordt of niet.
Daarvoor hoeft de bootloader niet unlocked te worden. Tenzij je GrapheneOS op een Pixel draait, moet je je telefoon als gecompromitteerd beschouwen als hij bij de Amerikaanse/Chinese grens ingenomen is. Waarom? Uit gelekte Cellebrite documentatie blijkt dat vrijwel alle Android toestellen zelfs in BFU (Before First Unlock) uit te lezen zijn:
https://discuss.grapheneos.org/d/14344-cellebrite-premium-july-2024-documentation
Uitzondering is GrapheneOS op Pixel. Op zich is dit ook geen verassing, want de meeste Android toestellen (als in modellen) hebben niet eens een aparte secure processor en draaien de Trusted Execution Environment op de main CPU (met TrustZone als de enige bescherming). Dat is ongelofelijk gevoelig voor side-channel attacks. Onlangs is er nog zo'n bug gepubliceerd waarmee je heel erg veel telefoons met een MediaTek SoC binnen een minuut uit kunt lezen in BFU:
https://www.malwarebytes.com/blog/news/2026/03/this-android-vulnerability-can-break-your-lock-screen-in-under-60-seconds
Dit is toevallig een kwetsbaarheid die publiek is geworden, maar Cellebrite e.a. hebben waarschijnlijk een hele voorraad aan dit soort kwetsbaarheden. Uitzonderingen op Android w.b.t. secure processors zijn AFAIK Google Pixels (Titan M) en Samsung flagships (Knox Vault). Als het op dit soort kwetsbaarheden aankomt is het grofweg: Pixel + GrapheneOS > iPhone >> Pixel/Samsung flagships >> alle andere Android telefoons, waarbij zover uit gelekte documenten alleen een Pixel met GrapheneOS niet uitgelezen kan worden.
Het is Apple overkomen, de maker van zo'n beetje de meest vergrendelde hardware waar een burger aan kan komen,
Volgens gelekte Cellebrite documenten kunnen ze iPhones na een verloop van tijd na de release uitlezen, Pixel + GrapheneOS niet.
maar kan je code omzeild worden door een snelle voltage glitch: je moet je hardware er ook op ontwerpen.
Dat is waar, maar dan zit je alweer op een hele andere threat assessment. Telefoons met Cellebrite o.i.d. uitlezen is een heel erg veel lagere barriere dan bezig gaan met voltage glitching, decapping, etc. Dan moet je wel op het niveau zitten van zwaar staatsgevaarlijk.
Dan heb je ook nog de Xiaomi-situatie: massaal werden telefoons voor de Chinese markt geïmporteerd door partijen die ze ontgrendelden, er een Europese ROM op zette (niet de officiële natuurlijk, die werkt niet, maar een gestripte versie van xiaomi.eu). Gebruiker maakt de doos open van zijn "nieuwe" telefoon maar draait software van derden zonder het ooit te weten te komen.
Hmja, als je om veiligheid geeft, dan kun je iets als Auditor gebruiken om te verifiëren dat de software goed is:
https://attestation.app/tutorial
Bovendien moeten Android telefoons een oranje bootscherm geven met een waarschuwing als secure boot uit staat of een geel scherm als secure boot aan staat, maar met firmware die getekend is met een custom root of trust:
https://source.android.com/docs/security/features/verifiedboot/boot-flow
Als dat bij Xiaomi telefoons niet gebeurt, dan hebben ze toch ergens een groot securitygat?
Persoonlijk heb ik gekozen voor een Pixel juist omdat ik die kan unlocken wanneer ik dat wil, maar als ik als Android-fabrikant mijn gebruikers veilig zou willen stellen, zou het vergrendelen van de bootloader zeker een optie zijn. Niet alleen dat, maar de bootloader is ook weer te vergrendelen, dus als een derde partij met zijn klauwen aan mijn telefoon zit, kan die niet zomaar even in een minuut wat malware flashen zoals bij 99.9% van de LineageOS-installaties wel het geval is.
Ja, helemaal mee eens. Een OS gebruiken waarbij je de bootloader unlocked laat is een heel erg groot securitygat. Het is niet alleen dat iemand van buitenaf je telefoon kan manipuleren. Je zet ook secure boot uit, dus als je telefoon remote gecompromitteerd wordt, kan de aanvaller persistente malware in het systeem installeren. Dit is een stuk lastiger op een gelockte telefoon met een correcte secure boot chain. Uiteindelijk wordt het hele Android-systeem geverifieerd met dm-verity.