Rabobank-app werkt niet meer op alternatieve Android-roms vanwege Integrity-api

De app van de Rabobank is niet langer beschikbaar op custom-Android-roms zoals GrapheneOS of /e/OS. Dat bevestigt de bank aan Tweakers, nadat gebruikers dat opmerkten. De Nederlandse bank zegt dat de app gebruik moet maken van Google Play Integrity-checks. Dat doet de bank uit veiligheidsoverwegingen.

De Rabobank bevestigt tegenover Tweakers dat de app niet langer werkt op sommige besturingssystemen. "De Rabobank-app is sinds kort inderdaad niet beschikbaar op customroms zoals GrapheneOS", zegt een woordvoerder van de bank. "Dit komt doordat we nu gebruikmaken van Googles Play Integrity-checks, die vereisen dat een toestel draait op een officieel gecertificeerde Android-versie. Customroms vallen hierbuiten, waardoor de Google Play Store niet automatisch geïnstalleerd wordt op deze besturingssystemen."

Google Play Integrity heeft meerdere checks om de integriteit van een apparaat te verifiëren. De check die specifiek controleert of een app op een legitiem Android-apparaat draait, wordt door customroms niet ondersteund. Google introduceerde deze mogelijkheid in mei 2025, nadat de functie in december 2024 als bèta beschikbaar kwam.

Gebruikers kunnen de app nog wel blijven gebruiken als deze op hun toestel staat. Het is echter niet meer mogelijk de app bij te werken via de Play Store. Ook is de app daar niet meer te downloaden.

De Rabobank zegt dat te hebben gedaan 'om de veiligheid van klanten te waarborgen'. "Hiervoor is het van belang dat wij zeker weten dat zij de Rabo-app in een veilige omgeving gebruiken. Omdat het voor ons niet mogelijk is om bij dit bij iedere onofficiële versie van Android apart vast te stellen, moeten we hier keuzes maken", zegt de bank.

De Play Integrity-api maakt het voor steeds meer makers van alternatieve Android-roms moeilijker om een goed product aan te bieden. Door die api kunnen veel apps niet meer worden gebruikt. Tweakers schreef daar onlangs nog een achtergrondartikel over. We schreven ook hoe makers van dergelijke roms daarover de noodklok luidden.

Update, 15.35 uur - Context over de Play Integrity-checks toegevoegd.

Reacties (335)

[psalden]

@TijsZonderH de "tip" kwam (onder andere?) van mij, maar vermelden is bijzaak; fijn dat jullie dit hebben kunnen plaatsen!

Een aantal punten die ik belangrijk vind om te vermelden:

1. Ook het beschikbaar zijn van de Play Store is niet voldoende om de vereiste play integrity checks te doorstaan; de Play Store is immers gewoon beschikbaar op GrapheneOS.
2. Het veiligheid-argument is op z'n minst discutabel; telefoons die al jaren geen veiligheidsupdates meer krijgen komen wel door de check heen. Overigens is er ook een Android-native alternatief om dergelijke checks te doen, zie: https://grapheneos.org/articles/attestation-compatibility-guide
3. Zoals een aantal reacties terecht vermelden, is het nu nog mogelijk de app uit een alternatieve bron te installeren en dan te gebruiken, al brengt dit altijd veiligheidsrisico's met zich mee (en wat doet Rabobank er juridisch mee, mocht er ooit geld gejat worden?). Belangrijker: het daadwerkelijk implementeren van de Play Integrity API binnen de app lijkt een logische volgende stap, waarna het goed mogelijk is dat gebruik niet meer kan.

[LOTG]

Het veiligheid-argument is op z'n minst discutabel; telefoons die al jaren geen veiligheidsupdates meer krijgen komen wel door de check heen. Overigens is er ook een Android-native alternatief om dergelijke checks te doen, zie: https://grapheneos.org/ar...ation-compatibility-guide

Ik denk dat de Rabobank dat hiermee al beantwoord.

"Hiervoor is het van belang dat wij zeker weten dat zij de Rabo-app in een veilige omgeving gebruiken. Omdat het voor ons niet mogelijk is om bij dit bij iedere onofficiële versie van Android apart vast te stellen, moeten we hier keuzes maken"

Ze zullen voor elke custom rom de keys moeten hebben voor die API. Ik snap wel dat ze daar geen zin in hebben.

Het zou mooi zijn als de EU hier een oplossing en verplichting voor regelt. Dit zorgt voor een vendor lockin van jewelste, aangezien er nu hard gezegd word dat je of Google of Apple als OS provider moet kiezen. Het was al erg genoeg dat het of Android of iOS was.

[TheVivaldi]

Eens, maar kun je niet de webapp als alternatief gebruiken? Bij ASN werk die perfect op o.a. Ubuntu Touch, dus ik neem aan dat die van Rabo ook prima zal werken op andere OS’en en roms.

[StefanJanssen]

Is dat zoveel veiliger? In mijn ogen zit je nog steeds op een "onbetrouwbare app/OS" en is er een grote kans voor mensen om een typfout te maken en naar de raboank website te gaan waar een scammer iets neer kan zetten.

[TheVivaldi]

De webapp is betrouwbaar en het OS ook, zolang het updates krijgt. Dat je een typfout kunt maken is waar, maar:

a) Veruit de meeste ‘gewone’ gebruikers gaan niet aan een ander OS/andere rom beginnen, en tweakers letten echt wel op;
b) Je kunt natuurlijk altijd van een website waarvan de url klopt een standalone webapp maken (Ubuntu Touch) of een bladwijzer toevoegen (Ubuntu Touch en andere OS'en/Android-roms), of zelfs aan je startscherm toevoegen (Android-roms). Daarmee voorkom je dat je het telkens verkeerd zou invullen.

[StefanJanssen]

Als de webapp betrouwbaar is, en het OS ook, en de webapp kan alles wat de app ook kan, waarom is de app dan niet veilig?

[TheVivaldi]

Dat moet je aan de Rabobank vragen.

[DeCo]

Kun je met een webapp betalingen doen via QR codes? Kun je je identificeren via iDIN?
Ik kan het mis hebben, maar volgens mij is dat niet mogelijk. Daardoor is een webapp volgens mij geen goed alternatief, enkel dat je er bankzaken mee kunt doen, zoals je dat in de browser doet.

[TheVivaldi]

Bij ASN kan ik betalingen via QR-codes doen vanuit de webapp, dus ik neem aan bij Rabobank ook. Identificeren via iDIN weet ik niet, maar dat heb ik persoonlijk nog nooit gebruikt.

[Reactie gewijzigd door TheVivaldi op 13 augustus 2025 20:19]

[janbuss]

Grappig ik kreeg dat het niet voor elkaar op een OP6 met /e/os of LOS21 en jij op Ubuntu Touch wel! Uiteindelijk heb ik een nieuwe digipas (de oude deed het niet meer) gekregen, terwijl ze die niet meer uitgeven werd (een mobiele app vinden ze betrouwbaarder). Toch lukte het dan nog niet op de browser, wel op de w10 pc.

Vgl mij heeft Google bewust de beveiligingsstap van play integrity checks toegevoegd om alle custom roms buiten spel te zetten.

De ASN-app deed het na een update op een gegeven moment ook niet meer op /e/os build R en na een maand hebben ze de app aangepast, zodat ie het weer deed...

[Reactie gewijzigd door janbuss op 13 augustus 2025 21:06]

[RogerWilco2]

De app is toch wel een stuk makkelijker te gebruiken dan de website geloof ik? Of bedoel je nog een andere "webapp"?

Ik vind het best handig dat de app integreert met de biometrische authenticatie op mijn telefoon (vingerafdruklezer in mijn geval).

[luchthaak]

Jammer dat de rabobank je forceert naar het gebruiken van een (bijna) monopolist die je privacy inzet om massaal geld te verdienen en vervolgens die verdiensten zogoed als mogelijk belastingvrij uit de EU weg pompt.

[-tom-562]

Hoezo, je kan toch ook gewoon internetbankieren op je desktop PC met een willekeurig OS?

[fuzzyIon]

Waarmee authoriseer je dan? Je phone app toch?

[FireDrunk]

Met m'n (SNS) digipas, ik hoop dat ik die nog lang kan blijven gebruiken.


Maar dat houdt ook ooit op... :(

[wernert]

Waarom houdt dat op? IMHO wil je (als klant) altijd kunnen terugvallen op een hardware authenticator. Rabobank is een s..tbank, maar heeft gelukkig nog de Raboscanner.

[FireDrunk]

SNS geeft geen digipassen meer uit voor zover ik weet.

[DeCo]

Rabobank ondersteunt zelfs nog de aloude random reader, waarmee ze begonnen zijn.

[bzzzt]

Ze zijn begonnen met de digipas, daarna naar de random reader gevolgd door de Rabo scanner.
Heb laatst bij een zolderopruiming nog een mapje met "Rabo telebankieren voor DOS" teruggevonden

[Hendrik55]

Ja, als hij het niet meer doet krijg je geen nieuwe..😔 en moet je de app gaan gebruiken.. Heb daarover geklacht bij SNS/ASN, maar nul op het rekest.

Het is veel veiliger.... (en omslachtiger en bewerkelijker, en wat als je telefoon niet meer werkt... en alles aan Google toevertrouwen..) 😡😔

[N8w8]

Beetje laat maar ik heb net een "browsercode" aangemaakt, daarmee kan je dan internetbankieren.
Zowel het aanmaken als gebruiken, kan helemaal zonder app (vereist alleen browser/email/sms/bankpas).
Gebruiken kon al wel zonder app (dat is immers het hele punt ervan), maar ik dacht dat om die code _aan te maken_, ironisch genoeg wel de app nodig was. Maar nu niet meer blijkbaar.

Wel lijk je de app nog nodig te hebben om je te "identificeren".
Dat heb ik nog nooit hoeven doen maar zou wellicht ooit wel moeten.

[Reactie gewijzigd door N8w8 op 7 september 2025 19:15]

[-tom-562]

Je random reader natuurlijk

[magician2000]

Ja, geweldig! Is ook zo handig om je laptop / PC met je scanner voor QR codes mee te nemen als je een aankoop op gaat halen en betalen...


Het is te schandalig voor woorden wat banken doen. Het is een noodzaak om een bankrekening te hebben, vervolgens maken ze het steeds duurder en moeilijker voor je en nu dit soort dingen.


Een telefoon / tablet dient hetzelfde behandeld te worden als een computer (vrije keuze OS), maar dat zal eerst bij wet gegeregeld moeten worden.

[DropjesLover]

Als banken nu eens een pasje uit zouden geven waar je betalingen mee kan doen. En dat dat pasje een wereldwijd standaard-formaat heeft zodat het in een mapje past. Beveiligd met een persoonlijk identificatie nummer....

[magician2000]

Je kunt wel lekker honend doen hierover, maar dat is helemaal niet waar het om gaat. Een kortzichtige reactie dus.


Banken brengen dit allemaal zelf uit, dwingen je ertoe om electronisch te bankieren om het je vervolgens steeds moeilijker te maken.

[DropjesLover]

Met mijn pasje kan ik zonder noodzaak van een app, mobiel bereik of mobiele telefoon overal betalen. Op reis gaan naar afgelegen (mogelijk) afgelegen gebieden en dan klagen dat de app of je mobiele-telefoon-betaalpas niet meer werkt.. Persoonlijk vind ik dat nogal naief.

[RogerWilco2]

Bankservice gaat toch wel verder dan alleen je betaalpas.

Ik ben een aantal jaren geleden heel blij geweest dat ik via de Rabobank app ondersteuning kon krijgen met de ingebouwde chat. Ik zat helemaal aan de andere kant van de wereld en had problemen met pinnen die ik niet uit kon zoeken. (minimaal internet en mobiel bereik op het platteland van Chili). Zij hebben het toen uitgezocht en opgelost.

Ik kan ook allerlei dingen m.b.t. verzekering, creditcard, betalingen e.d. regelen via de app.

[wiseger]

Betalingsverkeer en klant onderzoek worden ook steeds duurder. Toch logisch dat een bedrijf die kosten doorbelast?

Vrije keuze OS? Wie is er dan verantwoordelijk dat de hardware correct samenwerkt met het OS?

Wat doe je dan als Google stopt met open Android?

[magician2000]

Onzin dat betalingsverkeer en klantonderzoek duurder wordt. Het is een (gemakzuchtige / bewuste?) foutieve interpretatie van de wet door banken.


En nee, het is absoluut niet logisch dat wij ook maar enige kosten moeten betalen om bij ons geld te kunnen. Veel wordt gedaan vanwege fraude en witwassen. Maar regels instellen om een klein percentage (promilage wellicht zelfs) te pakken waar de rest hinder van ondervindt is niet goed.


Vrije keuze OS werkt ook op een laptop of (zelfbouw) computer, dus dat is een non issue, een bewust gecreëerd probleem.


Een Google die stopt met open Android (wat is daar nog open aan tegenwoordig?) is juist een probleem dat je wilt voorkomen. Of beter, je wilt voorkomen dat zo'n organisatie zo'n macht over dit soort zaken heeft.


Het is niets anders dan met een gewone computer. Maar enkel omdat er besloten is dit anders in te richten (oftewel mensen te gijzelen in een omgeving) is dit wel het geval.

[wiseger]

Het is de overheid die de banken met dikke boetes dwingt steeds meer geld aan KYC uit te geven.

Lekker makkelijk om dan te beweren dat banken het niet goed begrepen hebben, maar ik mis de onderbouwing.

Android is van Google. Ze hebben de eigendomsrechten en kunnen gewoon uit het ASOP project stappen. Je kan geen eigendom afpakken, recht van bezit is een grondrecht. We zijn nog altijd gelukkig geen communistische staat.

Een smartphone is geen computer, het is een telefoon. Maar zelfs al was het een computer, een fabrikant kan voor een geintegreerd, gesloten produkt kiezen. Dat bepalen ze gelukkig helemaal zelf.

[4hvm]

Die fabrikant mag doen met HUN product wat ze willen, maar omgekeerd moet jij als consument ook een keuze hebben. Als Apple en Google samen afspraken maken, dan heeft de gewone gebruiker geen keuzevrijheid meer wat hun telefoon betreft. Dat "zelf bepalen" moet ook mogelijk zijn voor de klant, dus.

[wiseger]

De klant kiest al vele jaren zelf. Vroeger kozen ze ervoor Symbian niet te gebruiken en Nokia naar de afgrond te laten gaan.

Daarna kwam Microsoft, namen Nokia over en brachten Lumia telefoons op de markt met Windows Mobile als OS. De reviews waren prima, mooie, goede telefoons.

De klant koos alweer, geen interesse dus ook hier stierf een mobile OS een vroege dood.

Google en Apple zijn de favoriete keuzes van de klant. Al vele jaren.

[pimlie]

Ik snap dat niet.

Vooral omdat ze schijnbaar nu de keuze hebben genomen om dan maar geen enkele custom rom te ondersteunen?

[psalden]

Goed punt, mee eens!

[1F4A9]

Overigens is er ook een Android-native alternatief om dergelijke checks te doen, zie: https://grapheneos.org/articles/attestation-compatibility-guide

Helaas is dat onwerkbaar. Stel je wil GrapheneOS ondersteunen, dan moet je in je app al een lijst met 16 verified boot key fingerprints voor de momenteel door GrapheneOS ondersteunde devices bijhouden. Komt GrapheneOS straks naar de Pixel 10 lijn, dan werkt het daar niet op zonder dat je diens boot key fingerprints expliciet toevoegt via een app update. Andere custom roms doen niet aan verified boot (behalve Google zijn er geen andere telefoon fabrikanten die dat voor custom roms ondersteunen) of publiceren hun verified boot key fingerprints niet. Maar al zouden ze dat wel doen moet je dus een waslijst aan verified boot key fingerprints van [custom roms x supported devices] gaan bijhouden.

[psalden]

Ik begrijp je punt zeker. Misschien zou de EU bijvoorbeeld een rol kunnen spelen, zoals @LOTG al aangeeft. Ik kan me ook nog voorstellen dat Google verplicht zou kunnen worden een procedure op te stellen waarmee onofficiële besturingssystemen ook binnen Play Integrity vallen, maar je blijft natuurlijk het probleem houden dat iemand dan moet gaan bepalen welk OS veilig is en welke niet.

[fredkroket]

Je bankrekening is vanaf je mobiel prima bereikbaar, echter niet via een app. Wil je gebruik kunnen maken van de app, dan moet je aan bepaalde voorwaarden voldoen zodat de bank meer garanties kan geven op werking en veiligheid.

Dus als het heel belangrijk voor je is om een alternatief OS te gebruiken, dan ben je in de basis niet uitgesloten van de toegang tot je bank.

Of gaan we dan de EU vragen om de bank te verplichten om voor elk mogelijk OS een app beschikbaar te maken? Ik denk dat met stock ROM's 99% van de mensen kunnen bankieren op de standaard toestellen. Alternatieve ROM's zijn op het grote geheel een niche.

[kvandijck]

Google doet zijn best om alternatieven uit te sluiten.

Dat heet een monopolie. Jij noemt het niche omdat het al zo extreem is dat amper nog 1% geinteresseerd om zich daartegen te verzetten.

Dat maakt het niet acceptabeler

[Student1563424]

Helemaal mee eens. en ik ga er nog eentje aan toevoegen.

Als je geen root acces hebt is het niet jouw apparaat.
Een telefoon zonder root acces accepteer ik niet.

Eerst Apple met zijn OS lockin en later Senator Fritz Hollings met Microsoft Palladium.... Eerst zijn we voor het openstellen van de NFC chip van Apple, maar nee, nu gaan we allemaal over op Google Pay...
En nu zet Google custom roms onder druk en Er komt nooit een eind aan...

In 2000 was er nog wat verzet tegen palladium en werd het later de TPM die we nu kennen...
Maar het hek is van de dam als je computer opeens een telefoon formaat heeft.
Gelockede bootloaders, geen root acces. Opeens is root acces iets vies?

We leven in een omgekeerde wereld.
Open bootloaders en root acces zou een recht moeten zijn.
Géén enkel systeem is helemaal secure. Niemand kan dat garanderen. Maar je kan er tenminste wel volledige eigenaar van zijn vind ik.

Schaam je Rabobank!

Wellicht een idee voor tweakers om een nieuwsartikel te wijten aan bankieren apps en welke eisen ze stellen en kritische vragen stellen bij de koers die we op gaan (als Europa). Het is nu toch een journalistiek bedrijf? Niks aan de kaak stellen, alleen maar rapporteren?

Ooh ja... De tweakers cookie wall.... nog steeds geen weiger knop voorop.... enuf said?

[bzzzt]

Als je geen root acces hebt is het niet jouw apparaat.

Ah, een mooi principieel standpunt en ook enigszins egoistisch want er zit een flink grijs gebied aan:
Moet de bank aannemen dat iedere gebruiker dat recht nodig heeft en moet kunnen uitoefenen? En dat de telefoons in kwestie dan nog veilig zijn?

Want daar it de crux: de meeste mensen snappen software niet en zijn niet in staat intelligente beslissingen te nemen over welke software op hun apparaat draait en zijn compleet afhankelijk van anderen die mogelijk ook niet genoeg veiligheidsbewustzijn hebben.
Wie is verantwoordelijk als na het verwijderen van de beveiliging (want "handig") van hun toestel de bankrekening wordt geplunderd? Op dit moment neemt de bank die verantwoordelijkheid waardoor het absoluut redelijk is dat ze eisen stellen aan de gebruikte software.

[CAPSLOCK2000]

Maar waar ligt de grens?
Moet de bank mij dan niet ook beschermen tegen "domme/gevaarlijke" beslissingen zoals parachute springen of bergbeklimmen?
Moet de supermarkt mij niet beschermen tegen het kopen van ongezonde procuten?
Moet de auto mij niet beschermen tegen verkeersovertredingen door (bv) de snelheidslimiet af te dwingen?
En hoe zit het met de veiligheid van anderen?

Vertel me niet dat mensen op die gebieden wel verstandige beslissingen nemen. Op een hoop andere punten zien we de vrijheid om je eigen keuzes te maken in het leven belangrijker.

Of, om het even lekker extreem te trekken, moet de bank mij niet verplichten om eens in de week naar de sportschool te gaan voor mijn gezondheid? Uit mijzelf doe ik dat niet hoor.

Ik snap je argument op zich wel want banken hebben inderdaad een zorgplicht naar hun klanten toe. Op zich vind ik het niet verkeerd dat een bedrijf zich zorgen maakt over het welzijn van haar klanten, maar het heeft wel forse consequenties, zoals dat de wurggreep van Google op de software-wereld weer een stuk knijpender wordt. Als we dit soort techniek willen gebruiken vind ik dat de overheid er tussen moet gaan zitten om te zorgen dat het eerlijk en vrij blijft en het geen éénrichtingsweg richting Google wordt.

[bzzzt]

Maar waar ligt de grens?
Moet de bank mij dan niet ook beschermen tegen "domme/gevaarlijke" beslissingen zoals parachute springen of bergbeklimmen?

Wat heeft een bank met jouw hobbies te maken?

Moet de supermarkt mij niet beschermen tegen het kopen van ongezonde procuten?

Gelukkig wel, anders had de groenteafdeling vol gif gelegen en hadden ze jou bij de kassa nog een slof sigaretten geprobeerd aan te smeren.

Moet de auto mij niet beschermen tegen verkeersovertredingen door (bv) de snelheidslimiet af te dwingen?
En hoe zit het met de veiligheid van anderen?

Dat doen moderne auto's al.

Ik snap je argument op zich wel want banken hebben inderdaad een zorgplicht naar hun klanten toe.

Het gaat banken waarschijnlijk meer om aansprakelijkheid. Als wij als bevolking accepteren dat gebruikers zelf aansprakelijk zijn en het geen probleem van de bank is dat het spaargeld van ouderen met slinkse trucs naar Noord Korea wordt geleid zullen banken daar ook geen probleem van maken.

Als we dit soort techniek willen gebruiken vind ik dat de overheid er tussen moet gaan zitten om te zorgen dat het eerlijk en vrij blijft en het geen éénrichtingsweg richting Google wordt.

Dat is een stuk mildere stelling dan die van de OP hierboven, daar ik ben het er mee eens dat de grote US bedrijven zichzelf op deze manier 'onvervangbaar' maken. Maar sommige mensen zullen er ongetwijfeld problemen mee hebben dat in dat geval de overheid gaat bepalen wat vertrouwde besturingssoftware is.

[CAPSLOCK2000]

Wat heeft een bank met jouw hobbies te maken?

Ik zie vrijheid als meer dan een hobby, maar precies, waar bemoeien ze zich mee?

Gelukkig wel, anders had de groenteafdeling vol gif gelegen en hadden ze jou bij de kassa nog een slof sigaretten geprobeerd aan te smeren.

Er staat nog genoeg frisdrank, alcohol en andere ongezonde producten. Dat ze geen giftige producten verkopen heeft meer met de wet te maken dan met de goede wil van winkeliers.

Dat doen moderne auto's al.

Volgens mij staan alle auto's het toe dat je de snelheidslimit overschreidt. Ze adviseren wel, maar de chauffeur blijft de baas. Je kan kiezen om de auto te laten rijden maar je kan nog steeds zelf het gas diep indrukken.

Het gaat banken waarschijnlijk meer om aansprakelijkheid.

Ja, dat het is probleem, hun aansprijkelijkheid versus mijn veiligheid, daar zit nog wel wat ruimte tussen.

Als wij als bevolking accepteren dat gebruikers zelf aansprakelijk zijn en het geen probleem van de bank is dat het spaargeld van ouderen met slinkse trucs naar Noord Korea wordt geleid zullen banken daar ook geen probleem van maken.

Dat is een mooi eng verhaal, maar hoe groot is dat probleem nu in praktijk? De meeste mensen zullen hun telefoon nooit rooten, van een andere ROM voorzien of alternatieve appstore installeren. De problemen waar ik over hoor zijn vooral babbeltrucks in combinatie met software die gewoon in de appstore staat, zoals remote mgmt/desktop software.

Dat is een stuk mildere stelling dan die van de OP hierboven, daar ik ben het er mee eens dat de grote US bedrijven zichzelf op deze manier 'onvervangbaar' maken. Maar sommige mensen zullen er ongetwijfeld problemen mee hebben dat in dat geval de overheid gaat bepalen wat vertrouwde besturingssoftware is.

Ja en nee, ik onderschrijf de stelling wel. Zonder root(recht) ben je niet echt de baas. Toezicht van de overheid is prima, maar dan wel op de "juiste" manier. Het is ook nog steeds mogelijk om je eigen auto te bouwen en daarmee op de openbare weg te rijden. Het kost misschien wat moeite maar is wel toegestaan.

[bzzzt]

Dat is een mooi eng verhaal, maar hoe groot is dat probleem nu in praktijk? De meeste mensen zullen hun telefoon nooit rooten, van een andere ROM voorzien of alternatieve appstore installeren.

Dat het nu nog niet massaal gebeurt betekent natuurlijk niet dat het een goed idee is de deur open te laten staan. Als genoeg mensen op oude, minder goed gesupporte telefoons bankieren en daar rootkits voor komen kan het heel snel uit de hand lopen. En dan ben je als bank te laat en krijg je iedereen over je heen dat je in het verleden geen maatregelen hebt genomen...

Het punt is dat je zonder secure boot nooit kan 'bewijzen' dat een telefoon in de staat is die deze moet hebben. Als er persistente malware geflashed is die de HTTPS stack compromitteert en verkeer via Rusland redirect kan je als bank nog zoveel beveiliging toevoegen, maar niets doen tegen extra overboekingen die voor de gebruiker onzichtbaar worden gedaan. Ook wordt voor de gebruiksvriendelijkheid steeds meer van de 2FA tokens afgestapt waardoor je juist heel zeker moet zijn dat een telefoon vertrouwd kan worden.

Ja en nee, ik onderschrijf de stelling wel. Zonder root(recht) ben je niet echt de baas. Toezicht van de overheid is prima, maar dan wel op de "juiste" manier. Het is ook nog steeds mogelijk om je eigen auto te bouwen en daarmee op de openbare weg te rijden. Het kost misschien wat moeite maar is wel toegestaan.

Probleem is dat software natuurlijk wat meer fluïde is dan een auto die je op een bepaald moment kan keuren en langs de veiligheidseisen kan halen. Eigenlijk hebben banken helemaal geen belang bij het 'steunen' van Google of Apple of een specifieke OS versie, maar willen ze er op vertrouwen dat deze partijen het beveiligingsmodel van hun telefoons niet zomaar even omver trekken.
Dus het bouwen van een eigen OS zou nog steeds een mogelijkheid zijn, maar waarom zou een bank vertrouwen dat je er geen backdoors in installeert?

[4hvm]

Het punt is dat je zonder secure boot nooit kan 'bewijzen' dat een telefoon in de staat is die deze moet hebben.

Met secure boot weet je dat ook niet. Je weet alleen dat het apparaat in de staat is die je leverancier of een onderaannemer heeft aangebracht, voordat er een digitaal "zegel" op geplakt werd.

[bzzzt]

Waarmee dus gegarandeerd kan worden dat een systeem low-level malware vrij is.

[amusedly]

Dit is een "slippery slope". Dit is een typisch onderwerp waar je perfectie nooit bereikt. Als je er theoretisch over gaat nadenken is alles onveilig. Je komt dan uit op een soort clinische situatie waar alles volledig dichtgetimmerd is. Is jouw huis veilig? Waarschijnlijk zou een dief er zo in kunnen. Is autorijden veilig? Als je een zwengel geeft aan het stuur op de snelweg is het game over. In theorie zou een besturingssysteem malware kunnen bevatten. Ik gebruik Ubuntu met allerlei open source packages. In theorie zou ik al duizend keer gehackt kunnen zijn. Elke app heeft volledige toegang tot mijn home folder met al mijn bestanden. Ik gebruik X11, dus mijn clipboard kan door elke app uitgelezen worden. Toch gebeurd het niet.

[bzzzt]

Omdat het aantal desktop Linux gebruikers een afrondingsfout is en Linux aanvallers zich voornamelijk op waardevollere doelen als servers richten.
Maar waarom zou je als Linux gebruiker accepteren dat je platform minder secure is dan de alternatieven?
Ik had altijd het idee dat OSS een verbetercyclus moest triggeren, maar huidige Linux gebruikers lijken er nogal trots op te zijn in de jaren 80 te blijven hangen...

[halfgaar]

Dat betekent dus dat je het ook accepteert dat een PC TPM moet hebben, secure boot aan, en alleen geverifieerde browsers kan gebruiken voor internetbankieren?

Het wordt dan onderhand tijd dat ik ipv een random reader een bankiertablet van ze krijg.

[bzzzt]

Accepteren of niet lijkt me een gepasseerd station.
Maar realistisch gezien zijn veruit de meeste gebruikers niet in staat zinvolle security beslissingen te nemen en zaken als secure boot kunnen voorkomen dat je een enkele dubbelklik op een shady .exe af staat van een systeem-level malware invasie.

[pepsiblik]

Dat is helemaal geen monopolie. Apple doet dit toch ook? En Microsoft toch ook? Ik heb nog nooit een alternatieve variant van iOS of Windows gezien. Dus waarom mag Apple het wel en Google niet? Er zijn feitelijk slechts twee OS-en op de wereld die varianten kennen: Android en Linux. De rest is één versie van één uitgever.

Daarnaaast mag je het ook wel eens vanuit het oogpunt van de banken bekijken. Die zijn elk jaar miljarden kwijt aan fraude. Dan zou ik dit ook doen. Doe je het als bank niet, dan betaal je een godsvermogen aan schadevergoedingen, omdat je verzekering de fraude niet wil dekken of een exhorbitante premie rekent. Jammer van die paar niche-tweakers. Je kunt tegenwoordig telefoons met 7 jaar ondersteuning kopen dus een grote reden voor het draaien van Custom ROMs is al weggevallen.

[Beterweter]

Dat is helemaal geen monopolie. Apple doet dit toch ook? En Microsoft toch ook? Ik heb nog nooit een alternatieve variant van iOS of Windows gezien. Dus waarom mag Apple het wel en Google niet? Er zijn feitelijk slechts twee OS-en op de wereld die varianten kennen: Android en Linux. De rest is één versie van één uitgever.

Daarnaaast mag je het ook wel eens vanuit het oogpunt van de banken bekijken. Die zijn elk jaar miljarden kwijt aan fraude. Dan zou ik dit ook doen. Doe je het als bank niet, dan betaal je een godsvermogen aan schadevergoedingen, omdat je verzekering de fraude niet wil dekken of een exhorbitante premie rekent. Jammer van die paar niche-tweakers. Je kunt tegenwoordig telefoons met 7 jaar ondersteuning kopen dus een grote reden voor het draaien van Custom ROMs is al weggevallen.

Zoals jij het brengt zijn de banken liefdadigheids instellingen.

De rabobank pakte 4,3 miljard
https://www.nu.nl/economie/6300717/rabobank-ziet-winst-bijna-verdubbelen-door-hoge-rente-inkomsten.html

Er zijn nog meer banken dus miljarden aan fraude kosten kan er makkelijk af.

[pepsiblik]

Oh, dus een bank en de maatschappij moet fraude maar gewoon accepteren, omdat jij graag met je telefoon knutselt?

[Beterweter]

Oh, dus een bank en de maatschappij moet fraude maar gewoon accepteren, omdat jij graag met je telefoon knutselt?

Hee ho we zitten hier op tweakers daar komen veel mensen die zelf hun apparaten willen onderhouden en bijhouden. Knutselen klinkt zo denigrerend.

[pepsiblik]

Rabobank heeft meer dan een miljoen app gebruikers. Die moeten dan allemaal een hoger fraude risico lopen vanwege die paar honderd tweakers met een custom OS? Da's toch niet redelijk lijkt me zo.

[4hvm]

De Rabobank kan gewoon gebruik maken van de voorzieningen die Google biedt, maar ook rekening houden met de varianten die die voorzieningen niet hebben. Je kan de gebruiker ergens achterin de app de bescherming laten uitzetten, met wat uitleg "alleen doen met alternatief besturingssysteem", enzovoort.

Ze hebben vooral geen zin om geld uit te geven aan een kleine groep mensen.

[pepsiblik]

Onzin. Door de optie aan te bieden om het uit te zetten, kun je de hele beveiliging dus omzeilen en wordt het defacto nutteloos. Jij bekijkt het vooral vanuit het perspectief van de geavanceerde eindgebruiker die flexibiliteit wil. Maar bekijk het eens vanuit het oogpunt van fraudebestrijding waar je de zaak zo goed mogelijk wilt dichttimmeren.

[Reactie gewijzigd door pepsiblik op 16 augustus 2025 11:03]

[kvandijck]

Banken zouden wel expertise moeten hebben over wat veilig is en wat niet.

En toch volgen ze compleet Google hierin.

Zonder mono(of duo)polie van Google (en apple) zou dat niet overeind blijven, lijkt me

[pepsiblik]

Ze volgen de voorschriften van DNB en ze hebben dus niet echt een keuze. En DNB steekt weer de koppen bij elkaar met de ECB en andere nationale banken, alsmede adviseurs. En dan gaat er een order uit naar Google op basis van specs en requirements. Zolang Google dat dan implementeert, is het goed.

[kvandijck]

Dat boeit mij nu.
Volgens jou implementeert Google in deze wat ECB vraagt?

[pepsiblik]

ECB en DNB specs bepalen mede het ontwerp wat Google implementeert, ja. Er zijn ook eisen van anderen (Federal Reserve, PayPal, Amazon, VISA, MC, Etc.) en Google zal er zeker zijn eigen sausje overheen doen.

[Spekkie88]

De vraag is of je wel veiliger bent met een stock rom die geen enkele vorm van updates krijgt ten opzichte van een custom rom...

Mijn poco x3 pro die voor mij qua hardware nog heel goed voldoet zou met de officiële rom zijn blijven steken op Android 10, een os dat al ruim 2 jaar geen enkele vorm van updates meer krijgt...

Met lineage os draai ik nu Android 15 en krijg ik de maandelijkse security updates gewoon ota binnen...

Dus de bank wil werkelijk beweren dat een os dat al 2 jaar geen updates meer krijgt veiliger is dan een up to date en ondersteund os?

Ik snap dat een bank huiverig is voor het idee van een custom rom, maar deze manier is vooral schijnveiligheid lijkt me...

[fredkroket]

De vraag is of je wel veiliger bent met een stock rom die geen enkele vorm van updates krijgt ten opzichte van een custom rom...

Mijn poco x3 pro die voor mij qua hardware nog heel goed voldoet zou met de officiële rom zijn blijven steken op Android 10, een os dat al ruim 2 jaar geen enkele vorm van updates meer krijgt...

Met lineage os draai ik nu Android 15 en krijg ik de maandelijkse security updates gewoon ota binnen...

Dus de bank wil werkelijk beweren dat een os dat al 2 jaar geen updates meer krijgt veiliger is dan een up to date en ondersteund os?

Ik snap dat een bank huiverig is voor het idee van een custom rom, maar deze manier is vooral schijnveiligheid lijkt me...

Dat het soms misschien wat tegenstrijdigheden zal hebben, daarbij kan ik me voorstellen dat het tegenstrijdig is. Maar als een bank een bepaalde keuze maakt dan kunnen ze moeilijk rekening houden met alle uitzonderlijke toestellen, mogelijke ROM's, etc.

Ik ga ervan uit dat het overgrote deel van de Rabobank klanten een iPhone heeft of een Samsung gebaseerde Android telefoon. Allemaal heel gangbaar over het algemeen. Dan zijn er nog de alternatieve of oude toestellen, maar ze zullen vast een analyse hebben gedaan voordat de keuze gemaakt is.

Hierbij zullen ze vast niet over 1 nacht ijs gegaan zijn.

[Spekkie88]

Er zal ongetwijfeld oneindig over vergaderd zijn, ik vraag me alleen serieus af of er inderdaad gekeken is naar hoeveel toestellen er nog software ondersteuning krijgen... En zo niet of in het geval van fraude het nog steeds gedekt wordt, ondanks dat je aan alle eisen voldoet...

Waar ik vooral over val is dat deze maatregel genomen wordt onder het mom van betere beveiliging terwijl de app nog wel als minimale eis Android 8.0 of hoger heeft...

Als het dan om veiligheid gaat lijkt het mij veel logischer om minimaal Android 13 te eisen aangezien dat, op het moment van schrijven, het oudste os is wat nog beveiliging updates krijgt...

Maar dan zal een veel groter deel van het klantenbestand gaan klagen omdat die ineens de app niet meer kunnen gebruiken, dus dit is de makkelijkste oplossing...

[keepertje]

Je kunt toch ook ovetstappen naar een andere bank waarvan de app (nog😉) niet zo moeilijk doet? Of heeft Rabo iets héél unieks waar je absoluut niet zonder kan?

[RogerWilco2]

Op dit moment bepaalt de Rabobank dus voor de Rabobank app welk OS veilig is en welke niet.

Op zich heel logisch.

[wiseger]

Er zijn ook grenzen aan wat de EU kan afdwingen. Een fabrikant dwingen haar service gratis beschikbaar te stellen aan niet betalende, derde partijen is zo'n grens.

Tesla heeft ook geweldige auto-pilot software. EU maar laten afdwingen dat ook Europese auto fabrikanten er gratis gebruik van mogen maken?

[zenlord]

[...]

Helaas is dat onwerkbaar. Stel je wil GrapheneOS ondersteunen, dan moet je in je app al een lijst met 16 verified boot key fingerprints voor de momenteel door GrapheneOS ondersteunde devices bijhouden.

Ken niets van de Integrity API, Verified Boot of zelfs Android Apps programmeren, maar het lijkt mij dat het gerechtvaardigder zou zijn om "Verified Boot compliance" te eisen dan "stock Android, ongeacht versie en security patch level": een Array van 16 verified boot keys up to date houden en zelfs keys verwijderen nadat deze geen security updates meer ontvangen lijkt mij helemaal niet zo onwerkbaar. Dat kan zelfs centraal gebeuren, en als niet door Google zelf, dan door een GrapheneOs (spinoff).

[wiseger]

Waarom zou een bedrijf geld uitgeven om andere bedrijven te helpen om met hun te concurreren?

De Rabobank kiest ervoor technologie van Google te gebruiken om haar Android app veilig te houden. Het is aan GrapheneOs om iets vergelijkbaars te ontwikkelen en de Rabobank ervan te overtuigen dat hun implementatie net zo veilig gebruikt kan worden.

[kars noordhuis]

Stomme vraag misschien maar kan je die keys niet van een webserver plukken elke keer? Echt veel data ist niet (looking at you NPO), het is makkelijk bij te werken en verbinding met het internet heb je toch nodig.

Then again, ik programmeer eigenlijk alleen embedded meuk waar je dit soort dingen gwn in hardware of extern geheugen opslaat.

[swhnld]

Heel realistisch, de Rabobank heeft een stelletje slechte of luie programmeurs die uit een bepaalde toolkit werken en dit de goedkoopste manier vinden van het implementeren van deze oplossing.

Dat de Rabobank hiermee een vendor lock-in op Amerikaanse gecontroleerde software faciliteert interesseert ze ook niets, want het gaat ze puur om winstmaximalisatie.

En ga je dan kijken naar de concurrentie is er ook geen enkel alternatief op de markt die zich hardop uitspreekt met garanties dat het wel werkt. Zelfs Europees aangestuurde software schrijft de Play Integrity API voor, al bedoelen ze dat niet volgens eigen zeggen.

[sapphire]

Of ze luie of slechte programmeurs hebben weet ik niet. Wel dat ze erg onaardig zijn. Na een update werkte faceID niet meer op de iPhone, dit gemeld en kreeg een enorm lompe reactie terug met de strekking dat het wel aan mijn toestel zou liggen.

Vast aangezien het bij andere bank apps vlekkeloos werkte op het zelfde moment.

[DutchieSmokah]

offtopic:
Hehe, toevallig werkt een oud-medewerker van mij in het Android-team van de Rabobank. Jammer genoeg was hij niet bepaald de meest productieve; hij schepte zelfs op over de slaapplekken in de ‘Verrekijker’ in Utrecht, waar ontwikkelaars konden pitten. Hij had er blijkbaar flink gebruik van gemaakt nadat hij net vader was geworden.

ontopic: Ik had eigenlijk gehoopt dat dit soort geneuzel inmiddels verleden tijd was. Herinner me nog goed dat ik in 2014 van iOS naar Android overstapte en mijn Moto X een tijdlang de Rabobank-app niet kon draaien; simpelweg omdat hun beveiligingstest enkel werkte op Samsung-toestellen…

[Reactie gewijzigd door DutchieSmokah op 13 augustus 2025 17:23]

[telenut]

Ook off-topic: net vader zijn kan lastig zijn. Is een pluspunt dat ze zo iets aanbieden bij die bank!

[oltk]

offtopic:
Is het niet zo dat de Rabodank shifts heeft voor ICT medewerkers zodat die dag en nacht beschikbaar zijn? Een beetje raar om de (on)productiviteit van medewerkers af te meten aan het beschikbaar zijn van slaapplekken.

En bovendien: welk argument denk je te maken in deze context? Je suggereert: Omdat er slaapplekken zijn, zijn rabobank medewerkers niet productief (er wordt zelfs gebruik van gemaakt! schande!) en dus is het dichtzetten van de app voor custom ROMS een actie uit pure luiheid.

Mag ik even protesteren tegen dit soort van populistische argumentatie? Ik krijg al teveel van dit soort in de ochtendkrant.

Ontopic: Ik snap heel goed dat banken fraude willen gaan beperken. Ook al vind ik het jammer dat niet wordt gekozen voor een zelf ontwikkelde app, maar dat we afhankelijk zijn van het Google ecosysteem. Als ik mag voorspellen: hier blijft het niet bij. Ik kan me voorstellen dat oude (niet meer ondersteunde) android versies dezelfde restrictie gaan krijgen.

edit: ongenoegen over gebruik google ecosysteem.

[Reactie gewijzigd door oltk op 14 augustus 2025 08:10]

[R_Zwart]

Beetje raar om zo te reageren over mensen die je niet kent terwijl je hoogstwaarschijnlijk ook helemaal de reden achter het besluit niet weet. Tenzij je zelf 1 van de luie of slechte programmeurs bent, maar daar ga ik niet van uit.

Maar hoe zou jij het ontwerpen en kan je dan garanderen dat het beter werkt dan de Google implementatie? En wat zijn de recurring kosten qua bijvoorbeeld life cycle management? Verificatie en mogelijk (grote) aanpassingen met iedere Android update, etc etc.

[swhnld]

Tot 2 jaar terug gaf ik leiding aan 5 software ontwikkel teams die internationale apps uitbrachten die ook buiten het Google platform moesten werken, dus dat was een non-functional requirement vanuit de klant, en werd tegen getest.

En eerlijk, soms was er een uitdaging met een update met gebruikte plugins, maar we hadden een handje seniors die dat oplosten bij voorkeur richting de upstream code, of zelf iets bouwde.

[wiseger]

Dus er werden behoorlijke extra kosten gemaakt om aan de extra non-functinal requirement te voldoen.

Dus kiest de Rabobank voor iOS en Google Android waarmee ze 99 procent van haar smartphone klanten bedienen.

[RogerWilco2]

Meestal heeft dit soort dingen niks met de programmeurs te maken, maar met keuzes die het management maakt over hoeveel tijd de programmeurs ergens aan mogen besteden, hoeveel programmeurs ze inhuren of welk soort service ze hun klanten aan willen bieden. Zeker dit soort keuzes die een direct effect hebben op klanten worden vaak een paar niveaus hoger genomen.

Rabobank is een commercieel bedrijf, natuurlijk gaan die voor een vorm van winstmaximalisatie. Korte termijn keuzes kunnen wel leiden tot lange termijn problemen, maar Rabobank lijkt toch iets meer lange termijn te denken dan de meeste andere banken.

[TijsZonderH]

de "tip" kwam (onder andere?) van mij, maar vermelden is bijzaak; fijn dat jullie dit hebben kunnen plaatsen!

Ha inderdaad, ik herken je nick! Ik ga het toch lekker doen, dank nog!

[psalden]

Graag gedaan!

[SilentLucidity]

Ik heb nu een door de ontwikkelaar gesignde versie van een custom rom. Ik kan aantonen dat de rom 100% de gebouwde source code is. Ik heb geen root, geen aanpassingen. Ik kom niet meer door safety-net heen, dat zou wel mogelijk zijn (ondanks dat dat ook een kat-en-muis-spelletje is) als ik root + wat magisk modules installeer. Of ik ga terug naar stock met security patches uit oktober 2024.

Schandalige gang van zaken!

[MVO88]

Bedankt voor de waardevolle informatie en dit verklaart wel het e.e.a.

Een aantal maanden geleden plotseling wat problemen na een update, dit opgelost door de Rabo app toe te voegen aan de DenyList binnen Magisk. De app heeft altijd probleemloos gewerkt op een geroot device, maar na versie 7.45.0 niet meer.

Nu zijn ze weer een stap verder gegaan, verwacht zelf dat ze binnen enkele maanden nog verder gaan en de API binnen de app zullen implementeren.

Erg jammer!

[rob12424]

Als tweakers zijnde kun je hier niet veel aan doen. Als klant zijnde wel. (Als veel leden gaan klagen)

Ik heb hier wel wat vragen over:

Hoe ziet de Rabobank dit precies: heb jij een Chinese OS met Bloatware wat een risico kan zijn (helemaal in tijden van oorlog of als er oorlog komt dan wil je niet een hyper is of ander is met spyware). Wat is er dan gevaarlijker?

Hoe zit dat met bijvoorbeeld Secure boot op je laptop van Linux op je laptop? Dat is feitelijk precies hetzelfde verhaal? Kunnen we onder Linux ook niet internetbankieren straks omdat we geen Secure boot gebruiken? Kunnen custom roms ook een signature krijgen?

[3dmaster]

Secure boot onder Linux kan prima, zelfs in combinatie met tpm en diskencryptie. Verder wel eens met je punt ;)

[wiseger]

Het punt is, er gaan niet veel klanten klagen. Bijna alle klanten hebben iOS of Android met de Play store en Play services.

Van die paar klagende klanten liggen ze niet wakker. Daar gaan ze geen bakken met geld aan uitgeven om die te behouden.

[Mark-Ivo]

Deze ontwikkeling is bijzonder schadelijk voor de onafhankelijkheid van de Europese burger richting Amerika. Naar mijn idee wordt hier veel te luchtig mee omgegaan (ook door de Tweakers redactie). Ik snap niet hoe een grote Nederlandse bank het in zijn hoofd haalt om je te verplichten tot het aangaan van een gebruikersovereenkomst met een Amerikaans privacy schendend bedrijf.

Ik heb inmiddels een aantal keer Rabobank over deze kwestie gesproken en een officiële klacht ingediend. Ik wil alle tweakers die dit aangaat uitnodigen aan deze klacht bij te dragen door ook de moeite te nemen hierover naar Rabobank te bellen. Als we hier geen ruchtbaarheid aan geven zal de mobiele OS markt volledig gedomineerd worden door Amerikaanse bedrijven en is er geen uitweg meer. Ik hoop van harte dat de Europese Commissie daar een stokje voor steekt. Want juist met de huidige politieke verstandhouding wil ik zo min mogelijk met Amerika te maken hebben.

[The Zep Man]

Het is echter niet meer mogelijk de app bij te werken via de Play Store.

Die is gewoon nog te installeren en actueel te houden via Aurora Store, een opensource Play Store client. Getest onder AOSP (LineageOS with microG) zonder applicaties van Google geïnstalleerd.

Gebruikers kunnen de app nog wel blijven gebruiken als deze op hun toestel staat.

Gecombineerd met het bovenstaande is dit functioneel een storm in een glas water.

[edit]
Net even getest. Installeren en beginnen met het registratieproces kan gewoon. Dit betreft dus enkel de Google Integrity implementatie van de Play Store client, niet van Rabobank zelf.

[edit2]
Even geregistreerd. Verificatie via rijbewijs (scan gestructureerd code voor sleutel NFC-chip) en NFC (haalt de digitale foto op uit het rijbewijs voor verificatie). Via camera gezicht verifiëren faalde. Geprobeerd onder verschillende lichtcondities. Alternatieve/opvolgende verificatie via Rabo Scanner gedaan, wat ging zonder probleem. PIN code aangemaakt. Ingelogd (met PIN code). Testtransactie gemaakt. Ondertekend (met PIN code). Werken.

Wellicht moet ik voor transacties naar rekeningnummers die niet in het adresboek staan de Rabo Scanner gebruiken. Dat heb ik niet getest. De applicatie probeert tijdens het registratieproces rootrechten aan te vragen (die mijn root manager keurig opving en weigerde) op het moment dat die probeert foto's te maken. Dit lijkt geen effect te hebben op het gehele proces, hoewel de fotoverificatie dus wel faalde. Wellicht eens proberen met een manier om root te verbergen.

Het kan zijn dat dit een eerste stap is en dat Rabobank later alsnog de Integrity API gaat integreren/verplichten in diens mobiele applicatie. Tot nu toe lijkt daar geen sprake van.

Andere geteste bank- en betaalachtige applicaties die geen probleem hebben met installatie en gebruik op AOSP (i.i.g. via Aurora Store):
ABN AMRO
N26
PayPal
Tikkie

[Reactie gewijzigd door The Zep Man op 13 augustus 2025 16:12]

[MoonRaven]

[...]


Die is gewoon nog te installeren en actueel te houden via Aurora Store, die de APK direct bij Google ophaalt.
[...]

En hoe zorg je ervoor dat je door de integrity check heen komt?

Gecombineerd met het bovenstaande is dit functioneel een storm in een glas water.

En na hoeveel updates is de app outdated en werkt het niet meer?

[Reactie gewijzigd door MoonRaven op 13 augustus 2025 15:05]

[The Zep Man]

En hoe zorg je ervoor dat je door de integrity check heen komt?

Er is geen (verplichte) integerity check in de Rabobank applicatie zelf, gebaseerd op wat T.net schrijft en wat ik heb ondervonden.

En na hoeveel updates is de app outdated en werkt het niet meer?

Dezelfde Rabobankapplicatie als die de Play Store client met een integrity check zou installeren wordt geïnstalleerd en actueel gehouden door Aurora Store.

[Reactie gewijzigd door The Zep Man op 13 augustus 2025 15:34]

[xoniq]

Tot ze in de app zelf de integrity API gaan aanspreken, dan is de app zelf degene die zich onklaar maakt, óók op jou manier.

[ap3nr0ts]

Top. Ik heb namelijk dit probleem (Pixel 4a, Lineage). Kan ik dus gewoon weer updaten via die Aurora Store? Dan ga ik dat doen. :)

[The Zep Man]

Dat zou moeten werken. De handtekeningen van de applicatie en updates veranderen niet, want die komen van dezelfde bron en worden niet gewijzigd.

[Reactie gewijzigd door The Zep Man op 13 augustus 2025 16:09]

[ap3nr0ts]

Klopt! Het werkt. Ik vind de app wat omslachtig, maar als ik alle andere apps uitsluit, wil ik dit best draaien voor Rabobank dan (en toekomstige problemen). Fantastische tip. Hij werkt het bij en je blijft gewoon ingelogd zoals bij een normale update. :)

[MornixRS]

Yep die route gebruik ik ook met LineageOS en Aurora. De vraag is natuurlijk wel hoelang dit nog gaat werken. Zodra ze die api wel rechtstreeks in de app gaan aanspreken dan is het alsnog over.

[Blackbird-ce]

Ik blijf dit soort aanpassingen lastig vinden: ik begrijp dat je als aanbieder van financiële diensten (én McDonalds, die één van de meest lastige beveiligingen heeft ingebouwd in haar app) wilt garanderen dat je diensten veilig gebruikt kunnen worden en tegelijkertijd het aantal variaties wilt beperken vanuit kosten perspectief. Tegelijkertijd ben ik van mening dat dít soort maatregelen niet geheel effectief zijn voor de doelgroep die ze nu proberen te beperken - gebruikers die welwillend én in staat zijn om hun bootloader te unlocken en een custom ROM te flashen, zijn ook in staat om zaken als Magisk of LSPosed te draaien. Daar vanuit is alweer zoveel mogelijk om dit soort maatregelen te omzeilen:

• Anti-root checks waren een tijdje "hip", Magisk en Shimiko verbergen root voor apps.
• Safetynet? Safetynet-fix zorgde ervoor dat je netjes door de check geen kwam
• Play Integrity? PIF doet iets vergelijkbaars als Safetynet-fix, door het spoofen van keys uit beta versies van (legitieme) Android roms. Wil je basic, device én strong Integrity, dan heb je vaak nog zaken als trickystore of integrity of (of de keys van je oorspronkelijke device & ROM)

Het is een soort kat-en-muis spel waarbij er eigenlijk weinig winnaars zijn, met weinig toegevoegde waarde en we vooral elkaar extra effort opleveren.

[koos147]

Helaas is revolut hier ook mee begonnen, alleen is daar van de een op de andere dag de app volledig onbruikbaar geworden.

Kleine bijkomstigheid is dat je zonder Android / ios app helemaal geen toegang hebt tot je rekening.

Heb bij kifid (afm) al een case lopen omdat ik geen mogelijkheid meer heb om bij mijn geld te komen zonder een nieuwe telefoon te kopen.

En dat terwijl mijn telefoon wekelijks security updates ontvangt, en mensen met 2 jaar oude security updates nog wel mogen inloggen.

[m_snel]

Blijkbaar is revolute niet zo baanbrekend als ze doen geloven, maar wat natuurlijk het belangrijkste is van deze zaak is of ze u toegang moeten geven via een device wat ze niet ondersteunen.

Ik heb toch een oude HTC touch liggen met een beta van Windows ce . Die werkt ook niet meer , maar daar kan de leverancier ook niks aan doen.

Dat is natuurlijk het risico van een custom rom, of en product dat niet tot de mainstream behoort.

Ik zou maar gewoon even een telefoon lenen van iemand die u vertrouwt en snel uw geld veilig stellen.

[koos147]

Het verschil is dat Windows ce door Microsoft niet meer ondersteund is en dus niet veilig meer is.

Android 15 krijgt wekelijks updates en dus veilig te gebruiken.

Los daarvan geven de meeste banken een alternatief als internet bankieren via een website. Helaas werkt dit bij revolut alleen icm de mobiele app.

[bastro]

Deze week Graphene geïnstalleerd en ben verbaasd hoe soepel en goed dat ging.
Via webinstaller stond het OS er in een half uur op (waarvan 10 minuten bezig geweest om erachter te komen dat de standaard geïnstalleerde driver op Windows toch niet standaard geïnstalleerd was).

En daarna alles wat ik wil aan apps kunnen installeren. Dacht heel even dat ik toch de Google Play Store nodig had maar Aurora kan op 1 app na alles ophalen (moet alleen nog mijn OsmAnd+ abonnement van heel lang geleden zien te redden maar OsmAnd~ heeft de vereiste basis ook).

Was daarom benieuwd naar het nieuwsbericht maar begrijp dat de enige beveiliging van de RaboApp zit in het feit dat de App in de playstore staat. Of zien we wat over het hoofd? Want wat wordt er eigenlijk bedoeld met een 'officieel gecertificeerde Android-versie.' GrapheneOS is neem ik aan net zo officieel gecertificeerd.

[psalden]

De Play Integrity API controleert in principe of het OS in een lijstje met door Google goedgekeurde OS-en staat. GrapheneOS kan de boel zelf ondertekenen, wat ook te verifiëren is (https://grapheneos.org/articles/attestation-compatibility-guide), maar komt daarmee nog niet door de Play Integrity checks heen. Op dit moment maakt dit inderdaad alleen nog wat uit voor de beschikbaarheid in de Play Store, maar een mogelijke volgende stap is Play Integrity API integratie in de app, waarmee die daadwerkelijk onbruikbaar zou kunnen worden.

[Jan121]

Het is duidelijk dat de Rabobank hier niet in het belang van de klant handelt, maar in het belang van Google.

Dit is toch Wij van WC-eend adviseren WC-eend. Volgens Google is alleen de Android versie van Google veilig.

Een door Google gecertificeerde Android versie is per definitie alleen de versie met de gesloten meuk van Google erin.

Merkwaardig dat de Rabobank transparantie wantrouwt. Wat je niet kan inzien is veiliger dan wat je wel kan inzien. Zo werkt een bank echt niet bij een kredietaanvraag,

Laat die keuze over een telefoon aan de klant.

Toezichthouder grijp in.

Open source is een recht, en strategische afhankelijkheid van buitenlandse Techbedrijven is oliedom, zeker met een president als Trump aan het roer.

[R4gnax]

Toezichthouder grijp in.

Dat zal eerst vereisen dat consumenten klachten gaan indienen, ben ik bang.
En de doorsnee consument zit niet op alternatieve ROMS - dus het zal lang duren voordat die klachten opstapelen tot dusdanig volume dat de toezichthouder er besluit iets mee te gaan doen.

[smuldersbram]

Stel dat een consument een Fairphone 6 met e/OS voorgeinstalleerd koopt via https://murena.com/ of zelfs: https://shop.fairphone.com/nl/fairphone-5-e-operating-system. Er word nergens duidelijk uitgelegd wat je dan koopt. Mensen kopen een Android toestel zonder google meuk, veilig, privacy respecterend etc.

Dan kom je er thuis achter dat je bank app niet geinstalleerd kan worden omdat die bank persee in de walled garden van google wil zitten (A.K.A developer experience en schijnveiligheid).

Er is 0,0 reden voor de rabobank om dit te implementeren.

[RogerWilco2]

Oh, zelfs bij een klein aantal klachten kan je soms wel beweging krijgen.

Een vriend van me heeft ooit via de Reclame Code Commissie afgedwongen dat Microsoft stopte met de claim dat de toen net nieuwe versie van Windows het veiligste OS ooit was. Daarna heeft Microsoft overal de claim aangepast naar veiligste Windows ooit.

Meer klachten zal vaak helpen, want dan wordt ook de politiek wakker, maar denk nooit op voorhand dat het geen zin heeft.

[theredspecial]

Ik heb een klacht ingediend bij Rabobank, maar weet al wat het antwoord gaat zijn. Mijn volgende stap wordt ren klacht bij www.kifid.nl. Daarnaast ben ik voornemens nog meer actie te nemen, maar denk daar nog over na.

[jpfx]

Dat doen ze uberhaupt niet.
Net als dat ze nu voor de kosten met als tegenrekening je eigen rekening gebruiken.
Met andere woorden: kosten voor rekening X worden nu betaald aan rekening X.
Dus wat er af gaat, zou er ook weer bij moeten komen, immers er wordt betaald aan X?
Nee dus....
Argumentatie: er zijn gebruikers die de kosten van hun rekening van een andere rekening laten betalen en als we het naar onszelf overmaken via een 0-rekening zien ze dat niet....
Tja.. je zou in de omschrijving van de afboeking de originele rekening kunnen zetten misschien?
Klantenondersteuning zegt dan "u heeft gelijk, het is niet logisch. Maar ze gaan het niet terugdraaien".
Dus maar in mijn boekingssoftware WEER een uitzondering aanmaken om te voorkomen dat het als interne overboeking wordt gezien....

[rolf-smit]

Dit is sterk, eerst moest elke bank al naar Google Pay terwijl juist op Android dit helemaal niet nodig was. Elke bank kan prima, met gemak zelfs een eigen NFC betaal optie aanbieden.


Echter... Forceren steeds meer banken hun klanten maar het eco-systeem van Google. Net als veel bedrijven hun werknemers in het eco-systeem van Microsoft duwen (en dan doel ik even op de agressieve manier waarop je bijvoorbeeld verplicht bent Edge te gebruiken voor het openen van links vanuit Outlook, die vervolgens gaat vragen je standaard browser te worden).

Het is tijd dat we in Europa hier eens wat aan gaan doen, weg deze onnodige Amerikaanse afhankelijkheid.

[wiseger]

Open source is geen recht. Waar haal je dat nou weer vandaan?

Als je niet afhankelijk had willen worden van buitenlandse bedrijven, dan had men niet massaal hun producten moeten kopen. De Europese consument heeft zelf Nokia met Symbian kapot gemaakt.

[CAPSLOCK2000]

Daar gaan we, dit is het begin van het einde van vrije software. Dit zit er al jaren aan te komen, dit is de logische uitkomst van het hele "Integrity" programma. Langzaam sluit het net zich en verliezen we de controle over onze software. Ik mag mijn eigen apparaten niet meer gebruiken zoals ik wil. Google maakt de regels. Banken vertrouwen hun klanten niet, maar wij moeten hun software maar wel vertrouwen.

Heel veel applicaties en diensten kan ik weigeren, hoe vervelend dat ook is, maar zonder bank kan ik niet. Mobiel kunnen betalen begint ook steeds noodzakelijker te worden, steeds vaker kun je alleen betalen door eerst een QR-code te scannen.

'om de veiligheid van klanten te waarborgen' is het nieuwe 'maar denk aan de kinderen!', je kan het te pas en te onpas gebruiken alles goed te praten. Ik hoop dat er nog lang banken blijven die hier niet aan mee doen, maar ik verwacht dat de meesten snel zullen volgen, 'voor de veiligheid'.

[Reactie gewijzigd door CAPSLOCK2000 op 13 augustus 2025 15:11]

[1F4A9]

Heel veel applicaties en diensten kan ik weigeren, hoe vervelend dat ook is, maar zonder bank kan ik niet.

Zonder bank kan je niet, maar zonder Rabobank wel.
De kans is echter niet groot dat genoeg klanten de Rabobank hiervoor gedag zeggen zodat de andere banken dit niet ook gaan doen.

[TomONeill]

Het is echt een grote fout geweest om de bank in het IBAN zelf te zetten. Er is sprake geweest van het kunnen behouden van je IBAN als je van bank wisselt, maar dan klopt de naam van de bank natuurlijk niet meer. Daarom ook niet doorgezet, denk ik.

Ik zou echt sneller overstappen als ik mijn IBAN gewoon kon behouden.

De bankcode moet gewoon uit de IBAN standaard, het slaat sowieso nergens op dat die er ooit in is gekomen.

[Luther]

Met de Overstapservice is het echt heel makkelijk geworden. Voor ruim een jaar worden alle betalingen en afschrijvingen netjes afgehandeld.

We hebben de overstap een jaar of twee geleden gedaan (van ING naar ASN) en ben er super tevreden mee. Het ging echt heel soepel.

Gerelateerd aan dit onderwerp is helaas de ASN app ook volledig afhankelijk geworden van Google, maar tja...

[xoniq]

De bankcode moet gewoon uit de IBAN standaard, het slaat sowieso nergens op dat die er ooit in is gekomen.

Zorgt de bank naam er niet voor dat je daardoor per bank dezelfde hoeveelheid rekeningnummers kan aanbieden? Ipv dat je net als met IP-adressen nummers in batches moet opkopen om ze maar te hebben?

[Tintel]

Idd. En banken zijn al langer de slechte partij om zaken mee te doen natuurlijk. Ze hebben uitzonderlijk veel macht en uitzonderlijk veel geld en praktisch iedereen heeft een bank nodig dus klanten krijg je ook wel. Dat er meerdere banken zijn lijkt mooi [voor de concurrentie] maar dat valt vies tegen vind ik.

Er zou een overheids bank moeten zijn voor onze 'digitale wallet' - dat wat anders is dan een digitale munt. Echter geeft dat wel weer een deel van dezelfde bezwaren.
En natuurlijk kan de overheid dan onze betalingen volgen (en later wellicht zelfs blokkeren...) maar dat kunnen ze nu indirect ook al omdat banken en overheid nogal dicht op elkaar zitten (moeten uitleggen aan de bank waarom je meer dan 100 euro hebt gegeven aan de supermarkt is daar wel een voorbeeld van...).

De tijd dat de bank blij was dat jij bij hen een beetje spaargeld achterliet is allang achter ons. Logisch ook - ze hebben genoeg. Tel daarbij op dat we een hypotheeksysteem hebben waarbij de bank bijzonder weinig risico loopt en dat het grootste deel van de bevolking niet zonder hypotheek een huis kan kopen en je hebt weer wat meer afhankelijkheid van banken.

En dit gedoe met 'veiligheid' is inderdaad een mooie deken die overal overheen kan worden gegooid.

[comecme]

Ik ben benieuwd waar dat voorbeeld van

moeten uitleggen aan de bank waarom je meer dan 100 euro hebt gegeven aan de supermarkt

over gaat. Ik geef regelmatig meer dan 100 euro uit en heb dat nooit hoeven uitleggen.

[Tintel]

Dat is al een aantal mensen overkomen. Ik meen dat een consumenten-programma dat onder de aandacht heeft gebracht (want die mensen gingen terecht klagen). Ook al is die wet [dat de grens 100 euro is] nog niet ingevoerd meen ik. Dus zal niet iedereen overkomen idd.

[Bor]

Dat hoeft dan ook niet. Bij de gevallen die in de media zijn geweest was er ofwel meer aan de hand of het verhaal werd maar van 1 kant verteld. Je hoeft wat je in de supermarkt uitgeeft echt niet te verantwoorden.

[SgtElPotato]

Laat je stem horen en stap over op een andere bank? Er zijn genoeg banken die dit nog niet hebben. Tja en als de volgende bank dit gaat eisen stap je toch gewoon over?

En daarnaast kun je gewoon de website gebruiken voor je bankzaken. Ik heb werkelijk nog nooit meegemaakt dat ik niet kan betalen met mijn pas (al dan niet fysiek of die in mijn Wallet).

[CAPSLOCK2000]

En daarnaast kun je gewoon de website gebruiken voor je bankzaken. Ik heb werkelijk nog nooit meegemaakt dat ik niet kan betalen met mijn pas (al dan niet fysiek of die in mijn Wallet).

Een concreet voorbeeld waar ik regelmatig mee te maken heb zijn kluisjes bij concertzalen. Die zijn helemaal gericht op een jong & snel publiek dat een QR-code scant en mobiel betaalt. Steeds vaker is er geen mogelijkheid meer om met cash of pin te betalen.
Op de vrijmakt op Koningsdag heb ik ook een aantal plekken gezien waar je allen per tikkie kon betalen.

Uit praktisch oogpunt is het overigens heel handig en veilig hoor, daar zal je mij niet over horen klagen. Beter zo dan in de rij staan om om de beurt te betalen of je kinderen met een hoop geld op straat laten zitten. Maar het is wel heel afhankelijk van een mobiele telefoon.

Verder begrijp ik dat in sommige landen, met name China, mobiel betalen eigenlijk gewoon verplicht is. Naar het schijnt accepteren een hoop winkels helemaal geen cash of pin meer maar alleen WeChat of AliPay.

[2TheMaks]

Banken vertrouwen hun klanten niet, maar wij moeten hun software maar wel vertrouwen.

Nee, hoeven we niet. Banken zijn immers verantwoordelijk/aansprakelijk voor wat er fout gaat met hun informatiesystemen, inclusief de app. Als er geld verdwijnt van je rekening door een hack dan moet de bank bewijzen dat je onzorgvuldig bent omgegaan met je pin/inlog-gegevens. Kan de bank dit niet bewijzen dan word het geld gewoon door de bank terug gestort op je rekening.

Uiteraard is de bank hiervoor verzekerd. De hoogte van de premie voor deze verzekering is weer recht evenredig met hoe veilig de informatiesystemen van de bank in de praktijk blijken te zijn.

[mjz2cool]

Het erge is nog dat op deze manier oudere telefoons die al even geen updates meer krijgen wel goedgekeurd worden.

[ds1786]

Stap je toch over naar een ander bank?

[wiseger]

Het is jouw software niet. Dat is nu net het hele punt. Gebruikers denken slim te zijn om via Auora de licentie voorwaarden van Google simpelweg met fake accounts te kunnen negeren. Alleen timmert Google haar Android en PlayStore steeds meer dicht.

Jij mag je eigen apparaten gebruiken hoe je wilt alleen krijg je niks meer van Google kado als je hun services niet gebruikt.

En zonder de Google bijdrage aan Open Android kan GrapheneOS helemaal niet bestaan. Er werken krap aan 15 man partime aan GrapheneOs. Hoeveel Android ontwikkelaars denk je dat er bij Google aan Android werken?

[StefandeGroot]

Heeft de Rabobank nog een mobiele website die je voor je bankzaken kan gebruiken?

Jaren terug had ik een telefoon met Ubuntu Touch. Om daarop toch mijn bankzaken toen bij de Rabobank te kunnen doen, maakte ik toen gebruik van hun mobiele website. Dat was toen voor mij voldoende.

Ik weet niet in hoeverre dat zich heeft ontwikkeld en of dat nu nog een alternatief is voor degene die geen officiële Android versie (of iOS) wil gebruiken op zijn/haar telefoon wil gebruiken, maar wel bij de Rabobank wil kunnen bankieren.

[Carlos0_0]

Buiten het feit de website werkt op de mobiel, kan je sowieso wel betalingen doen(Als je iets online wil bestellen?).
Dan wordt het denk ik achteraf overmaken, of handmatig. Ideal etc betalingen gaan allemaal via de app volgens mij alleen.

[PaulHelper]

Ik weet niet of het bij Rabobank zo is. Maar alle andere banken die ik ken hebben altijd eerst de optie via app of website doorgaan. En dan kies ik altijd app maar als de app om wat voor reden niet werkt kan je gewoon alles doen zoals op een pc.

[Jittikmieger]

Nee, je kunt nog altijd betalen met de raboreader of hoe ze dat ding tegenwoordig ook noemen. Ik dit jaar heb een weekje noodgedwongen een dumbphone (in dit geval een "moderne" Nokia 3210) moeten gebruiken als vervangende telefoon. Je kunt gewoon onder de QR code klikken op een link en krijgt dan de kleurencode voor de raboreader om geld over te maken. Zoals we dat vroegâh deden.

[R4gnax]

Heeft de Rabobank nog een mobiele website die je voor je bankzaken kan gebruiken?

De app v/d Rabobank is vziw niets meer dan een schil om de website, met wat extra functionaliteit toegevoegd. Het grotere probleem is - als je het als website gaat gebruiken heb je geen van die extra toegevoegde functionaliteit, bijv. om betalingen snel te accorderen.
Je zult dan wss. noodgedwongen met een Rabo Scanner a/d gang moeten. Pas daarin steken, het scherm van je smartphone scannen wanneer de proprietaire QR tevoorschijn komt, en code overtikken. Erg veel gehannes voor on-the-go gebruik. En zaken zoals snel met near-field in één ::beep:: betalen kun je wel vergeten, denk ik.

[Reactie gewijzigd door R4gnax op 13 augustus 2025 15:23]

[William_H]

NFC is bij de meeste banken niet in de banken app. De meeste (Rabo ook) hadden daar een aparte eigen app voor. Tegenwoordig hebben ze dat over gedaan naar Google Wallet. Wat natuurlijk ook weer een lock-in is. Maar goed, je pas ergens tegenaan houden werkt nog net zo goed.

[telenut]

Bij Google wallet moet je nooit pincode ingeven. "Net zo goed" klopt dus niet

[William_H]

Uhm, jawel hoor. Het is contactloos betalen, daar gelden dezelfde regels voor als contactloos betalen met een pinpas. Dat dit ondervangen wordt door je vingerafdruk (of andere biometrische beveiliging) op je telefoon (altijd, of eens in de zoveel keer), neemt niet weg dat er altijd wel een vorm van extra bevestiging wordt gevraagd. Anders zou iedereen die je telefoon vindt kunnen pinnen met je betaalrekening.

[telenut]

ik kan niet authentiseren op mijn pinpas met vingerafdruk... dan moet je aan de kassa uw pincode ingeven waar iedereen op staat te kijken. Alles behalve veilig.

[William_H]

Dat is inwisselbaar en geheel je eigen verantwoordelijkheid. Als je telefoon je vingerafdruk even niet accepteert of je telefoon is opnieuw opgestart, moet je ook daarop je pincode ingeven. Pincode afschermen bij invoeren is zowel bij je telefoon als je bij een pinterminal goed te doen, maar wel je eigen verantwoordelijkheid. Uiteraard is een vingerafdruk dan makkelijker, maar ook daar zitten weer (andere) veiligheidsrisico's aan.

[psalden]

De app wordt grotendeels ook op de website en als "Progressive Web App" aangeboden. Het grootste nadeel qua gebruiksgemak is dat je voor betalingen altijd de Rabo Scanner (of zo) en dus ook de pinpas moet gebruiken, wat bij de app tegenwoordig niet meer nodig is.

[Skamba]

Aan de ene kant begrijp ik dit ergens wel. De Integrity API is een goede manier om vast te stellen dat er niet gesjoemeld wordt aan een app.

Aan de andere kant zorgwekkend dat we zo afhankelijk zijn van Amerikaanse techbedrijven.

[WoutervOorschot]

Het is toch best gek eigenlijk? Als hun servers/api’s veilig zijn, dan is er weinig reden dat de app alleen op ‘officiele’ androiddistro’s mag draaien?

Bij streamingdiensten kan ik het ergens nog begrijpen, controle dat bijvoorbeeld de content van het scherm niet kan worden opgenomen bijvoorbeeld.

Waarom zou het de rabobank uit moeten maken of ik hun app in een virtual machine, een e/os, een officiële androidtelefoon of zelfs een webbrowser draai?

Je zou nog kunnen noemen dat theoretisch gezien het een klein stukje malwarebescherming geeft, als je google vertrouwt dat de playstore geen malware bevat. Maar dat klinkt wel erg vergezocht.

[SgtElPotato]

Dus voor streamingdiensten begrijp je het, maar voor een bank app niet????

[WoutervOorschot]

Ja, want een streamingdienst moet hun videobeeld beschermen tegen kopieën. De rabo app heeft gewoon een exporteerfunctie bijvoorbeeld, er lijkt helemaal geen incentive te zijn om specifiek dit dicht te timmeren.

[SgtElPotato]

En een rabobank moet zijn klanten beschermen tegen van alles en nog wat. Dit is gewoon een manier om daar aan te voldoen.

[prutsger]

Wat dan zoal, noem eens voorbeelden? Als de verbinding goed beveiligd is kun je volgens mij alles serverside controleren en maakt de client niet uit. Bij een streamingsdienst wil je juist controleren dat er clientside niets wordt opgeslagen.

[telenut]

Screen capture, record, transparante layers... Reverse ingeneeringen van hun app..

[prutsger]

Ik zie daar nog steeds geen use cases waarin de bank of gebruiker risico loopt zolang je maar serverside de boel goed dicht timmert. Clients mag je gewoon nooit vertrouwen. Maar de makkelijkste methode is natuurlijk de check vam Google gebruiken, die hun meer macht geeft, dan hoef je er as ontwikkelaar zelf niet meer over na te denken.

[phray]

Raboapp werkt beetje vergelijkbaar zoals die streamingdiensten. Als ik een screenshot daarop maak is het ook gewoon zwart beeld. Denk uit veiligheid dat een andere malafide app die je hebt niet zomaar screen record en gegevens stuurt naar een of andere server ergens.

[lenwar]

Sommige zaken gebeuren lokaal. Kijk naar biometrische authenticatie die onder water tokens opstuurt. Het stukje biometrische authenticatie werkt 100% lokaal op je telefoon. Het mechanisme zegt ‘ja of nee’ tegen de app, en stuurt een secret uit een kluis naar de app. Ofwel, als de integriteit van de telefoon niet gegarandeerd veilig is, kan dat voor gedoe zorgen.

Je telefoon is een ‘trusted device’. Er gebeurd onder water een heleboel. Dit maakt een app op een telefoon, over het algemeen veiliger dan een browser op een desktop, voor zaken als internetbankieren. (Let wel. Veiliger. Ik zeg niet dat het onveilig is op een desktop.)

[Tintel]

controle dat bijvoorbeeld de content van het scherm niet kan worden opgenomen bijvoorbeeld.

Wat met een extern apparaat heel goed kan - iets kwaliteit verlies maar ja...die was toch al ondergeschikt bij die dienst zelf.

Terwijl de 'man inbetween OS en App' attack alleen een risico voor de klant is. En daar hadden ze nooit moeite mee want op de desktop hebben we deze controles niet. De website is/was dus veilig genoeg. Dat is dan welliswaar niet een App maar die browser is niet hun applicatie.

[koppie]

De website was niet veilig genoeg, daarom had je je telefoon of TAN-code of scanner nodig. Nu zie je dat de banken dit allemaal weer terugduwen naar de telefoon, en ervanuitgaan dat de telefoon inherent veilig is ingericht voor biometrische controle.

Het is eigenlijk een achteruitgang, want zodra die telefoon gehackt wordt kan je alsnog een heleboel dingen.

[Tintel]

Ja. idd. De TAN-code of externe scanner was een 'disconnected device' - dus geen kans op remote hacken. Hoogstens fysieke diefstal maar - de hoofdreden dat het niet handig was - niet altijd bij je. En de telefoon wel.
Gemak met betalen dient ook de banken; die verdienen tenslotte ook aan transacties.
Maar een telefoon heb je dan wel bij je - het is jouw apparaat. Maar nu gaan ze dus fijn bepalen wat je met jouw apparaat doet; voor jouw veiligheid....

[koppie]

Ik denk ook dat het niet een goed idee is, maar de telefoon is voor de banken nu hét identificatieapparaat geworden en die dubbelfunctie past eigenlijk niet in het hele model.

[catfish]

Ik denk dat je niet beseft wat je schrijft.

Als ik jouw Rabobank app kan hacken op de een of andere wijze, dan kan ik dingen tonen op het scherm en andere dingen naar de server sturen. Met andere woorden: zonder het te weten ga je al je geld overschrijven naar mijn rekening.

Het is dus HEEL erg belangrijk dat de app gecontroleerd wordt op echtheid.

En voor de mensen die denken dat dit niet met een browser kan, uiteraard kan dat ook.

[WoutervOorschot]

Daar had ik niet direct aan gedacht. Het gaat inderdaad om het stukje klantbescherming tegen malware. In de browser kan dat idd ook, maar daar is de random reader de beveiligingslaag natuurlijk. In de app alleen je code/biometrie.

Er lijkt in eerste zicht geen directe reden vanuit de bank, maar ze bekommeren zich daadwerkelijk over schade bij klanten. Wel is het natuurlijk jammer dat dit via een Google API wordt gedaan waarbij meer wordt gecheckt dan dat alleen de app 'echt' is, en het daardoor niet op andere systemen kan draaien.

[CAPSLOCK2000]

Als ik jouw Rabobank app kan hacken op de een of andere wijze, dan kan ik dingen tonen op het scherm en andere dingen naar de server sturen. Met andere woorden: zonder het te weten ga je al je geld overschrijven naar mijn rekening.

Als ik de app kan hacken dan is het eerste wat ik doe alle zelfcontroles er uit halen. Daar werkt dit niet voor.

Het is dus HEEL erg belangrijk dat de app gecontroleerd wordt op echtheid.

Maar dat is niet wat Google Play Integrity doet.

[Tintel]

En het stomme is; dat betekent dus eigenlijk dat we de andere kant niet kunnen vertrouwen; want die kan beweren de bank te zijn maar is dat niet. Dat kun je echter ook lokaal doen - dan is er geen vertrouwensprobleem - dan is je eigen device gecomprimetteerd.
Echter: de meeste nadruk ligt zoals gewoonlijk nog steeds dat de klant moet bewijzen wie hij/zij is. Toen er nog alleen fysieke bankloketten waren was dat ook geen probleem. Maar nu hebben we dus digitale loketten....dus zou ook de bank eerst moeten bewijzen dat het wel de bank is. Liever voordat jij je password intyped....

Het idee van een server-side systeem dat kan bewijzen van de bank te zijn en een extern identificatie systeem is vele malen veiliger. Nu moet jouw apparaat waar je van alles mee kan en wil doen (want het is niet alleen voor bank...) superveilig worden omdat de bank anders niet kan garanderen dat jouw geld veilig is bij hen.... bijzonder verhaal...beetje omgekeerde wereld.

[theredspecial]

Voor FairPhone is /e/os zelfs officieel

[Carlos0_0]

Hoezo afhankelijk, je bent niet verplicht de bank app te gebruiken.
Je kan prima de website gebruiken, dat de app handiger is op een telefoon. dat is weer een ander verhaal .

[Jeffrey88]

Bij ING moet ik via de app betalen als ik iets via de computer bestel, QR code scannen... Dat wordt dus al een uitdaging

[eNaSnI]

Nee hoor, je kunt ook een scanner gebruiken: https://www.ing.nl/particulier/digitaal-bankieren/mijn-ing/scanner

[Groentjuh]

Dat wordt flink ontmoedigd door diverse banken. Diverse banken hebben dat geeneens. Voorbeelding hiervan zijn: Bunq, Knab en Triodos Bank (had scanner, maar geeft geen nieuwe meer uit. Overstappen naar mobiel is verplicht!). ASN Bank, Regio Bank en SNS hebben hun scanner ook uitgefaseerd voor een "browsercode".

Ik zit zelf bij ABN AMRO. Die pushed ook flink hun app. "Wist u dat u ook met behulp van de ABN AMRO app kunt inloggen?" en willen geheel van de scanner af. Zie bijvoorbeeld dit artikel.

Ik heb dan ook al een keer soort van ruzie gehad met ABN AMRO, want voor KYC wilden zijn een scan via hun app van mijn ID. Destijds was mijn Android versie te oud voor de app, dus dat werkt dan niet. Uiteindelijk maar even mijn werk iPhone gebruikt nadat ik berichten ontving met een aankondiging dat mijn producten zouden worden opgezegd indien ik niet binnen 2 weken het aangeleverd had.

Met dit soort dingen ben je straks VERPLICHT om een Google account of AppleID te hebben om te bankieren!

[Reactie gewijzigd door Groentjuh op 13 augustus 2025 15:38]

[wiseger]

Tja dat zit hem in de kosten. Als de bank twee euro per maand gaat vragen voor het gebruik van de Random Reader, dan is het ook weer niet goed.

ABNAMRO wil overigens geen scan voor KYC, de overheid verplicht hun de identiteit van hun klanten te controleren. Ze zijn het door de overheid verplicht om uit te voeren. Het enig alternatief is dat u als klant verplicht langskomt op een kantoor om daar uw ID kaart te laten zien.

[Groentjuh]

Langkomen bij ABN AMRO? Echt?!

Ga jij maar eens goed de contactpagina bekijken! Ik citeer: "Kan ik nog naar kantoor?"

"We snappen dat het belangrijk voor je is om persoonlijk geholpen te worden met je bankzaken. Hoewel je niet meer naar kantoor kunt komen voor een afspraak, hebben we verschillende manieren om je te helpen."

[Tintel]

Tja dat zit hem in de kosten. Als de bank twee euro per maand gaat vragen voor het gebruik van de Random Reader, dan is het ook weer niet goed.

Nee, nu dan; nu heb je een apparaat nodig wat honderden euro's kost [telefoon].... omdat de bank geen systeem kan leveren dat jouw geld velig kan houden. Dit is toch zoiets als dat de bank haar klanten verplicht een goede kluis te kopen om het geld in op te bergen? "Anders is het niet veilig"....

[wiseger]

Smartphones zijn wijd verspreid. De meeste volwassen hebben er wel eentje. Verder zijn er nog alternatieven zoals banken die een Random Reader kunnen leveren. Ook zijn er al Smartphones vanaf 79 euro te koop.

Als men voor een kleine groep mensen toch een dure oplossing moeten blijven leveren, dan is het ook vrij logisch die kosten bij die groep in rekening te brengen en niet alle klanten eraan mee te laten betalen.

[tweakerbee]

Het gaat niet om de smartphone, het gaat om de koppeling aan een Google account omdat de Play Store verplicht is. Dat geeft Google indirect macht over of veel mensen hun bankzaken kunnen regelen. Je kunt je afvragen of dat wenselijk is.

[wiseger]

Europa heeft net geregeld dat alternatieve stores toegestaan zijn. Dus kan een partij gewoon een geweldige store bouwen met super veilige checks.

Je kan ook een iPhone kopen, heb je geen last van Google meer.

Opties te over.

[theredspecial]

De enige optie die ik heb is een iPhone, want de oplossing van andere app stores moeten worden ondersteund door de bank. En een iPhone is voor mij onwenselijk omdat de privacybescherming in /e/os beter is (gekoppeld aan eigen nextcloud, genoeg apps die alleen lokaal werken). Dus, volgens mij zijn er niet genoeg alternatieven.

[Tintel]

Dat iets wijd verspreid is maakt toch niet uit? Zoals hieronder al gezegd wordt; het is jouw apparaat waar dan de bank eisen aan gaat stellen.

[wiseger]

De bank stelt eisen aan het apparaat waar haar banken app op kan draaien.

Het is uw keuze of u die app wilt gebruiken of niet.

[theredspecial]

Ik heb een FairPhone die met /e/os te koop is. Nu sluit de bank mij uit. Gaan ze zeuren over terig naar een officiële versie, terwijl ik die heb. Het werkt altijd en nu is het plots een probleem? Onzin. Zeker omdat een oudere telefoon die geen updates meer krijgt wél veilig zou zijn? Nogmaals, onzin.

[wiseger]

/e/OS is een fork van Open Android. Het is geen officiële versie, het is een open source versie. Ze gebruiken dus gewoon de code van Google terwijl ze heel trots verkondigen dat het een 'complete, fully “deGoogled”, mobile ecosystem' is.

Dit model is niet houdbaar, wel profiteren van het werk van Google maar er niet voor willen betalen. Dus zet Google steeds meer dicht, tot het punt dat ze stoppen met ondersteuning van OASP. En dan komt iedereen er ineens achter dat al die zogenaamde alternatieve besturing systemen zelf nauwelijks ontwikkelen, maar gewoon jarenlang meeliften op het werk van Google. De organisatie waar ze zich juist tegen afzetten.

En kijken we even verder wat /eOS zegt over apps:

All the apps are based on open source bricks. We improve their design and experience to make them look stellar and easy to use daily.

Dus /e/OS wil de app van de Rabobank zelf aanpassen? Vind u het echt zo raar dat de Rabobank dit niet wil?

[theredspecial]

Jouw quote heeft betrekking op standaard apps, zoals mail of agenda. Apps die ik overigens niet gebruik.

FairPhone verkoopt gewoon telefoons met e. Daarmee is het wel degelijk officieel. Immers, het wordt geleverd door de fabrikant en ik kan niet terug naar een officiële of oorspronkelijke versie omdat die zo van de fabrikant komt.

[wiseger]

De fabrikant heeft geen rechten op Android en levert dus geen officieel OS. Je krijgt een pre-installed open source versie.

Fairphone levert zelf ook geen ondersteuning op het OS. Je bent volledig afhankelijk van de OASP community. Lees de goodwill van Google.

[theredspecial]

Ik zie het anders: ik koop een telefoon met een bepaald OS. Daarmee is dat OS een officiële versie voor die telefoon. Wat Google er ook van zou vinden. Als ik die versie zelf geïnstalleerd zou hebben, soit. Maar de telefoon is zo verkocht. En Rabobank werkt het nu tegen.

[wiseger]

Google vind er niets van, Google is de eigenaar van Android.

Fairphone bezit geen mobiel OS. Dus leveren ze een open source versie van /e/OS die een versie van Google's Android onder licentie gebruikt. Een versie die ze zelf aanpassen.

De Rabobank werkt niets tegen, haar app werkt op Google Android en iOS. Dat is de keuze die zij gemaakt hebben.

Dat jij een truuk hebt uitgehaald om de app toch op jouw telefoon te installeren zonder dat je de Play Store geinstalleerd hebt, is jouw probleem.

[theredspecial]

Hoewel ik het nog steeds niet met je eens ben, laat ik het hier maar bij. Ik ga in elk geval door met mijn strijd tegen spionage-OSen en -bedrijven.

[eNaSnI]

Voor een remote identificatie kunnen ze soms ook een derde partij inschakelen die op afspraak langskomt. Het eisen dat je alleen hun diensten mag gebruiken als je allerlei hardware aanschaft zal ook een bepaalde groep ergens anders heen duwen (lees concurrent).

[AtHomer]

Bij Triodos is het nog mogelijk om een Identifier te gebruiken, maar die optie is nergens op de website zelf terug te vinden, je moet echt moeite doen. Uit de "Voorwaarden Betalen":

Om toegang te kunnen krijgen tot Internet Bankieren geeft de Bank de Rekeninghouder de mogelijkheid van Mobiel Bevestigen of een Identifier. Met behulp hiervan kan de Rekeninghouder inloggen in Internet Bankieren.

Een Identifier kost 20 euro. Aanvragen kan via: https://www.triodos.nl/downloads/formulier-aanvragen-identifier?id=81182d5e2505

[Carlos0_0]

Zou kunnen uiteraard ondertussen, moet zeggen ik de website zo ontiegelijk lang al niet meer gebruikt heb.
Ik niet eens meer weet, of je een betaling kan doen. als je bijv iets besteld via een website ofzo.

[eNaSnI]

Hier staat dat dat kan: https://www.ing.nl/particulier/digitaal-bankieren/mijn-ing/scanner-gebruiken

[moimeme]

Ik niet, bij ING betaal ik via hun webportaal of ideal.

[rko4u]

Totdat je je geregistreerde device nodig hebt om je betaling goed te keuren en je deze niet meer in kan. Volgens mij heb je dan een uitdaging. Dan kan je de bank bellen, maar die willen dan weer via de app je identiteit controleren.

[Ex Nunc]

Best wat banken die willen dat je met de app inlogt op de website. Een andere manier wordt lastig gemaakt of zelfs uitgefaseerd.

[MoonRaven]

Custom roms kunnen echter de veiligheid nog meer verbeteren. Dit is wat mij betreft echt niet wenselijk.

[Bor]

Custom roms kunnen echter de veiligheid nog meer verbeteren.

Of de veiligheid (flink) verlagen. Je kan hier echt niet zo'n algemeen statement over doen. De veiligheid van een custom rom hangt helemaal van de betreffende rom in kwestie af.

[Raven]

Een reden om custom roms te gebruiken is het niet meer bijgewerkt worden van de stock Android op een smartphone, heeft de Rabo dan liever dat klanten op een oude Android versie met beveiligingsproblemen die niet worden gefikst blijven werken? Dit even los van de (potentiële on)veiligheid van custom roms.

[gamezfreak]

Aan de andere kant zorgwekkend dat we zo afhankelijk zijn van Amerikaanse techbedrijven.

Massa is kassa hé (daarmee doel ik niet de tv programma). Veel mensen willen een product dat simpel te gebruiken is, zonder allerlei handelingen te moeten doen. 2FA / MFA is zelfs nu voor sommige mensen al te irritant aan het worden omdat er een extra stap bijzit i.p.v. alleen inloggen met een wachtwoord. Daarnaast willen mensen dat het eenvoudig te gebruiken is, zonder een alternatieve App Store te moeten downloaden, of bijv. via APKmirror de .apk downloaden en installeren.
Voor Tweakers en mensen in de IT wereld is dat niks nieuws, maar voor de gemiddelde persoon lijkt het alsof je Klingon spreekt.

Je zou naar Sailfish OS kunnen gaan als je geen Google Android wilt gebruiken, of zoals anderen het al hebben gezegd E/OS, of een andere fork dat binnen de EU wordt ontwikkeld. Echter zullen niet veel apps erop komen, omdat de userbase te klein is om ondersteuning van andere apps te krijgen (bijv. bank apps, DigiD).
Dat zagen we al met Symbian OS, wat ooit de OS was waar je van alles mee kon doen, kelderde het gebruik zodra Android populair begon te worden. Ja, SymbianOS was toen alleen voor Nokia bedoeld, maar het had ook gekund om op andere smartphones te draaien, gezien het grootste gedeelte op Java draait (net zoals Android dat nu doet).

Daarnaast, USA heeft net wat meer geld te besteden dan dat wij kunnen, zodoende maken we veel gebruik van de diensten en producten dia USA kan leveren. Andersom maakt USA ook gebruik van de diensten en producten die wij leveren. Mocht je toch willen kijken welke producten je kan vervangen door een EU product, kijk dan op deze site.

[Polderviking]

Die integrity API zou een goede manier zijn, als Google niet koning en keizer was over hoe die integrity API werkt en dat in plaats daar van een open en toegankelijk proces was.

Niemand heeft er inbreng over, en als je niet zelf een telefoonproducent bent (lees: Graphene of E/OS) kan je er ook gewoon niet aan meedoen met je verder keurige software.

Ik vind het vooral een antitrust issue zoals dat nu werkt.

[Reactie gewijzigd door Polderviking op 14 augustus 2025 12:24]

[Kaasdipje]

Weer zo’n geval waar “veiligheid” als excuus wordt gebruikt om Google-lock-in te versterken. Rabobank kiest er bewust voor alleen nog gecertificeerde Android-versies te ondersteunen, waardoor privacyvriendelijke roms buitenspel staan. Ironisch genoeg zijn sommige van die custom roms juist veiliger dan stock Android, maar dat telt blijkbaar niet mee.

[The Realone]

Ik zie niet echt in welke motivatie de Rabobank heeft om de Google-lock-in te "versterken". Kun je dat uitleggen?

[Kaasdipje]

Met “Google-lock-in” bedoel ik niet dat Rabobank actief Google wil promoten, maar dat de keuze voor Play Integrity automatisch betekent: geen officiële Google-certificatie = geen Rabo-app. Daarmee word je dus indirect gedwongen binnen het Google-ecosysteem te blijven, ook als er technisch prima veilige alternatieven bestaan (zoals GrapheneOS)


Het gevolg is dat gebruikers die juist bewust voor privacy en veiligheid kiezen, worden uitgesloten. Niet omdat het per se onveilig is, maar omdat het niet in Google’s lijstje staat.

[Jittikmieger]

Yup.

Je kunt natuurlijk nog steeds via de browser en rabobank.nl op je rekening komen. Je zult alleen - ouwerwets - de raboreader mee moeten zeulen om betalingen te kunnen doen. Omslachtig en vervelend, natuurlijk.

[lenwar]

Nou ben ik niet bekend met GrapheneOS, maar wat voor garanties bieden zij op veiligheid/integriteit/enz. En hoe zijn ze juridisch aansprakelijk te stellen mocht het helemaal belly-up gaan, of dat er toch ineens wat rotte/frauduleuze dingen gebeuren?

Nogmaals. Ik ben niet met ze bekend en wil zeker geen twijfel trekken aan goede intentie, maar als bank wil je waarschijnlijk wel wat meer dan goede intenties.

[CAPSLOCK2000]

Nou ben ik niet bekend met GrapheneOS, maar wat voor garanties bieden zij op veiligheid/integriteit/enz. En hoe zijn ze juridisch aansprakelijk te stellen mocht het helemaal belly-up gaan, of dat er toch ineens wat rotte/frauduleuze dingen gebeuren?

Nogmaals. Ik ben niet met ze bekend en wil zeker geen twijfel trekken aan goede intentie, maar als bank wil je waarschijnlijk wel wat meer dan goede intenties.

Je denkt toch niet dat Google wel dat soort garanties geeft?
Waarom zouden ze? Een van de belangrijkste onderdelen van de meeste software-licenties is het afwijzen van alle verantwoordelijkheid.

Een heel andere manier om er naar te kijken is dat GrapheneOS nog niet veroordeeld is voor machtsmisbruik en allerlei privacy-overtredingen. Google is al talloze keren veroordeeld. Waarom zou je dat bedrijf wel vertrouwen?

[Reactie gewijzigd door CAPSLOCK2000 op 14 augustus 2025 11:59]

[lenwar]

Google heeft licenties om in de EU bijvoorbeeld Google Pay te faciliteren. Daar zijn allerlei controles en garanties aan te pas. De ECB gaat daar niet lichtzinnig mee om. Als er (bewust) frauduleuze zaken gebeuren bij Alphabet op dit vlak worden ze echt wel op het matje geroepen en aansprakelijk gehouden.

Alphabet is natuurlijk op allerlei vlakken een verwerpelijk bedrijf, en ik snap ook niet dat er mensen zijn die er vrijwillig gebruik van maken (waar er alternatieven zijn), maar ze hebben qua veiligheid de boel wel op orde. (Uiteraard zijn er incidenten). En ze zullen geen risico’s nemen om hun Google Pay product niet meer te mogen aanbieden door fout gedrag. Dat is fnuikend voor vertrouwen.

[CAPSLOCK2000]

Je hebt op zich gelijk, maar je argumenten zijn uiteindelijk vooral op gevoel en verwachtingen gebaseerd. Ik heb wel respect voor de ECB maar tegelijkertijd zie ik ook de macht van Google.

Als er (bewust) frauduleuze zaken gebeuren bij Alphabet op dit vlak worden ze echt wel op het matje geroepen en aansprakelijk gehouden.

Dat is zo, maar dat betekent niet dat Google dan wel meewerkt of niet tot het uiterste vecht om z'n eigen zin te krijgen. Dat 'aansprakelijk houden' valt in praktijk nogal tegen, dat is te vaak een "als het kalf verdronken is dempt men de put" situatue. Ja, Google krijgt een boete, maar de concurrentie is al kapot en heeft daar niks meer aan of de data is al gebruikt.

Stel dat de ECB morgen besluit om Google Pay te blokkeren en miljoenen mensen niet meer kunnen betalen, op wie zijn de mensen dan boos? Op de ECB of op Google? Ik denk dat velen vooral boos zijn op de ECB want Google is een meester in marketing en PR. Als Google dan zegt "Wij gaan ons niet aanpassen, ga maar bij de ECB klagen" dan ben ik bang dat ze het winnen en de politiek de ECB zal dwingen om bakzeil te halen.

Zo extreem zal het niet gaan, maar de invloed van Google is enorm.

Overigens is er nog een complicatie, namelijk dat Google meerdere petten op heeft. Ten eerste is Google de leverancier van het OS, ten tweede is het de ontwikkelaar van Google Integrity, ten derde is het de uitbater van Google Play en ten vierde is het de controleur die op de veiligheid van dit alles toezit en de regels maakt. Dat is vragen om belangenverstrengeling. Of het nu bewust is of niet, Google zal zichzelf niet snel dwars zitten maar er juist voor zorgen dat de eigen producten/partners geen strobreed in de weg wordt gelegd.

[wiseger]

Ze zijn niet aansprakelijk te stellen. 15 vrijwilligers werken we aan GrapheneOS. Er zit geen bedrijf of organisatie achter.

[lenwar]

Dan snap ik dat een bank daar niet per se op wil vertrouwen. Ongeacht een geweldige track-record, en uiteraard niets ten nadele van die 15 mensen die daar waarschijnlijk hun ziel en zaligheid in stoppen.

[kodak]

Beveiliging gaat ook om beschikbaarheid. Dat de app alleen nog onder specifieke technische en organisatorische omstandigheden werkt gaat dus wel degelijk om beveiliging. Alleen hebben ze dit verschoven naar wat ze zelf belangrijk vinden. Ze willen kennelijk niet beschikbaar blijven voor klanten die zelf willen beslissen welke soort Android men gebruikt.

Als dat om beveiliging is dan hoort er wel een uitleg bij . Waarom dit nog minder beschikbaar zijn vanuit risico's gezien redelijk is. En die uitleg geeft Rabobank juist niet. Maar daarmee is het risico nog niet minder of gelijk.

Ik vermoed dat het Rabobank meer te doen is om de suggestie risico weg te nemen. Zeker zolang ze over de afgelopen 25 jaar niet kunnen aantonen dat de integriteit van de app een praktisch risico is. Zoals dat er miljoenen euro's verlies is doordar criminelen de app hebben aangepast en zich zo geld konden toe-eigenen.

Het is ook meten met twee maten. Iedereen kan wel op een slecht onderhouden en besmet systeem met Windows/osx/Linux bankieren maar op een smartphone is het spontaan een probleem als klanten wel controle willen over wie waar bij mag.

[Reactie gewijzigd door kodak op 13 augustus 2025 15:46]