Daar valt uiteraard iets voor te zeggen. Maar anderzijds zouden de banken ook wel de APK op hun eigen website mogen aanbieden voor diegene die de Play Store niet willen gebruiken. Maar dat zegt niks over het blokkeren van alternatieve ROMs, die vaak ook nog eens beter up to date zijn qua security fixes.
Ja, maar we moeten ook eerlijk zijn dat er heel erg veel ROMs zijn van dubieuze afkomst. En zelf als de ROM wel van een betrouwbare bron is, kun je de bootloader vaak niet opnieuw locken (met uitzonderingen) en is er dus geen enkele garantie dat het OS niet gecomprommiteerd is. Ik kan dan ook wel begrijpen dat banken niet heel erg veel zin hebben apps toe te staan op zulke devices als het potentieel om tienduizenden of honderdduizenden Euros draait.
Ik vind ook dat er alternatieven voor Google en Apple zouden moeten zijn, maar wel op een manier waarop het voor dit soort high-impact apps veilig blijft. IMO zou de EU dit moeten gaan reguleren en zowel eisen stellen aan OS-bouwers als banken. Vereis bijvoorbeeld dat een OS-maker ge-audited wordt om te controleren dat de images op beveiligde infrastructuur gebouwd worden en gesigned worden met keys die niet te stelen zijn, etc. Daar staat dan tegenover dat bank apps die systemen moeten accepteren in remote attestation. Bijv. GrapheneOS ondersteunt remote attestation, maar banken moeten hun signing key fingerprints toevoegen. Sommige banken die remote attestation gebruiken, doen dit al, maar het is nu helaas nog helemaal vrijblijvend.
Zie bv ook Googles eigen beleid wijzigingen dat ze nog maar elke 3 maanden security patches publiekelijk publiceren.
Klopt niet helemaal, ze publiceren nog maandelijks, maar er is een embargo van 3 maanden. Dus bijvoorbeeld de patches van zeg, december 2025, waren al bekend voor OEMs sinds September. Dit is ook de reden waarom bijv. GrapheneOS (dankzij toegang via een OEM) al patches voor Maart, April, Juni etc. heeft.
Terwijl de alternatieve ROMs als LineageOS of GrapheneOS prima elke maand een security update uit brachten op basis van de publieke patches.
Ook niet helemaal correct. GrapheneOS heeft toegang tot de patches voor het embargo afgelopen is (via een OEM) en loopt dus ver voor op bijvoorbeeld Lineage.
Verder ben ik het wel helemaal eens met dat het hypocriet is dat Google wel apparaten toestaat die een dubieuze security-reputatie hebben. Helaas zou er weinig overblijven als Google die zou gaan blokkeren in de Integrity API, want alleen Google Pixel en duurdere Samsung apparaten (A5x en hoger) hebben enigszins acceptable veiligheid (aparte secure element, maandelijkse updates die op tijd zijn, up-to-date GKI kernel images, etc.).
[Reactie gewijzigd door danieldk op 22 februari 2026 14:16]