Hollandalı ASN Bankası, GrapheneOS'un iDEAL Wero'ya kilitlenmesinden Google Play Integrity'yi sorumlu tuttu

ASN Bank, yeni iDEAL | Wero ödeme özelliğinin GrapheneOS gibi Google dışı Android sürümleri çalıştıran telefonlarda kullanılamayacağını müşterilerine bildirdi; çünkü bankanın uygulaması etkinleştirme sırasında bir Google Play Integrity kontrolü yapıyor. Sürdürülebilirliği ve gizliliği temel değerleri olarak öne süren Hollandalı banka, bir çözümünün olmadığını ve alternatif işletim sistemlerine ne zaman ya da hiç destek verilebileceğine dair söz veremeyeceğini söylüyor.

Bu yazışma, bankacılık uygulamalarının özel Android sistemlerinde nasıl davrandığını belgeleyen bir topluluk projesi olan PrivSec-dev banking-apps-compat-report deposundaki bir issue başlığı üzerinden Hacker News'te geniş ilgi gördü.

ASN müşterilerine ne söyledi

Başlığa göre bir müşteri, ASN uygulamasında iDEAL | Wero'yu etkinleştirmenin cihazında başarısız olan bir Play Integrity doğrulamasını tetiklediğini fark ettikten sonra ASN'ye şikayette bulundu. Şikayette, Hollanda devletine ait, gizlilik odaklı bir bankanın Google'ın kontrolündeki bir kapıcılık mekanizmasına bağlı olmaması gerektiği ve ASN'nin bunun yerine Android'in açık attestation mekanizmasına geçmesi talep edildi.

Başlıkta Hollandaca'dan çevrilen yanıt, sorumluluğu ödeme düzenine aktardı. ASN, iDEAL | Wero'nun katı Avrupa gizlilik, güvenlik ve dolandırıcılıkla mücadele kuralları altında çalıştığını ve bu nedenle onu kullanan cihazların bütünlüğüne yüksek gereksinimler dayattığını söyledi. Bankaya göre hizmet, geleneksel işletim sistemlerinde yerleşik standart güvenlik kontrollerine dayanıyor; alternatif sistemler bu korumaları atladığı veya değiştirdiği için ödeme düzeni bir işlemin güvenliğini garanti edemiyor.

ASN ayrıca ortak ödeme girişimlerinde katılımcı tarafların topluca belirlediği güvenlik gereksinimlerini izlediğini ve iDEAL | Wero ile birlikte alternatif işletim sistemlerinin gelecekte desteklenip desteklenemeyeceğini araştırdığını ekledi. Bu sonucun birden fazla tarafa ve teknik gelişmelere bağlı olduğunu belirten banka, şu aşamada hiçbir şey söz veremeyeceğini veya garanti edemeyeceğini söyledi. Yanıtı, müşterinin telefonunda iDEAL | Wero kullanmasını sağlayacak bir çözüm olmadığı ve daha geniş destek ne zaman geleceğine dair bir bilginin bulunmadığı sözleriyle sona erdi.

Dikkat çekici bir şekilde, aynı başlıktaki başka bir katılımcı da ASN'den neredeyse kelimesi kelimesine aynı yanıtı aldığını bildirdi; bu da bankanın konuyla ilgili şikayetleri bir araya toplayıp ortak bir şablonla yanıtladığına işaret ediyor.

Play Integrity alternatif sistemleri nasıl dışlıyor

Google'ın Play Integrity API'si, bir uygulamanın tanınan Play hizmetlerine sahip, Google sertifikalı bir Android sürümünde çalışıp çalışmadığını doğrulamasına olanak tanıyor. GrapheneOS gibi gizlilik odaklı dağıtımlar bilinçli olarak bu sertifikasyon olmadan yayımlanıyor; bu nedenle kullanıcıları, sistem gerçekte ne kadar sağlamlaştırılmış olursa olsun kontrolden geçemiyor. Başka bir deyişle bu hüküm, gerçek cihaz güvenliğinden çok Google ile uyumu ölçüyor ve kontrolü zorunlu gören her uygulama, hangi işletim sistemlerinin onu çalıştırabileceği konusunda Google'a fiili bir veto hakkı veriyor.

Neden önemli

ASN vakası, uygulama düzeyindeki bütünlük kontrollerinin yapısal bir sorununu gözler önüne seriyor: Kendi ticari çıkarları olan bir üçüncü taraf, hangi telefon yazılımının günlük bankacılık için yeterince güvenilir olduğuna fiilen karar veriyor. ASN bu gereksinimi kendi uygulamasından değil, paylaşılan iDEAL | Wero çerçevesinden kaynaklandığı şeklinde çerçevelediği için, aynı düzeni benimseyen diğer bankalar da bu düzen Hollanda dışına yayıldıkça aynı kilitlemeyi dayatabilir.

GrapheneOS ve benzeri Google'sızlaştırılmış sistemlerin kullanıcıları için raporlanacak bir hata ya da açılıp kapatılacak bir ayar yok: Uygulama, bütünlük kontrolü aksine karar verene kadar sorunsuz çalışıyor. Ve şikayette bulunan kişinin özellikle dikkat çektiği, Android'in kendi donanım destekli açık attestation mekanizmasının varlığı, Google'ın tescilli kontrolünün Avrupa dolandırıcılığı önleme kurallarını karşılamanın tek yolu olduğu argümanını zayıflatıyor. Bankalar kontrol etmedikleri attestation mekanizmalarını kabul edene kadar, telefonlarından Google'ı kaldıran müşteriler, gizliliği bir ilke olarak duyuran bankalardan bile olsa, temel finansal hizmetlere erişimi kaybetmeye devam edecek.