GrapheneOS: politie richt zich op aangepaste Google Pixel-telefoons

De ontwikkelaars van het besturingssysteem GrapheneOS beschuldigen de Nederlandse en andere Europese politiediensten van een misleidende campagne tegen extra beveiligde smartphones. Volgens GrapheneOS wordt ten onrechte gesuggereerd dat de politie de beveiliging van hun software heeft doorbroken. In werkelijkheid zou het in veel gevallen gaan om telefoons waarop commerciële leveranciers aangepaste versies van GrapheneOS hebben geïnstalleerd, met kwetsbaarheden die in de officiële software niet voorkomen.

Door @Wim van de Pol

De kritiek volgt op de Nederlandse politieactie van eind oktober, waarbij op tientallen adressen invallen werden gedaan om beveiligde Google Pixel-telefoons in beslag te nemen. Ook werd een 42-jarige handelaar uit Ridderkerk aangehouden.

GrapheneOS verzet zich ook tegen de manier waarop de software in verband wordt gebracht met georganiseerde criminaliteit. Volgens de ontwikkelaars wordt de suggestie gewekt dat hun besturingssysteem voornamelijk door criminelen wordt gebruikt. Daarvoor bestaan geen betrouwbare openbare cijfers.

GrapheneOS is een gratis en openbaar besturingssysteem voor Google Pixel-telefoons, bedoeld om gebruikers beter te beschermen tegen digitale aanvallen, surveillance en ongeoorloofde toegang tot hun gegevens. Anders dan EncroChat en Sky ECC is het geen besloten communicatiedienst met eigen servers en abonnementen.

De ontwikkelaars verwijten politiediensten en media dat zij het onderscheid tussen de officiële software en commerciële aanpassingen onvoldoende maken. Bovendien zouden de mogelijkheden van forensische hulpmiddelen zoals Cellebrite en GrayKey worden overdreven, waardoor ten onrechte de indruk ontstaat dat ook de nieuwste beveiligde telefoons eenvoudig kunnen worden gekraakt.

Volgens de Duitse strafadvocaat Christian Lödden, verbonden aan het Joint Defense Team, verkocht de handelaar uit Ridderkerk telefoons met een eigen versie van GrapheneOS. Daarin was een Mobile Device Management-systeem (MDM) ingebouwd, waarmee de leverancier de toestellen op afstand kon beheren.

Lödden vermoedt dat de politie toegang heeft gekregen tot de digitale ondertekeningssleutels van de reseller. Daarmee zou aangepaste software op de toestellen kunnen zijn geïnstalleerd om de schermvergrendeling te verwijderen. Volgens de advocaat is mogelijk gebruikgemaakt van een fysieke USB-verbinding met in beslag genomen telefoons. Deze lezing is niet door politie of justitie bevestigd.

De advocaat benadrukt dat er geen bewijs is dat de politie op afstand kan binnendringen in telefoons waarop de actuele, officiële versie van GrapheneOS draait. Wel wijst hij op een Duitse strafzaak waarin de recherche uiteindelijk gegevens wist te verkrijgen uit een in beslag genomen Pixel 8a met GrapheneOS. Hoe dat is gelukt, is niet bekendgemaakt.

GrapheneOS haalt ook uit naar verschillende Europese producenten van privacytelefoons, waaronder Murena, Jolla, Volla en iodé. Volgens de ontwikkelaars bieden deze bedrijven onvoldoende bescherming tegen digitale aanvallen, terwijl zij hun producten als privacyvriendelijk presenteren.

Bijzonder kritisch is GrapheneOS over Gaël Duval, oprichter van Murena en ontwikkelaar van /e/OS. Duval zei eerder in een interview dat zijn bedrijf geen extreem beveiligde telefoons wil ontwikkelen om pedocriminelen buiten bereik van justitie te houden.

Volgens GrapheneOS dragen dergelijke uitspraken bij aan het beeld dat sterke beveiliging vooral nuttig is voor criminelen. De ontwikkelaars stellen daartegenover dat juist journalisten, advocaten, activisten en gewone burgers belang hebben bij bescherming tegen digitale inbraken, ook wanneer die door overheidsdiensten worden uitgevoerd.

GrapheneOS plaatst de ontwikkelingen in Nederland, Frankrijk en Duitsland in een breder politiek kader.

Volgens de ontwikkelaars voeren Europese overheden een steeds agressiever beleid tegen sterke encryptie en onafhankelijke privacytechnologie. Zij spreken van een door staten gesteunde ‘desinformatiecampagne’, die eerder in Spanje en Frankrijk zou zijn begonnen en inmiddels ook in Nederland en Duitsland wordt gevoerd.

Volgens GrapheneOS proberen overheden beveiligde telefoons maatschappelijk verdacht te maken, terwijl zij tegelijkertijd meer mogelijkheden zoeken om versleutelde communicatie te onderscheppen. Het project vreest dat sterke encryptie zonder achterdeuren en extra beveiligde smartphones uiteindelijk verboden zullen worden. Voor het bestaan van een gecoördineerde overheidscampagne is echter geen onafhankelijk bewijs geleverd.