GrapheneOS: politie richt zich op aangepaste Google Pixel-telefoons

In dit artikel:

De ontwikkelaars van GrapheneOS beschuldigen de Nederlandse en andere Europese politiediensten van een misleidende voorstelling van zaken rond beveiligde smartphones. Volgens hen wordt ten onrechte de indruk gewekt dat de politie de officiële software heeft gekraakt. In veel gevallen zou het gaan om Google Pixel-telefoons waarop commerciële aanbieders een aangepaste versie van GrapheneOS hebben geïnstalleerd. Die versies kunnen kwetsbaarheden bevatten die niet in de officiële software zitten.

De kritiek volgt op een Nederlandse politieactie eind oktober. Daarbij werden op tientallen adressen invallen gedaan en beveiligde Pixel-telefoons in beslag genomen. Ook werd een 42-jarige handelaar uit Ridderkerk aangehouden. Volgens de Duitse strafadvocaat Christian Lödden, die verbonden is aan het Joint Defense Team, verkocht deze handelaar toestellen met een eigen GrapheneOS-versie waarin een Mobile Device Management-systeem (MDM) zat. Daarmee konden de telefoons op afstand worden beheerd.

Lödden vermoedt dat de politie toegang kreeg tot digitale ondertekeningssleutels van de verkoper en daarmee aangepaste software installeerde om de schermbeveiliging te verwijderen. Mogelijk gebeurde dat via een fysieke USB-verbinding met de in beslag genomen telefoons. Politie en justitie hebben deze lezing niet bevestigd. Er is volgens de advocaat geen bewijs dat de politie op afstand kan binnendringen in toestellen met de actuele, officiële GrapheneOS-versie. Wel is in een Duitse strafzaak data verkregen uit een Pixel 8a met GrapheneOS, zonder dat bekend is gemaakt hoe dat lukte.

GrapheneOS is gratis en opensource en draait op Google Pixel-telefoons. Het systeem is bedoeld om gebruikers te beschermen tegen digitale aanvallen, surveillance en ongeoorloofde toegang. Volgens de ontwikkelaars wordt het onterecht gekoppeld aan georganiseerde misdaad; betrouwbare openbare cijfers die aantonen dat vooral criminelen het gebruiken, ontbreken. Anders dan EncroChat en Sky ECC is GrapheneOS geen gesloten communicatiedienst met eigen servers en abonnementen.

De ontwikkelaars verwijten politiediensten en media bovendien dat zij de mogelijkheden van forensische hulpmiddelen als Cellebrite en GrayKey overdrijven. Ook bekritiseren zij privacytelefoonproducenten zoals Murena, Jolla, Volla en iodé, die volgens hen onvoldoende bescherming bieden. GrapheneOS benadrukt dat sterke beveiliging niet alleen criminelen helpt, maar ook journalisten, advocaten, activisten en gewone burgers.

Ten slotte waarschuwt het project voor een bredere Europese trend in Nederland, Frankrijk en Duitsland. Overheden zouden sterke encryptie en privacytechnologie steeds meer onder druk zetten. GrapheneOS spreekt van een door staten gesteunde desinformatiecampagne, maar onafhankelijk bewijs voor een gecoördineerde campagne ontbreekt.