GrapheneOS für unterstützte Pixel-Geräte

[anna2]

Also einen User für die Google Play-Dienste einrichten, dann Services Framework und Google Play Services installieren und das war's? Schon kann ich bedenkenlos alle nötigen Apps, die Googles Dienste wollen, installieren? Das ist ja einfach.

Vielen Dank für Eure Hilfe!

 

[gecko03]

ähm, warum willst Du GOS benutzen und dann einen User für die google Play Dienste einrichten?

ich kann Dir nicht sagen ob es überhaupt funktioniert, aber das System ist dazu gedacht datenschutztechnisch safe zu sein.
dann meldet man sich auch nicht mit dem google User an...

 

[Berlino]

Im GOS Usage guide ist folgendes zu lesen:

The simplest approach is to only use the Owner user profile. Apps installed in the Owner profile are sandboxed the same way as everywhere else and don't receive any special access. If you want to choose which apps use Google Play rather than making it available to all of them, install it in a separate user or work profile for apps depending on Google Play. You could also do it the other way around, but it makes more sense to try to use as much as possible without Google Play rather than treating not using it as the exceptional case.

 

[gecko03]

da steht aber im Gegenzug nicht dass es sinnig ist sich bei google anzumelden, ganz im Gegenteil...

hier mal die Übersetzung aus deepL:

Der einfachste Ansatz besteht darin, nur das Benutzerprofil "Besitzer" zu verwenden. Apps, die im Profil "Besitzer" installiert sind, werden genauso wie alle anderen in eine Sandbox gesperrt und erhalten keinen besonderen Zugriff. Wenn Sie auswählen möchten, welche Apps Google Play verwenden, anstatt es für alle verfügbar zu machen, installieren Sie es in einem separaten Benutzer- oder Arbeitsprofil für Apps, die von Google Play abhängig sind. Sie können es auch andersherum machen, aber es ist sinnvoller zu versuchen, so viel wie möglich ohne Google Play zu verwenden, als die Nichtverwendung als Ausnahmefall zu behandeln.

Übersetzt mit DeepL.com (kostenlose Version)

dann zum Thema Sandbox selbst, auf meinem GOS steht in der Benachtichtigungszeile "Sandboxed Google Play is running", und NUR das, sprich keine andere App wird laut der Message von meinem Phone gesandboxed.

 

[Berlino]

@gecko03
Ich meinte auch nicht, sich bei Google anzumelden - das wäre ja erst nötig im Falle von Kauf-Apps.

Ich kann die sandboxed Play Services noch nicht so richtig einschätzen in der Theorie (bin noch am 'reinshreddern' der umfangreichen Infos), ob andere Apps wie WA, Google Maps usw. dann auch wieder Daten von allen anderen installierten Apps abgreifen mit denen sie interagieren... praktische Erfahrungen sollen in absehbarer Zeit bei mir folgen.

Vom Verstädnis her habe ich jetzt auch vor, GSF und Play Services in einem separaten Profil laufen zu lassen mit Nutzung vom Aurora-Store eben wegen den Fremdkonten, da ich keine Kauf-Apps über Play verwende. In diesem Profil würde ich auch WhatsApp laufen lassen und die Benachrichtigungen zum Eigentümer-Profil durchschleifen lassen wollen. Oder ist das in der Praxis dann doch wieder umständlich? Als Calyx-User habe ich bis dato auch nur das Hauptprofil in Verwendung mit microG...

 

[gecko03]

@Berlino
dann geht es Dir genauso wie mir. Ich kann das Prinzip auch noch schlecht greifen, die Einrichtung des Phones mit verschiedenen Profilen erscheint mir irgendwie zu umständlich zu sein für die tägliche Nutzung. btw. will man wirklich vor der Nutzung einer App erst einmal das Profil wechseln?

weiter verstehe ich auch nicht den folgenden Satz der Übersetzung:
> "Wenn Sie auswählen möchten, welche Apps Google Play verwenden, anstatt es für alle verfügbar zu machen,
> installieren Sie es in einem separaten Benutzer- oder Arbeitsprofil für Apps, die von Google Play abhängig sind."
wo an welcher Stelle kann ich denn auswählen welche Apps google Play verwenden können/dürfen?

ich kann Dir sagen wie ich es mache, ohne dass ich weiß ob dies der Königsweg ist.
- Minimierung der Anzahl der Apps
- ich habe die google Play Services installiert, aber OHNE Anmeldung
- Datenschutztechnisch habe ich dann noch den Deckel mit AdGuard drauf gelegt.

ich hatte vor GOS 480.000(!) Werbe und Trackingelemente die in 4 Wochen geblockt wurden.
also über 17.000 Werbe und Trackingelemente pro Tag!, und ich sehe mich nicht als Extremuser mit extrem vielen oder auch speziellen Apps.
mit dem Umstieg auf GOS und einer minimierung der Anzahl der Apps konnte ich diese Zahl auf ca. 1.800 absenken.
Sprich eine Verringerung um ca. 90% und diese restlichen ca. 10% werden dann mit AdGuard weggeblockt.

Wie gesagt, ob dies der Königsweg ist kann ich Dir nicht sagen, vor allem ist es auch nicht so einfach eine Verbindung zu analysieren, und wenn dann sind die Daten idR auch noch verschlüsselt. Deshalb bleibt zum Schluß der gute Glaube an etwas und die Hoffnung dass es so funktioniert wie man es sich vorstellt...

 

[Berlino]

Da liegen wir mit unseren Überlegungen bzw. Fragestellungen ganz dicht bei einander...

Genau die Frage mit den Profilen will ich mit GOS mal beleuchten, wo sehr viele Calyx/GOS-User dieser Tage eben diese Profile verwenden: Wie alltagstauglich ist das, ständiges hin und herschalten bei Messenger-Apps etc. Ein kleiner Lichtblick mit dem Durchreichen von Benachrichtigungen ans Haupt-Profil gefiel bei bei GOS im User guide...

Und genau dieser Absatz mit den Play Diensten im User guide ließ mich ebenfalls fragend zurück...klar, nehmen wir das Beispiel vom Messenger Telegram, der einerseits den Push von Benachrichtigungen mit GCM/FCM der Playdienste realisiert, aber bei Nichtvorhandensein eben auch seinen eigenen Push-Hintergrund-Service verwendet (der zog damals aber recht heftig am Akku).
Da viele App-Devs auf die Playdienste setzen bzw. aus anderen Gründen oder der Einfachheit halber auf den 'Dienst' von Google zurückgreifen, möchte ich das schon gern von vornherein bei den Apps etwas eingrenzen und wirklich nur den Apps den Rahmen der Playdienste gestatten, die absolut ohne nicht funktionieren, anstatt eben das ganze Hauptprofil dafür zu öffnen. Ich denke mal, das es für die sandboxed Playdienste etc. keine GUI gibt, um etwas einzustellen!?
Im Falle von microG kann man im Einstellungsmenü genau sehen/regeln, welche Apps den Pushdienst von bigG nutzen dürfen und auch am Polling-Intervall bedarfsweise nachjustieren. Der Rest von profilrelevanten Daten wird anonymisiert.

Ansonsten habe ich ebenfalls AdGuard in Verwendung, verzichte weitgehend auf trackergespickte Apps und mache das meiste über die Browser.

 

[reinold p]

@Berlino, zum Pushdienst: ich bin mit meinem P4a und dem dafür aktuellen Graphene 13 unterwegs. Ohne Google, mit Aurora.
K9 und Telegram (sonst hab ich nix zum pushen) haben zwar eigene Awakeprozeduren, aber sie wecken das Phone nicht oder nur verspätet aus dem Tiefschlaf: Mails werden also nur nach Ablauf der eingestelten Zeit empfangen, Telegram-Anrufe werden später als nicht angenommen angezeigt. (Akkuoptimierung aus verbessert das nicht)

 

[Berlino]

Danke, das ist schon mal ein hilfreicher Hinweis, daß ich möglicherweise dann meine Nine-Email-App also auch ins "Play-Profil' installieren sollte, um zeitnahe Benachrichtigungen zu bekommen...

 

[reinold p]

@Berlino : in K9 kann ich das Refresh/Awake-Intervall auf minimal 2' setzen, aber das wäre wsl ein Akkufresser.

 

[gecko03]

also bei meinem GOS mit Android 14 funktioniert alles was mit Push zu tun hat tadellos.

@Berlino
eine Alternative zu den Profilen wäre die App "Shelter".
Mit dieser ist es wohl möglich bestimmte Apps zu freezen.

Ich selbst habe das aber noch nicht getestet und ob jetzt die Profile mit einem Wechsel oder so eine App besser ist, darüber bin ich auch noch am grübeln...

 

[Berlino]

Danke für eure Vorschläge und Eingaben...ich habe ja durch das kommende Zweit-Gerät nun Zeit, in aller Ruhe jedes Szenario zu testen.

@anna2
An einem Feedback deiner Erfahrungen bin ich auch sehr interessiert.

 

[reinold p]

@gecko03 also bei meinem GOS mit Android 14 funktioniert alles was mit Push zu tun hat tadellos

ohne Google Framework?

 

[85950]

@gecko03 shelter ist einfach nur die Simulation des Arbeitsprofils. Du hast dann einen abgeschlossenen Bereich. Ist zB zu empfehlen wenn WhatsApp installiert wird denn im shelter kann es nur auf die Kontakte zugreifen (und auf die wa Server laden) die in diesem Bereich liegen und nicht auf alle Kontakte.
Quasi kannst du dein Profil anonym nutzen und die Dinge die bedenklich sind (Spotify, audible, WhatsApp usw) in den Shelter legen. Dann bekommen die Dienste keinen Vollzugriff mehr. So habe ich es bislang gehandhabt.

 

[anna2]

Zu meiner Ehrenrettung: Ich nutze Googles Software (Maps) nur ohne Google-Account und habe nicht vor das zu ändern.

Aktuell plane ich alle Apps im Standarduser-Profil des Telefons zu installieren und ein Google-Profil auf dem Telefon zu erstellen in dem Google Framework und Google Play Services installiert sind. In diesem Profil sollen dann die Apps laufen, die die Google-Dienste benötigen (Aurora: erforder GSF). Das entspricht imho auch dem Usage Guide (Sandboxed Google Play).

Noch zwei Fragen:

Wie funktioniert die Authentifizierung? Das Pixel 7a kann man wohl mit Gesichtserkennung und Fingerabdruck entsperren, geht das auch unter GrapheneOS? Bisher nutze ich nur eine 6-stellige PIN.

Ich weiss noch nicht, ob ich Nano-SIM oder eSIM nutze. Wenn ich das richtig gelesen habe, erfordert die Nutzung einer eSIM (bei Vodafone) eine eigene App - stimmt das oder geht das auch mit Bordmitteln?

@anna2
An einem Feedback deiner Erfahrungen bin ich auch sehr interessiert.

...und ich an Deinem auch!

 

[85950]

Wenn ich mich Recht entsinne funktioniert nur Pin und Fingerabdruck bei Graphene

 

[jochenf]

Warnung an alle root Nutzer: die Party ist vorbei!

 

[2babe]

 

[jochenf]

Mehrere Crashs beim Update, WLAN und LTE tot.
Magisk deinstalliert bzw. originales boot.img geflasht und alles ist wieder ok.
Die letzten Änderungen sind offenbar nicht mehr kompatibel mit Magisk.
KernelSU jedesmal selber in den Kernel zu compilieren ist mir zu aufwendig, von daher Party erstmal vorbei...

 

[562942]

GrapheneOS hat eigentlich noch nie mit Magisk funktioniert, bei XDA gab es immer gepatchte boot.img, da das GrapheneOS die immer signiert.