Home   2026-08-03 17:31:33

←

Volkswagen blokkeert VW-app op Android-telefoons met custom rom

Original article

Volkswagen-eigenaren die een custom rom op hun Android-telefoon gebruiken, kunnen de VW-app niet gebruiken. De app vereist nu een api die ontbreekt in alternatieve Android-versies. Gebruikers hoeven geen snelle oplossing te verwachten, al bekijkt het bedrijf de opties.

Dat komt door een aanpassing in de onderliggende software, legt de autofabrikant uit aan techwebsite heise. Om de Android-app te gebruiken, is nu de Google Play Integrity-api nodig.

Volgens Google controleert de Play Integrity-api of de integriteit van een telefoon niet is aangetast. Doorgaans werkt die niet op custom roms. Gebruikers van onder andere GrapheneOS, LineageOS en /e/OS kunnen daardoor dus niet meer in de Volkswagen-app komen. Daardoor kunnen zij niet meer op afstand hun auto ontgrendelen, de verwachte actieradius bekijken of de verwarming of airco vast aanzetten.

Niet alle autofabrikanten vereisen Play Integrity. Hyundai en Kia brachten eerder dit jaar bijvoorbeeld een versie van hun apps uit voor GrapheneOS. Volkswagen 'onderzoekt' de mogelijkheden om customromgebruikers weer toe te laten, zegt het bedrijf tegen heise. Dat zal nog wel even duren: voorlopig komen er geen alternatieven, zegt de autofabrikant.

Intussen werkt een Europees consortium aan een alternatief voor de Play Integrity-api. De Duitse smartphonemaker Volla leidt dat consortium, samen met onder andere /e/OS-maker Murena, IodéOS-ontwikkelaar Iodé en het Zwitserse Apostrophy.

Volkswagen maakte zichzelf eerder dit jaar al impopulair met bepaalde keuzes rond zijn app. Het bedrijf kneep in mei toegang tot zijn api af, waardoor gebruikers hun auto niet meer konden toevoegen aan Home Assistant.

Volkswagen. Bron: Getty Images
Bron: Getty Images (afbeelding ter illustratie)

Door Daan van Monsjou

Nieuwsredacteur

Feedback • 22-07-2026 10:12 295

22-07-2026 • 10:12

295

Reacties (295)

295
295
187
9
0
70
Al deze anti custom ROM en anti-root maatregelen zijn zo onnodig. De meest simpele apps, waarin de backend alles netjes zou moeten bewaken, hebben tegenwoordig al een hele Integrity API nodig. Waarom? Omdat security firma's dit standaard zijn gaan aanraden?

Maar op mijn desktop OS Linux/MacOS/Windows is het allemaal geen probleem, daar mag ik full system admin zijn, en de browser waarin de websites van deze apps draaien mag ik aanpassen naar wens?

Dit gedrag is niet om de consumenten te beschermen, dit is duidelijk anti-condumer.

[Reactie gewijzigd door rolf-smit op 22 juli 2026 10:19]

Bor Coördinator Frontpage Admins / FP Powermod @rolf-smit • 22 juli 2026 10:29
Al deze anti custom ROM en anti-root maatregelen zijn zo onnodig.
Het is maar net hoe je het brengt natuurlijk. Het zijn in eerste instantie integriteitscontroles / maatregelen. Dat custom roms daar niet aan kunnen voldoen is vervelend maar dat maakt dit nog geen pure "anti custom ROM" maatregelen of de maatregelen "anti consumer".

De Integrity API doet o.a. dit:
The Play Integrity API helps you check that user actions and server requests are coming from your genuine app, installed by Google Play, running on a genuine and certified Android device. By detecting risky interactions — like those from tampered app versions, untrustworthy devices, or emulated environments — your backend server can respond with appropriate actions to prevent abuse and unauthorized access, fight fraud, combat cheating, and protect users from attacks.
Ik bouw als ontwikkelaar al 15 jaar Android-apps, dus ik ben uiteraard bekend met de werking van de Integrity API.

​Mijn punt is dat je dit soort maatregelen bijna of helemaal niet ziet op desktopbesturingssystemen (Linux/Windows/macOS) of bij websites die je daarop bezoekt. Waarom dit wel nodig is bij veel apps (ook de meest simpele apps) verbaast mij. Op desktop ben ik blijkbaar zelf verantwoordelijk voor de algehele systeemintegriteit, maar als ik een app wil gebruiken op mijn telefoon, dan moet die applicatie dat ineens voor mij gaan bepalen en heb ik daar zelf geen keuze meer in (ook als dit technisch gezien niet logisch is).

​Het feit dat ik die keuze niet meer heb, is voor mij een reden om te zeggen dat dit anti-consumentengedrag is.

[Reactie gewijzigd door rolf-smit op 22 juli 2026 10:41]

Bor Coördinator Frontpage Admins / FP Powermod @rolf-smit • 22 juli 2026 10:41
Het komt denk ik neer op een risico analyse; ik weet niet of je een desktop en een telefoon zo eenvoudig kan vergelijken als het aankomt op bijvoorbeeld de aanwezigheid van patches etc. Bij een telefoon is het helaas nog steeds veel voorkomend dat mensen patches helemaal niet installeren of op een dermate oude versie van het OS zitten dat er helemaal geen patches meer uitkomen. Oude OS versies op de desktop worden bij diverse software wel actief geweerd (en in de mobiele wereld ook).

Hiernaast zie je dat diverse bedrijven ervoor kiezen om helemaal geen desktop applicaties meer aan te bieden maar juist over gaan naar mobiele toepassingen.
De reden dat Google de "Integrity API" zo zit te pushen draait gewoon om macht, het heeft niets met veiligheid van de apps of eindgebruikers te maken, dat wordt alleen maar als smoes gebruikt om het er doorheen te krijgen.

Het is puur monopolisten gedrag, zodat op Android telefoons uitsluitend software kan draaien die door Google is goed gekeurd, en waarvan de ontwikkelaars dus ook door alle identificatie en voorwaarden hoepeltjes van Google zijn gesprongen. Alternatieve appstores zoals F-Droid en IzzyOnDroid worden effectief onmogelijk gemaakt.

Omdat Google inschat dat ze ermee weg kunnen komen, plegen ze een machtsgreep. Niet langer de eigenaar van een telefoon bepaalt welke software er draait, maar Google.

Check: https://keepandroidopen.org/
Alternatieve appstores zoals F-Droid en IzzyOnDroid worden effectief onmogelijk gemaakt.
Het is iets genuanceerder dan dat, want met een ingreep blijven die gewoon werken. Maar heel elegant is het allemaal niet idd.

Dit voorbeeld van VW is natuurlijk ook niet zo netjes. De userbase die getroffen wordt zal beperkt zijn wellicht, maar het is - zoals in het artikel gesteld wordt - al de tweede keer dit jaar dat gebruikers 'gedwarsboomd' worden. Die app is in princiepe natuurlijk gewoon een functioneel onderdeel van je auto.
Daarom schrijf ik "effectief onmogelijk" en niet "volledig onmogelijk". Het gevolg hiervan zal zijn dat meer dan 95% van de potentiële F-Droid en IzzyOnDroid gebruikers afhaakt, en beide projecten niet meer levensvatbaar zijn.
Het gevolg hiervan zal zijn dat meer dan 95% van de potentiële F-Droid en IzzyOnDroid gebruikers afhaakt, en beide projecten niet meer levensvatbaar zijn.
Ik weet niet of het zo'n vaart zal lopen. Nogmaals; elegant is het niet, maar de gemiddelde gebruiker van deze platforms moest al door een paar hoepeltjes springen om ze toegevoegd te krijgen (sideloaden en / of repository toevoegen in de app). Het stappenplan wordt langer met nog meer "PAS OP!" bordjes (en een afkoelings periode van 24uur).

Daarna zou het volgens mij moeten blijven werken als voorheen. Totdat Google weer de andere kant op gaat zwemmen natuurlijk.

Ik denk dat deze move van VW ook een beetje gemakzucht is. Door zichzelf te 'verstoppen' achter de Play Integrity API zal e.e.a. aan 'beveiliging' automatisch geregeld zijn zodat ze zelf minder effort daar in hoeven te steken. Dan zouden ze zich meer kunnen richten op functionele app-ontwikkeling.

Met de nadruk op 'zouden kunnen'. Of ze dat gaan doen is een tweede. De vraag is of gebruikers daar uiteindelijk beter mee geholpen worden. Gezien de impact die het heeft denk ik: Nee, niet per definitie.

[Reactie gewijzigd door CaptainKansloos op 22 juli 2026 16:22]

“Dan zouden ze zich meer kunnen richten op functionele app-ontwikkeling.”

In geval van VW is dat misschien ook maar het beste. Hoe lang hebben e-VW’s niet aan de kant gestaan omdat de software zo brak was.

Zelf rijdt ik geen VW maar ik hoor van collega’s dikwijls dat er met VW-software veel meer problemen zijn dan met bv. Kia, Hyundai, BMW en zelfs Tesla.
Ik los dit op voor deze en andere apps door: een goedkope Samsung tablet met jaren updates, nieuw mailadres en profiel aanmaken en daar de apps voor de wagen, weegschaal, tv en alle andere verbonden shit op te installeren.

Geeft me rust op mijn telefoon, de tablet blijft thuis en heeft nul contact personen en browser historie....
Zo doe ik het ook. Echter in geval van en auto app zou her wel makkelijk zijn om de verwarming of airconditioning aan te kunnen zetten als je nier thuis bent met de auto. Ook je auto terugvinden op een grote parkeerplaats is makkelijk.
Hoog risico acties zoals openen of starten heb ik sowieso liever niet zonder sleutel.
Je kan de tablet meenemen op reis en via de locale wifi (geen wifi delen via telefoon!) je auto voorverwarmen/koelen
De bouwer van de telefoon bepaald welk OS er gedraaid kan worden. Google heeft niets te maken met een gesloten bootloader. Als koper bepaal jij helemaal zelf of je een telefoon koopt die bepaalde software vereist of niet.

Verder kan Google heel eenvoudig AOSP Android de nek omdraaien, gewoon stoppen met het leveren van code commits. Dan is het in no-time klaar met AOSP want er is helemaal geen gemeenschap die het ondersteunt. Alle security updates komen van Google.
Wat je beschrijft is de fabel van de vrije markt, waarbij iedereen over alle informatie beschikt en daarin een bewuste keuze maakt. Ook negeer je de voorwaarden die Google stelt aan OEM's om Google play services mee te kunnen leveren, hierin eiste Google dat de OEM op alle toestellen het volledige pakket aan Googles services en Apps mee leverde. Een kleine serie ont-Googlede toestellen was niet mogelijk. Pas door ingrijpen van van toezichthouders werd het bijv mogelijk voor Fairphone om ook e/OS toestellen te leveren.
Zie bijv dit rapport van de Britse toezichthouder:
https://assets.publishing.service.gov.uk/media/673f2dc22ff787d4e01b09cf/1._appendix_b_-_google_oem_agreements.pdf
Je gaat eraan voorbij dat we een hele rits aan verschillende telefoonbouwers hebben gehad met allerlei smaken besturing systemen erop.

Uiteindelijk wilde de consumenten of een iPhone of een Android telefoon, die twee smaken bevielen mensen veruit het allerbeste.

Zo werkt de vrije markt, mensen kiezen zelf.
Is het een keuze? Er komt al jarenlang elke maand een artikel voorbij, met verschillende titels, maar het zelfde onderwerp: "hoe een niet standaard Android problemen veroorzaakt".

Ik noem dat geen keuze.

Of je nu van mening bent dat Google evil is en dit vooral doet om vendor lock-in te creeren, of dat je van mening bent dat dit een oprechte beveiligings feature is, een paar dingen zijn niet te ontkennen:
  1. Het heeft een groot anti competitief effect.
  2. Het komt Google goed uit.
  3. De gebruiker heeft geen keuze.
  4. Het past in een negatief patroon dat we al jaren zien.
Als dat geen redenen zijn om je zorgen te maken weet ik het ook niet meer.
  1. Het heeft geen anti competitief effect. Android is Google. Google is degene die de code base van AOSP onderhoud, niemand anders. Als Google stopt met AOSP dan is er vrij snel geen AOSP meer. Google concurreert met iOS en in minder mate met Chinese OS-en. Maar niet met AOSP.
  2. Google wil inderdaad graag weten wie de gebruikers van haar Android zijn. Dat klopt.
  3. De gebruiker heeft alle keuze, al decennia maken gebruikers hun keuzes. Waardoor we nu iOS en Android als dominantie mobiele besturingssystemen hebben en niet Symbian, BlackberryOS of Windows Mobile. Keuzes van de gebruikers.
  4. Welk negatief patroon? Dat een gratis OS niet bestaat en dat je ervoor moet betalen? Of met geld of met je data?
Het is geen enkele reden om je zorgen te maken.
Ik ben het fundamenteel oneens met je. Het is op dit moment niet mogelijk een ander systeem te gebruiken, zonder grotendeels uit de maatschappij uitgesloten te worden. Dat maakt Google + Apple een duopoly. Dat heeft allerlei fundamentele problemen. Zo kun je bijvoorbeeld niet aan de moderne maatschappij deelnemen, zonder allerlei heel erg persoonlijke data te exfilteren naar twee Amerikaanse bedrijven. Het is ook niet mogelijk voor andere bedrijven om nieuwe alternatieven te maken, want je mist de apps en zelfs als je een compatibiliteitslaag hebt, wordt je uitgesloten door Play Integrity.

In zulk soort gevallen wordt je een soort nutsbedrijf en moet dat streng gereguleerd worden. Daarom heeft de EU Google en Apple op dit vlak ook als 'gatekeepers' aangemerkt in de DMA. Het probleem is vooral dat de regels toepassen een proces van lange adem is en dat de EU op dit moment niet veel durft omdat het bang is voor nieuwe importheffingen van Trump e.d.
De laatste keer dat er een grote alternatief was, was Windows Phone en dat is alweer heel wat jaren geleden. Je ziet zo langzamerhand, ook met angst voor het Amerika van Trump, dat GrapheneOS, /e/OS, e.d. steeds populairder beginnen te worden. Maar gebruikers van beide systemen worden continue gedwarsboomd door... Play Integrity. Beide systemen zijn gewoon Android, maar sinds vorige maand kan ik de app voor onze VW dus niet meer op mijn GrapheneOS telefoon gebruiken.

Ik begrijp het argument dat een app-maker niet een één of ander obscuur systeem gaat ondersteunen, maar GrapheneOS is gewoon Android en je kunt Play Services draaien. De VW app werkte tot vorige maand perfect op mijn telefoon. Als VW remote attestation van GrapheneOS zou willen doen, dan kan dat. GrapheneOS ondersteunt AOSP remote attestation, GrapheneOS passeert ook Play Integrity Basic. Play Integrity Basic + AOSP attestation is min of meer het equivalent van Play Integrity Strong. De enige reden waarom ik nu onze auto niet meer op afstand kan monitoren (handig voor laden), etc. is omdat Google concurrentie uitschakelt door attestation exclusief te maken voor Google-certified telefoons.

Tsja, op deze manier is er ook geen kans voor alternatieven om op te bloeien.
Maar GrapheneOS is geen alternatief voor Google Android. Het is een aangepaste Google Android. Het kan nooit bloeien, want het wordt volledig onderhouden door Google. Google onderhoud haar Android en doneert dan enige tijd later de code aan AOSP. Zo werkt het momenteel.

Dat is dus waar het probleem voor al die AOSP varianten zit, ze zijn niet levensvatbaar want er is geen community of bedrijven anders dan Google die ze onderhouden.
Google heeft in het verleden ook verbeteringen van GrapheneOS overgenomen, dus het gaat twee kanten op. Daarnaast ben ik het niet mee eens dat deze alternatieven niet levensvatbaar zijn. Het GrapheneOS team heeft heel erg goede ontwikkelaars en heeft vrij veel funding (meer is natuurlijk altijd beter). Als Google AOSP zou afsluiten, dan ben ik redelijk zeker dat GrapheneOS een consortium zal opzetten om een AOSP fork verder te ontwikkelen.

Verder gok ik ook dat een aantal OEMs in opstand zou komen. Het feit dat AOSP open is, geeft hun een bepaalde leverage ten opzichte van Google. AOSP houdt de macht tussen Google en OEMs enigszins in balans omdat de OEMs kunnen dreigen AOSP te forken als Google teveel macht naar zich toe trekt. Zonder de OEMs is Google Android niets meer omdat Pixel niet genoeg marktaandeel heeft.

Tot AOSP gesloten is, heeft een project als GrapheneOS er weinig aan AOSP te fokken, itt hun eigen patches er bovenop te gooien.
Op dit moment heeft GrapheneOS ongeveer zes FTE in dienst en een aantal ingehuurde externe krachten en vrijwilligers.

Daarmee kunnen ze in het geheel niet schalen naar een levensvatbare organisatie die continue security patches gaat uitbrengen.

Erop gokken dat OEMs in opstand gaan komen tegen Google is wensdenken. Ze hebben geen enkele reden om dat te doen en doen dat ook niet. Al was het maar omdat ze helemaal geen alternatief voor Google hebben.
Ik zie het niet zo negatief in. Wat betreft securitypatches - in eerste instantie zullen Android en een fork nog niet veel gedivergeerd zijn, dus je kunt best veel securityissues afleiden uit CVEs. Bovendien doet Google tegenwoordig security auditing ook steeds minder met mankracht en steeds meer met LLMs.

Ten tweede, bij de meest recent genoemde statistieken was GrapheneOS op 500.000 apparaten geïnstalleerd en het aantal gebruikers groeit als kool. De meeste gebruikers kiezen GrapheneOS uit principiële redenen. Dus ik denk dat er veel ruimte is om geld binnen te halen via donaties e.d. Als een gebruiker gemiddeld tien Euro per jaar zou bijdragen, dan is dat al vijf miljoen Euro. Donaties en open source werkt over het algemeen niet geweldig, maar GrapheneOS doet het wat dat betreft al erg goed, zonder heel erg veel 'marketing'.

Tenslotte zijn zij niet de enige partij die dan een fork nodig heeft. Er zijn andere alternatieven, vendors van devices die geen GMS Android draaien, etc.
Murena, de commerciële tak achter /e/OS, had een jaaromzet van 2,8 miljoen euro in 2023. Nieuwere cijfers zijn niet bekend.

Maar je begrijpt het achterliggende probleem niet, zodra Google stopt met AOSP zal Google Android en AOSP steeds meer uit elkaar groeien. Op een gegeven moment moeten app bouwers dan een speciale /e/OS versie gaan maken. Doen ze dat niet, dan hou je steeds minder apps over op /e/OS.
Zolang Google ontwikkelaars apps wil laten schrijven voor Google Android, hebben ze API docs nodig. Een AOSP-geforked systeem kan gewoon dezelfde APIs implementeren. Net zoals dat in het verleden vaak genoeg is gedaan, bijvoorbeeld bij de herimplementering van de Java SDK, of een veel moeilijker geval - WINE. Gelukkig heeft Google al in de VS met Oracle uitgevochten dat APIs niet te copyrighten zijn.

Voor een deel is dit wat er nu al gebeurt met microG, wat grote delen van het proprietary Play Services implementeert en dat werkt best goed (ook al ben ik meer fan van sandboxed Google Play).

[Reactie gewijzigd door danieldk op 23 juli 2026 14:40]

Inderdaad. “Koop dan maar een andere telefoon” is alleen in theorie keuzevrijheid. Want Google beïnvloedt via OEM contracten wat er op de markt komt en bepaalt via Play Integrity welke besturingssystemen apps nog als betrouwbaar behandelen. Daarmee loopt die controle door tot ná de verkoop.

De oplossing is niet minder beveiliging. GrapheneOS bewijst dat een alternatief OS ondertekend kan zijn, met een opnieuw vergrendelde bootloader, verified boot en rollbackbeveiliging. Apps moeten zulke controleerbare beveiligingseigenschappen toetsen, niet uitsluitend of Google de software heeft goedgekeurd.

De fabrikant mag (en moet wat mij betreft) een vertrouwde partij blijven, maar niet de enige. De EU zou dit via ecodesignregels, productbeveiliging en aanbestedingen moeten afdwingen, zeker voor overheden en vitale sectoren, zonder verlies van ongerelateerde functies, service of garantie. Als de hardware deze mogelijkheid biedt, moet zij voor iedere rechtmatige eigenaar beschikbaar zijn.

Maar goed, ik heb al jaren het ongemakkelijke vermoeden dat Google AOSP langzaam laat verschralen tot open Android alleen nog in naam bestaat.

[Reactie gewijzigd door Pyronick op 22 juli 2026 16:14]

De reden dat Google de "Integrity API" zo zit te pushen draait gewoon om macht, het heeft niets met veiligheid van de apps of eindgebruikers te maken, dat wordt alleen maar als smoes gebruikt om het er doorheen te krijgen.
Dat is het precies. Het heeft weinig met veiligheid te maken, want Android toestellen die bijna een jaar geen veiligheidsupdates hebben gehad, krijgen wel Play Integrity Strong (de variant met remote attestation) goedkeuring, terwijl vermoedelijk het veiligste Android OS (GrapheneOS) dat niet krijgt.

Google vereist dat OEMs (om gecertificeerd te zijn) geprivilegeerde Play Services installeren, alsook een hele rits aan Google apps. Als Google bijv. ook GrapheneOS zou gaan goedkeuren, wat sandboxed Google Play Services ondersteunt en geen Google apps voorinstalleert, dan gaan Android OEMs waarschijnlijk een zelfde positie eisen. Dus het is voor Google puur een manier om alle OEMs in het gareel te houden en ze te verplichten Google software voor te installeren en Google Play Services met privileges te draaien, zodat Google maximaal kan profiteren van het extraheren van allerlei analytics.

Uiteindelijk is het grove misbruik van de duopoly-positie van Google en Apple om concurrenten buiten de markt te houden en Android OEMs in hun vrijheid te beperken. Daarom wordt het heel erg interessant wat er volgend jaar gebeurt. Motorola gaat GrapheneOS-compatible toestellen uitbrengen en hoewel die ook geen remote attestation via Play Integrity gaan passeren is, gebeurt het eindelijk eens dat een grote(re) OEM tegen Google op durft te staan.

[Reactie gewijzigd door danieldk op 23 juli 2026 10:45]

Toepassingen op Windows gaan toch ook niet zien welke specifieke OS build je hebt of welke patches je al dan niet staan hebt?
Jawel. Windows applicaties kunnen via de manifest controle wel degelijk de versie controleren en weigeren te installeren als de versie te laag is.
Je kan daar toch om heen met compatibiliy mode?
Of zelfs de MSI aanpassen en waarschijnlijk nog andere zaken die iets meer werk en kennis vragen: https://david-merritt.blogspot.com/2012/08/force-blocked-software-to-install-onto.html

Ik zit ook nog met Windows 10 voor spelletjes en uit gewoonte en ga niet naar 11, het zal dan constant Linux worden.

Maar er lijken mij soms tussen de verschillende Android-versies weinig verschillen, en dan heb je nog je build en kernel niet in beschouwing genomen. Zelf ben ik fan van LineageOS en bepaalde zaken gaan niet, maar mijn bankapp en itsme wel. Enkel Revolut en de app van de Belgische overheid doen lastig en werken niet. Dat is blijkbaar ook te fiksen maar dat is me net iets te ingewikkeld, ik heb wel genoeg Linux-kennis, maar een telefoon met een geencrypteerd en virtueel bestandssysteem is toch wel wat complexer, en voor zover ik weet kan je geen live distro draaien.
De persoon zei "gaan", niet "kunnen". Gelukkig zit er een wereld van verschil tussen wat er allemaal theoretisch mogelijk is en wat software daadwerkelijk doet. Dat het theoretisch mogelijk is om op een computer bestanden op de schijf te lezen waarin staat welke patches geïnstalleerd zijn trok niemand in twijfel
Er zijn zelfs games die niet opstarten als je bepaalde zaken niet 'uit' of juist 'aan' hebt staan.

Je zou het bijna een complete rootscan kunnen noemen wat deze games doen, dit is onder het motto van "anti-cheat" - echter vaart het ook gevaarlijk in het water: wij willen graag 24/7 monitoren wat een eindgebruiker doet... Ik moet het maar geloven dat als toepassing X gesloten is, dat die anti-cheat niets meer uitleest.

Vaak is de werking ook helemaal niet ergens toegelicht - Steam doet dat overigens wel netjes op de winkel pagina vermelden. Ik gebruik vaak GeforceNow met deze games dus ik heb er in zoverre geen last van. Op mijn Macbook werkt dat ook al anders of via GFN.
Daarom ben ik piraat en tegen DRM als ze te moeilijk doen.
En ik speel steeds alleen, dus hoef ik al die anti cheat zaken niet. En zoals je zegt, zijn die dingen soms constant actief en hebben ze zelf volledige toegang nodig tot je machine of zijn ze in de vorm van een kernel driver, over mijn lijk dat ik dat ga doen.

GeforceNow, lang geleden dat ik daar nog aan gedacht heb. Al zou mij dat wel eens de mogelijkheid geven om met een maandabonnementje Borderlands 4 (uit) te spelen, maar ik ben al mijn 2FA codes onlangs kwijtgeraakt en heb ook geen recovery codes... :'(

[Reactie gewijzigd door Wim Cossement op 22 juli 2026 18:03]

Hiernaast zie je dat diverse bedrijven ervoor kiezen om helemaal geen desktop applicaties meer aan te bieden maar juist over gaan naar mobiele toepassingen.
Ja maar ook weer juist vanwege zakelijke belangen. Exclusiviteitsdeals. Datamining die je minder goed kan afschermen op een gesloten platform. Marketing onzin die hiermee afgedwongen wordt.
Een app is dan ook niet veel meer dan een website, ingekleed in genoeg wetgeving om te voorkomen dat de gebruiker de werking kan aanpassen naar wens.
Maar dat is juist het probleem. Deze google API controleert NIET de versie van het syteem enkel of er geen "aanpassingen" zijn gedaan. Dus wanneer iemand op een Android versie van 10 jaar geleden zit ipv iemand die zijn telefoon naar een nieuwe "niet ondersteunde" versie heeft geüpgrade zit hier weldegelijk een verschil.

Dus je kan dan prima zeggen dat dit gedaan wordt om te voorkomen dat mensen eigen software op een telefoon gaan draaien. En DAT lijkt mij een overtreding van de DMA. Maar ja, de EU gaat straks hetzelfde doen met de leeftijdscontrole/digitale ID apps..
Bor Coördinator Frontpage Admins / FP Powermod @ShadLink • 22 juli 2026 12:15
eze google API controleert NIET de versie van het syteem enkel of er geen "aanpassingen" zijn gedaan.
Dat hangt helemaal af van het integriteitsniveau af dat je wilt controleren.
Google Play developers can also opt-in to receive additional verdicts to detect a broader range of potential threats, including:

Unpatched devices: The MEETS_STRONG_INTEGRITY response in the deviceIntegrity verdict helps you determine if a device has applied recent security updates (for devices running Android 13 and higher).
Zie de documentatie op o.a. Overview of the Play Integrity API
Specifically, for devices running Android 13 and higher, the highest-tier MEETS_STRONG_INTEGRITY verdict requires your device to have a verified security patch installed within the last 12 months across all partitions (including OS and vendor partitions)

[Reactie gewijzigd door Bor op 22 juli 2026 12:16]

Maar schijnbaar mogen mensen die nog op Android 10 draaien de app wel gewoon gebruiken.. Tsja.
Bor Coördinator Frontpage Admins / FP Powermod @Draivun • 22 juli 2026 10:59
Oude versies Android kunnen nog voldoen aan de "Basic Integrity Only" controle (Android 12 en lager kunnen niet voldoen aan de striktere controles). Zo lang je dus het minimum level waarop je controleert op basic houdt kan dat (vs geen controle op een custom rom).
Het ding is, dan ben je dus niet meer aan het controleren op patches en andere zaken. Als je basic level aanhoud is het enige wag je controleert “is dit android van Google en is de app geïnstalleerd via de google play store” en verder niks.

Want verder ben je gewoon tegen alle andere varianten aan het scannen. Het boeit niet eens of het up to date is of niet. Android 12 is uit 2021. Dus hoe dan ook oud en ongepatched.

Dat is ook een beetje het punt. Het is een meaningless check, want als puntje bij paaltje komt betekent het nog niks.
Bor Coördinator Frontpage Admins / FP Powermod @supersnathan94 • 22 juli 2026 13:43
Als je basic level aanhoud is het enige wag je controleert “is dit android van Google en is de app geïnstalleerd via de google play store” en verder niks.
Niet helemaal. Basic levert o.a.

- Unauthorized access: The accountDetails verdict helps you determine whether the user installed or paid for your app or game on Google Play.

- Code tampering: The appIntegrity verdict helps you determine whether you're interacting with your unmodified binary that Google Play recognizes.

- Risky devices and emulated environments: The deviceIntegrity verdict helps you determine whether your app is running on a genuine certified Android device or a genuine instance of Google Play Games for PC.
- Unauthorized access: The accountDetails verdict helps you determine whether the user installed or paid for your app or game on Google Play.
= Komt de app uit de playstore
- Code tampering: The appIntegrity verdict helps you determine whether you're interacting with your unmodified binary that Google Play recognizes.
= Komt de app daadwerkelijk as is uit de playstore
- Risky devices and emulated environments: The deviceIntegrity verdict helps you determine whether your app is running on a genuine certified Android device or a genuine instance of Google Play Games for PC.
= Is dit Google android en niet een andere variant.

Heel veel meer dan dat is het echt niet he. En dat is helemaal prima, als dat een goal op zich is, maar als je daadwerkelijk iets van attestation zou willen doen dan is het Android ingebouwde attestation platform beter. Dit gaat volledig in tegen dingen zoals de DMA en andere principes waar de EU wat over vindt.
Bor Coördinator Frontpage Admins / FP Powermod @supersnathan94 • 22 juli 2026 17:29
= Komt de app daadwerkelijk as is uit de playstore
Komt de app zoals hij nu start / connectie maakt uit de play store en is die sindsdien niet gewijzigd (bv door malware, tampering via root toegang etc). Dat lijkt mij zeer prettig om te weten voor een aanbieder. De onderliggende vraag is hier namelijk; gebruikt de eindgebruiker een onaangepaste versie zoals ik die zelf heb aangeboden.
Ja maar even heel eerlijk, als de app daadwerkelijk is aangepast om wat voor reden dan ook, dan haal je dat deel er toch ook gewoon uit?

Een hele simpele check in de client
if (integrityFailed) { closeApp(); })
Is eenvoudig te omzeilen. Dit kan bijvoorbeeld eenvoudig met … (als je het echte framework wil weten DM maar, ga ik hier niet plaatsen, kun je zelf wel even googlen).

Dit is hetzelfde als de onskipbare “je download toch geen auto” op DVDs. Alleen mensen die er legitiem mee bezig zijn hebben er last van.

Echt effectief is het niet.

in de praktijk is het uiteraard een stuk lastiger, maar als je echt wil is het relatief eenvoudig.


En het zou ook niet uit moeten mogen maken, want je beveiliging zelf mag niet berusten op een ding wat niet meer in jouw handen is.
Waarom zou dat belangrijk zijn? Als ze hun backend security op orde hebben dan maakt het toch niet uit met welke client je verbindt?
Maar gaat het hier dan vooral niet om dat je geen api download van een andere bron die de api aangepast zou kunnen hebben?
half. zolang ze geen certification pinning hebben gedaan maakt dat alsnog niet uit, want je kunt de DNS onderscheppen, reverse proxy eronder, certificaat in de chain en gas.

Precies wat je in bedrijven ook doet met "SSL rewrapping".

Maar dan kun je de officiële app gebruiken om een virtuele auto te openen, veel meer nut heeft dit ook niet echt.

De vraag is dan dus ook, welke attestation vraagstukken wil Volkswagen hiermee vangen en waarom moet dat per se via de vendor locked versie en niet de open (android attestation)
je kunt de DNS onderscheppen, reverse proxy eronder, certificaat in de chain en gas.
Dit klinkt toch wel ingewikkelder dat een website hosten met valse apk bestand. Daarnaast klinkt het alsof je met die methode dit bij elke gebruiker dit moet doen (maar ik kan het mis hebben) terwijl apk dus voor iedereen werkt die het installeert.
De vraag is dan dus ook, welke attestation vraagstukken wil Volkswagen hiermee vangen en waarom moet dat per se via de vendor locked versie en niet de open (android attestation)
Nu weet ik niet wat mogelijk is met de app maar het gaat wel om een dure auto. Ik zou kunnen bedenken dat een valse apk bijvoorbeeld de locatie van de auto en de ontlock signaal zou kunnen versturen. Dan hoeft iemand alleen even langs te gaan om de auto te stelen. Als bedrijf snap ik dat je dit probeert te beperken. Ja er zullen vast andere oplossingen zijn die evengoed zullen zijn en geen Google nodig hebben. Maar dit klinkt toch wel als een veilige methode om het te controleren.
Dit klinkt toch wel ingewikkelder dat een website hosten met valse apk bestand. Daarnaast klinkt het alsof je met die methode dit bij elke gebruiker dit moet doen (maar ik kan het mis hebben) terwijl apk dus voor iedereen werkt die het installeert.
Kijk. De APK die van een andere site komt die dusdanig is aangepast dat ie data gaat stelen gaat natuurlijk ook niet meer die check hebben. Dus wat is dan het voordeel? Je kunt niet een check inbouwen die zegt "ik ben legitiem" als de dingen waarvoor je de check zou willen gebruiken niet die check zullen gaan hebben. Dit is niet bedoeld om dat te doen, daar heb je digital signing voor met je developer certificaat.

Het ding is de hardware en software aan de client kant. Dus dat de legitieme app kan zien of er niet met het toestel is geknoeid.
Ik zou kunnen bedenken dat een valse apk bijvoorbeeld de locatie van de auto en de ontlock signaal zou kunnen versturen.
Wat je dus niet op deze manier op moet lossen maar door middel va authenticatie aan je API. Alles wat van de client komt is per definitie verdacht en te wantrouwen tenzij er het juiste token bij zit. Dit is normaliter geregeld met een JWT oid. zo'n token kun je alleen krijgen nadat er een oauth handshake is geweest, oftewel je bent ingelogd. Oauth heeft weer speciale technieken om perfect forward secrecy te gebruiken waarmee zaken uit het verleden niet decrypted kunnen worden met kennis uit het nu. Dus ook als je als MITM de boel opslaat, leuk, maar heb je weinig meer aan.
Maar dit klinkt toch wel als een veilige methode om het te controleren.
Maar dat is het punt. Je controleert dus niks.

De dingen die je noemt los je niet op met deze oplossing. Een compromised APK, gaat de check niet hebben, want beter niet, en aan de api kant heb je andere manieren om misbruik te voorkomen. dus wat ben je dan aan het bewijzen?

Het enige wat dit bewijst is dat Google zich er mee bemoeit heeft en dat het daadwerkelijk google android is (niet eens of het up to date is, want android 10 wordt ook nog ondersteund).

Het punt is. Als je hierop leunt voor je security, dan doe je je security verkeerd. dit is een hulpmiddel om bepaalde zaken te kunnen controleren, wat bij default al gekraakt is met wat simpele frameworks en scripts die je gewoon kunt downloaden. Again dit weerhoud mensen met een de-Googled toestel ervan hun auto te unlocken, maar iemand die snapt hoe dit werkt en een geroot toestel met met GrapheneOS oid heeft, heeft het probleem met een half uurtje werk opgelost.

En dat terwijl ze het ook gewoon met Android attestation hadden kunnen doen.
Je kan vanaf je desktopsysteem ook niet je auto unlocken of starten toch? Daar heb je de app voor nodig. Of online betalingen bevestigen.
Je kan vanaf je desktopsysteem ook niet je auto unlocken of starten toch? Daar heb je de app voor nodig. Of online betalingen bevestigen.
En dat is nou juist het probleem. Blijkbaar worden we langzaam geforceerd om die dingen steeds vaker op een telefoon te doen. Maar niet op de telefoon die ik wil, met de software die ik wil. Wel een telefoon met steeds minder keuzevrijheid en steeds meer big-tech.

​Allemaal onder het mom van "security".
Nee, je wordt geforceerd om dit van een veilig, onaangetast systeem te doen. Ik kan veel van die dingen ook op mijn computer doen, zolang die TPM verzekert dat de Passkey niet onderschept is of het OS niet aangetast door malware alvorens de Yubikey aanvaard wordt. Waar ik werk gebruiken we Palo Alto firewalls die alvorens de VPN/802.1x te aanvaarden ook controleren of het OS up-to-date is en de EDR aanstaat. Met aangepaste ROMs kun je dit niet garanderen, net zoals je dat niet kunt met niet-ondertekende Windows (Windows 11 zonder Secure Boot, zoals sommige mensen doen met oudere hardware), niet-ondertekende Linux (daar moet je dus actief de TPM managen en krijg je een goed inzicht hoe het allemaal in elkaar steekt) en Hackintosh.

[Reactie gewijzigd door Guru Evi op 22 juli 2026 14:13]

In jouw geval is het echter jouw eigendom wat je controleert. Van wie is het apparaat waar deze softwareclient kunstmatige eisen aan stelt?
Is het kunstmatig? De grootste reden dat mensen Android ROM's gebruiken is om te piraten natuurlijk en China gebruikt ook aangepaste ROMs om hun bevolking te controleren. En het is minder dan 1% van de Android gebruikers (buiten China) die hier 'last' van zullen hebben.

Stel dat jij een paar apps, inclusief de VW app natuurlijk, gedownload hebt van een bepaalde Russische APK site, je systeem kan nu overgenomen worden. Je auto kan nu getracked en gestolen worden door de (zeer actieve in Europa) Russische mafia.

Jouw auto is weg, wie gaat de schuld krijgen? Jij gaat natuurlijk naar je verzekering, je verzekering zal onderzoek instellen en zal naar VW verwijzen voor schadevergoeding omdat zij toelaten dat een Russische bende hun software gebruikt (en je kunt vandaag al modded VW software APK's vinden).

Daarnaast vinden ze steeds meer Chinese en Russische activiteiten die mensen bespioneren met custom ROMs, als een hoog profiel nieuwsartikel uitkomt dat VW dit 'toegelaten' heeft - dan krijgen ze ook slechte reclame, allemaal om een handjevol "piraten" met een VW auto 'tevreden' te maken. Let wel dat Microsoft en co hetzelfde doen met Office etc voor dezelfde reden - piraterij en andere zooi tegengaan.

En is dat zo gek, boeven gebruiken nu al de CAN bus die ze via de koplampen toegang hebben en apps met API exploits: https://pcacybersecurity.com/blog/real-world-car-theft-attack-surface-analysis - https://wreg.com/news/investigations/apps-electronics-making-it-easier-for-car-thieves-to-hack-your-ride/ - loopsec.medium.com/hacking-my-car-and-probably-yours-security-flaws-in-volkswagens-app-24b34c47ba89

[Reactie gewijzigd door Guru Evi op 22 juli 2026 19:28]

Ik vind het grotere bezwaar dat alternatieven die wel een locked bootloader + verified boot chain hebben, up-to-date zijn met patches en remote attestation ondersteunen (zoals GrapheneOS) ook uitgesloten worden. Er zou een procedure moeten zijn om dergelijke systemen ook aan de lijst van vertrouwde signing keys toe te voegen.

Dat ze een 'ROM' van een willekeurige, niet te vertrouwen bron niet willen ondersteunen begrijp ik.

[Reactie gewijzigd door danieldk op 23 juli 2026 10:52]

Mijn 2 cent is dat hier gewoon niet over nagedacht is. De mensen binnen VW die de opdracht hebben gegeven weten niet eens dat er zoiets bestaat als een custom rom. In het dna van de app bouwers (ongetwijfeld een groot/duur bedrijf) zit het ook geen incentive om het anders te doen, waarschijnlijk gaan ze er zelfs prat op dat het allemaal zo officieel mogelijk is.

Als VW dan vervolgens vraagt naar de mogelijkheden dan is het ineens allemaal heel moeilijk en heel duur. Combineer dat met een relatief kleine user base en dit gaat helemaal nergens naartoe.
Was het maar zo'n feest. Tweakers omschrijft het inderdaad als

"De app vereist nu een api die ontbreekt in alternatieve Android-versies."

maar dat is alsof je zegt

"De politie vereist nu een sleutel die ontbreekt in koophuizen."

Dat geclaimde "gebrek" heeft niks te maken met dat ze een functie nodig hebben: ze bouwen actief in dat de software zichzelf onklaar maakt als hun slot er niet op zit, bijvoorbeeld als je het in een emulator draait. Wat ze daar precies mee willen verbergen is mij niet duidelijk maar zuivere koffie is dat niet. In ieder geval kan ik me niet bedenken waarom Volkswagen dat nodig zou hebben zolang het geen films, muziek, of misschien games aanbiedt waar je DRM op wil zetten om niet-toegestane verspreiding te voorkomen. Het gaat om het op afstand bedienen van jouw eigen auto

[Reactie gewijzigd door baseoa op 22 juli 2026 19:01]

Je ziet dit wel degelijk en is mogelijk met o.a. TPM en Passkeys, Yubikeys, licentiemanagers etc maken hier ook gebruik van
Op je telefoon staan al je bank en identiteit apps, medische data enzovoorts.
Op mijn computer ook maar daar mag ik nog wel de baas zijn. Voor hoelang nog is de vraag.

Windows 11 vereist al een chip om remote attestation te doen, dus als straks iedereen dat heeft, begint dit feestje daar ook. "Geen authentieke Windows 12 of macOS XII? Ga weg, deze site is niet voor robots!"

We gaan een mooie toekomst tegemoet als we dit blijven pikken. Helpdesktijd opgebruiken, negatieve publiciteit, of naar de concurrent gaan is wat bedrijven blijkt te prikkelen hun gedrag aan te passen. Men zegt wel (en ik vermoed dat het vaak klopt) dat negatieve publiciteit niet bestaat, en toch merk ik overal waar ik kom dat reputatieschade bloedserieus genomen wordt en ze zichzelf als the good guys willen zien en het dus wel werkt om gedragsverandering te bewerkstelligen. Als maar genoeg mensen aangeven dat ze het met de oproep eens zijn op de plekken waar hun PR-afdeling en managers rondhangen

[Reactie gewijzigd door baseoa op 22 juli 2026 19:09]

De bank moet betalen als mensen zich in de maling laten nemen op hun telefoon. Hoe zie je dat als windows straks echt (dat heeft die nu niet namelijk) native een bank-app heeft?
"Untrustworthy" betekent daar niet vertrouwd door google en daar zit 'm de kneep. Google heeft heel andere belangen hierin dan de eindgebruiker. Datamining, zakelijke exclusiviteitsdeals waar ze geld aan verdienen, Android gesloten houden zodat ze aan de play store verdienen.

Op deze manier zitten we straks in een ecosysteem dat helemaal dicht is 'gevalideerd' door grootzakelijke actoren. Waarbij we toestemming moeten hebben om onze eigen spullen aan elkaar te koppelen. Dingen als Home Assistant integraties kan je dan vergeten bijvoorbeeld.

Uiteraard brengen ze dit al een consumentenbeschermingsdingetje maar de belangen zijn veel complexer dan dat.

[Reactie gewijzigd door Llopigat op 22 juli 2026 10:57]

Bor Coördinator Frontpage Admins / FP Powermod @Llopigat • 22 juli 2026 11:08
"Untrustworthy" betekent daar niet vertrouwd door google en daar zit 'm de kneep.
Is het niet iets complexer dan dit en (indirect) ook untrustworthy voor de producten van de app? Dit is gewoon een dienst / API die men afneemt om integriteitscontrole te doen. De producent kiest er specifiek voor om dit te implementeren om bepaalde risico's tegen te gaan.
Het is maar hoezeer jij je laat overtuigen door Google's versie van de standaard attestation-opties in Android. GrapheneOS legt het hier uit. TL;DR attestation is goed maar Android biedt daar standaard betere opties voor dan de geprakte versie van Google, zonder draconische afhankelijkheid van Google met alle privacy-issues die daar bij komen kijken.
"Apps using the Play Integrity API to check the authenticity/integrity of the hardware, OS and app can support GrapheneOS by using the standard Android hardware attestation API and permitting our official release signing keys. Android's hardware attestation API provides a much stronger form of attestation than the Play Integrity API with the ability to whitelist the keys of alternate operating systems. It also avoids an unnecessary dependency on Google Play services and Google's Play Integrity servers."
Dit is dus weldegelijk anti-consumer.

[Reactie gewijzigd door Klauwhamer op 22 juli 2026 11:26]

Dit klinkt allemaal mooi, maar het is gewoon een manier van Google om geen concurrentie toe te laten in het ecosysteem.

De zinsnede:
installed by Google Play
maakt het helemaal duidelijk. De EU heeft Google verplicht om andere app stores toe te staan en die worden zo alsnog de pas afgesneden.
Zolang de integrity api zijn OK geeft voor oude OS versies waarvoor exploits niet meer worden gepatched, doet het toch weinig qua garanties voor veiligheid. Ondertussen heb je wel het bijeffect dat je de vendor-lock in wordt verstevigd.
Bor Coördinator Frontpage Admins / FP Powermod @tweakuwe • 22 juli 2026 10:57
Dat is inderdaad een punt. Het gebruik van integrity controles op oude Android versies kent helaas behoorlijke beperkingen.
Basic Integrity Only: Devices running Android 12 or lower cannot pass Google's stricter MEETS_STRONG_INTEGRITY requirements, which demand recent hardware-backed security updates.
For newer devices (Android 13+), Google actively enforces hardware-backed attestation and requires security patches from the last 12 months.
Die basic integrity check is dus nog mogelijk maar niet op een device waar Google Play Integrity checks helemaal niet kunnen draaien. Als ontwikkelaar heb je dan de keuze tussen beperkte checks (basic integrity) of helemaal geen checks via deze weg.

[Reactie gewijzigd door Bor op 22 juli 2026 10:57]

@Bor dan moet je natuurlijk wel zijn hele argument weerleggen en niet alleen het laaghangende fruit

Zijn argument was dat je om het wat eenvoudiger te maken niet kunt spreken van een bewakingssysteem als je het meest dure slot aan je voordeur hangt terwijl de schuifpui aan de achterkant altijd wagenwijd openstaat

juist omdat er in windows en in de browser geen adequate beveiliging is
Dus in dit geval Volkswagen wil duidelijk niet dat mensen op alternative wijze verbinding met hun eigen auto maken.

Zonder die integrity API zou je in theorie een proxy app kunnen maken, waardoor je alsnog zelf bij je eigen auto kan komen.

NB Ik begrijp dat je niet wilt dan jan en alleman via jouw servers toegang krijgen, dat verhoogt de kans op misbruik (hacks). Maar je zou minstens rechtstreeks (met een eigen SIM oid) contact met jouw eigen wagen moeten kunnen leggen. Als de fabrikant failliet gaat, wat in sommige gevallen niet ondenkbaar is, heb je een groot probleem (als functies van die online diensten afhangen).
Die controle loopt volledig via Google.

Daarmee is meteen alles gezegd.

Onder het mom van veiligheid. :Y)
Het probleem is natuurlijk wel veel simpeler. Hoe kan het in godshemelsnaam zijn dat we allerlei anti trust maatregelen nemen tegen bv google. Maar dat we dit wel weer toestaan.

Je mag wel apps buiten de play store of apple store om installeren. Maar tja een aantal key apps gaan niet werken omdat ze perse bepaalde google of apple services gebruiken.

Ik hoop snel dat dit soort pushy dingen ook verboden worden. Liefst zo dat het moeilijker is om terug te komen.
Het gaat hier om een App voor je auto. Wat voorkom je hier nou precies mee? Dit is geen banking app.
Wat jij quote is gewoon de PR bagger van Google.
Waarom moet een notificatie die lokaal wordt aangemaakt eerst via de cloud van google weer terug naar jouw machine om daarna pas weer gezien te worden? Want dat is een van die APIs.

Is dat nodig? Uiteraard niet, waarom werken mijn notificaties van floss apps op een telefoon zonder microG?
Waarom is het nodig? Data slurpen.
Ik vermoed dat grotere apps vooral vanuit Google gepusht wordt om Play Integrity API te gebruiken. Dit hangt samen met Android Open Source Project (AOSP) vs Google Mobile Services GMS. In principe is Android open om te gebruiken (en zou letterlijk iedereen een eigen versie kunnen builden en deployen). Alleen bouwt Google ook een hele rits software eromheen onder GMS die gesloten zijn en waar een betaalde licentie achter moet zitten.

Om de Play Integrity API te kunnen gebruiken heb je de Play Services van Google nodig die onder GMS zitten. En dat kun je dus alleen gebruiken als je dus Android gebruikt met een betaalde licentie van GMS. Gebruik je /e/OS (Android degoogled, dus zonder GMS) of GrapheneOS dan krijg je de app dus nooit werkend.

Als /e/OS gebruiker kan ik tot nu toe al mijn dagelijkse apps wel gebruiken. De enige die je niet werkend krijgt met de laatste versie is de IKEA Smart Home app. Aan de ene kant kun je denken: Goed dat IKEA (en nu dus ook Volkswagen) hun apps beveiligen met Play Integrity API. Maar in de IKEA app is dit ook al heel dubieus ingericht want:

- Mocht je jouw IKEA Smart Home al netjes ingericht hebben (bv via iOS) en je downloadt de laatste versie van IKEA Smart Home op je /e/OS toestel, dan wordt je meteen toegelaten en wordt er geen call uitgevoerd voor de Play Integrity API. Als je daarna je smart apparaten wil gebruiken of nieuwe devices wil toevoegen op je netwerk, wordt deze check ook niet uitgevoerd. Begin je echter helemaal bij het begin en moet je een netwerk opzetten, dan kom je niet verder dan het tweede scherm want dan wordt de Play Integrity API aangeroepen, faalt en kun je niet verder. Conclusie: Blijkbaar is voor het opzetten van je IKEA Smart Home netwerk essentieel dat je beveiliging van je app op orde en wordt de Play Integrity API uitgevoerd. Maar daarna boeit het niets dat je toestel "onveilig" is?
- De oude versies van de app bevatten helemaal geen Play Integrity API. Deze kun je van APK mirror gewoon downloaden, installeren en werkt tot de dag van vandaag nog steeds. En ook met die app kun je nog steeds een smart home netwerk opzetten en daarna gebruiken / nieuwe apparaten toevoegen. Als de Play Integrity API zo cruciaal is voor je app beveiliging, dan zou ik als ontwikkelaar de oude versies onklaar maken/niet meer accepteren om te communiceren met de servers.

Ik ben zelf geen Android app ontwikkelaar dus ik laat mij graag informeren of corrigeren als ik iets heel doms gezegd heb wat niet klopt. Maar het voelt voor mij behoorlijk kunstmatig aan om mensen te dwingen een toestel/rom te hebben met GMS. Samen met de verplichte registratie voor Android ontwikkelaars (zie https://keepandroidopen.org/), zie je dat Google bewegingen maakt om Android steeds meer naar zich toe te trekken. Google roept nog steeds dat Google <3 Android en dat Google nog steeds gecommitteerd is om Android open te houden. Maar ondertussen...
Ja vreemde berichtgeving. We willen met z'n alle van "bigtech" af maar tegelijkertijd krijg je dit soort onzin. Custom roms zouden juist toegejuigd moeten worden. Ik draai zelf ook Graphene , zou nooit stock android draaien.
Was dat maar zo, de meeste mensen willen helemaal niks, en zeker niet van 'big tech' af. Ze willen gewoon dat hun spullen werken zoals ze altijd gedaan hebben, en dat ze een hippe naam (meestal die van big tech) ergens op hebben staan.

Wij zijn de mafketels die om iets doms als digitale privacy geven, en die daarnaast ook nog snappen dat je dat niet door grote bedrijven moet laten regelen. De 0.1%, zeg maar. Voor gewone mensen gaat privacy niet verder dan een dichte WC-deur, digitale deuren mogen gewoon open staan, want dat zie je toch niet.
Overal camera's hangen die je via een stream kan volgen en die dan ook nog eens maanden je beelden bijoudt gaan ze ook geen probleem vinden. Of een digitaal deurslot dat je enkel via een app kunt openen en servers die netjes bijhouden wanneer je thuiskomt en weggaat, met bijhorende beelden. Privacy, wat is dat nu weer?
Het is de droom voor dievenbendes met een hacker in hun midden of scriptkiddies die gewoon een zero day vinden en zich vervelen.

Maar het is voor je eigen veiligheid joh!
Ik begrijp je. Europese politici en leiderschapstypes hebben het nu op de agenda. Maar de boss van VW duidelijk nog niet.

Een auto is volgens Mozilla het meest privacy-onvriendelijk apparaat. Zo wordt door sommige fabrikanten waarvan Renault met name is genoemd, de seksuele activiteit in de auto gemeten, geregistreerd en de data verkocht.

VW meldt zich aan voor de blacklist, dat is duidelijk.
Straks ga je enkel maar meer met Chrome iets van Google (services) of zaken die dat als backend gebruiken kunnen smurfen...
Of Edge voor MS spul, kan ook. Al is dat Chrome met hun eigen saus er over.
Noem mij maar naïef, maar wat is het praktisch nut van het checken van de systeemintegriteit van de smartphone waar een app op draait voor het bedienen van de auto? Kan je dingen aanschaffen via die app? Kan je er Bitcoin wallets mee bewaren? Wat is er zo belangrijk in die app dat je dit niet op een custom rom zou mogen draaien?
De systeemcheck werkt juist de andere kant uit. Het is uiteraard geen bescherming tegen diefstal of iets dergelijks.

Het doel van deze check is om de spulleboel van Volkwagen te beschermen. Zo kunnen ze voorkomen dat je zelf een betere app schrijft, of dat je bijvoorbeeld de auto vanuit je huisautomatisering kunt aansturen.

Die "systeemintegriteit" check wordt dus verkocht als een soort "security" maatregel, maar het is niet de security van jou of jouw spullen, en al helemaal niet van je telefoon.
Even advocaat van de duivel spelen }> : Maar als ik mijn auto via homeassistent kan ontgrendelen, dan is elke kwetsbaarheid in homeassistent een manier voor het gespuis om ook de auto open te krijgen. Dat is weer slecht voor de diefstalcijfers en de goede naam van het merk. Idem (of juist) voor custom roms. Daar weet je (in de ogen van VW) ook nooit precies van wat daar allemaal in verborgen zit.
De oplossing (nogmaals: in de ogen van VW): beperk het geklooi getweak van de gebruikers.
En als jouw home assitant gekraakt wordt is dat jouw issue, niet die van VW.
Als mijn Volkswagen (als ik die zou hebben) gestolen wordt, dan staat er in de krant: "Volkswagen gestolen" en niet "Gebruiker heeft zijn homeassistent slecht beveiligd".
Dát is wél een issue van VW.
Ik denk dat dat de onderliggende reden is inderdaad. Ze willen niet in t nieuws komen met 'volkswagens gestolen via malware'. Dan kunnen ze op papier zeggen dat ze er wat tegen hebben gedaan.

Dat het allemaal security through obscurity is doet daar weinig aan af, dat snapt de gemiddelde nieuwsafdeling of certificeringsinstantie toch niet.
Da's waar, maar het ontgrendelen is helemaal niet zo ingrijpend. De inbreker kan dan de boodschappenkratjes, het dekentje en de laadkabel stelen, en dan heb je 't wel gehad. De auto zelf doet nog steeds niks als je geen sleutel bij je hebt.

En tegenwoordig is het vooral gebruikelijk om stukken dashboard en de airbags te stelen, een crimineel die daarmee bezig is maakt zich niet zo druk om al dan niet een ruitje in te tikken.

Ik blijf het ook frappant vinden dat een Chinese telefoon die onder de kostprijs wordt verkocht dankzij de voorgeïnstalleerde spyware wel als "veilig" wordt gezien.

[Reactie gewijzigd door cdwave op 23 juli 2026 07:42]

Je kan je auto er mee openen en straks ook starten.

Zelf hoop ik dat het gewoon vanuit de EU gefixed word met een alternatieve api en een verplichting om dit ook te ondersteunen, want dit is niet alleen een VW ding. 100% vendor lockin bij twee Amerikaanse bedrijven nu door die verplichte apis.

[Reactie gewijzigd door LOTG op 22 juli 2026 10:34]

So what, de klant heeft betaald voor die auto, die mag dan toch ook wel bepalen hoe die gebruikt wordt?

Een Europese API zie ik hem ook niet worden omdat er altijd een politiek spelletje blijft welke ROMs ze dan gaan accepteren en niet. Remote attestation zoals play integrity moet gewoon optioneel blijven. Zeker als het gaat om je eigendom.
Volkswagen is verantwoordelijk voor de beveiliging van de software op de door haar verkochte auto's. Jij kiest ervoor om een auto met deze beveiliging te kopen, nergens beweert volkswagen om haar auto's met een open toegang tot de boordcomputer te verkopen.

Jouw eigendom is de auto. Ook zonder app werkt je auto nog gewoon zoals je van een auto mag verwachten. De additionele app is beschikbaar in iOS App Store en de Google Play Store, daar is Volkswagen zeer duidelijk over.
Zo zie ik dat niet. Je koopt ook toch geen PC en geeft dan alles uit handen aan Microsoft? Het zou gewoon mogelijk moeten zijn om e.a. te kunnen aanpassen na aanschaf. De Computer in de auto kan niet verantwoordelijks voor de veiligheid van de auto zelf, dat zou raar zijn. Dat is nog steeds e bestuurder.

[Reactie gewijzigd door Fermion op 22 juli 2026 14:04]

Ik koop geen PC, ik heb een Mac mini gekocht. Daarbij heb ik alles uit handen gegeven aan Apple.

Als de computer in de auto niet goed beveiligd is, dan ontstaat er een groot veiligheidsrisico. Ik gaf elders in deze discussie al het voorbeeld van Toyota, die hebben de CAN bus niet goed beveiligd waardoor ze nu het meest gestolen merk van Nederland zijn. Dieven prikken gewoon hun software in op de CAN bus achter de koplamp en voilà, de deuren gaan open en de auto start.
So what, de klant heeft betaald voor die auto, die mag dan toch ook wel bepalen hoe die gebruikt wordt?
Deels, maar de online service koop je niet, en daar is VW verantwoordelijk voor. Die willen natuurlijk kost wat het kost voorkomen dat iemand via hun service een auto kunnen jatten en ze er voor verantwoordelijk worden gehouden.

Dus aan het gebruik van de online koppeling van de auto kan VW veel strengere eisen stellen. ( even if haphazard en niet geent op beveiliging perse)
Ik weet niet of ik je goed snap. Je zegt dat VW hun servers goed wil beveiligen zodat mensen niet bij andermans auto's kunnen toch? Waar het hier om gaat is dat mensen worden beperkt in vanaf welke computer ze met de servers mogen praten. De client wordt gecontroleerd, niet de server beveiligd tegen iets
Die client controlle is onderdeel van de client security. (denkt VW). En eentje die volledige gecontroleerd wordt door Google. (en mogelijk misbruikt wordt als vendor-lockin)
Die functionaliteit zou je dan apart kunnen blokkeren in de app maar je hoeft daarom niet meteen de hele app te blokkeren.
Welke functionaliteit zou je dan niet blokkeren die de app nu aanbied?
Alles wat geen diefstal mogelijk maakt. En je moet de app eenvoudig kunnen blokkeren (per toestel) in de auto.
Tesla heeft ook het op afstand ontgrendelen van de auto. Ik heb nog nooit gehoord dat daar ook maar één auto mee gestolen is door een hack. Geloof maar dat het nieuws was geweest.

Volkswagen maakt zich denk ik vooral druk (en deels terecht) dat door een open API hun servers veel zwaarder belast worden. Als ze de load niet aankunnen, dan moeten ze servers bijschakelen (kost geld) of wordt de app traag of onbruikbaar. Ik vermoed dat dit er achter zit.
De methode die op dit moment het meest gebruikt lijkt te worden is door met een speciaal apparaat in te breken op een CAN-aansluiting van de auto, dit is het netwerk van de auto. Als het apparaat verbinding heeft, stuurt het duizenden signalen naar de auto en doet het apparaat alsof het de sleutel is. De auto zal hetzelfde reageren als op een sleutel – de auto weet niet beter – en zal openen en starten. 
https://www.toyota.nl/ontdek-toyota/nieuws/diefstal-toyota-rav4-en-toyota-c-hr

Toyota is momenteel de meest gestolen auto van Nederland. Ze hebben de interne CAN bus niet goed beveiligd. Dieven hacken via de CAN bus de auto.
Ik ben getroffen door deze verandering van Volkswagen (elektrische auto en GrapheneOS). Je kunt onze auto niet eens openmaken met de app, want dat zit alleen in een extra pakket volgens mij. Functionaliteit die ik gebruikte en nu niet meer kan gebruiken:
  • Op afstand de accustand controleren (handig als je m aan de lader hebt).
  • Op afstand de airco/verwarming alvast aanzetten.
  • Op afstand laden onderbreken.
Volgens mij is de enige aanvalsvector dat een aanvaller de accu leeg zou kunnen trekken door herhaaldelijk de airco aan te zetten. Yay.
Misschien omdat hack apps een telefoon vereisen die niet controleert op dat soort apps?

Je wilt ook niet dat anderen jouw auto gaan bedienen, dat mag dan alleen met je eigen telefoon.
Het is aan VW om gewoon hun API's knap te beveiligingen.
VW Heeft 100% niks te vertellen over wat ik met een gekochte auto doe, of vanaf welk OS ik requests via hun API naar mijn auto stuur. Deze check of mijn device wel 'echt' genoeg is ontneemt mij mogelijkheden op mijn auto omdat zij niet zeker zijn van hun api-security.
Ze geven nergens aan dat je iets niet zou mogen met de gekochte auto, alleen wel dat er voorwaarden aanzitten voordat je gebruik kunt maken van deze extra functionaliteit.

Ik vind het ook zeer vervelend dat ik met een Nokia 3310 mijn auto niet op afstand open kan krijgen, zo ontzetten stom van de fabrikant dat ze dat niet gewoon even toevoegen, ik bepaal toch zelf met welk apparaat ik dat wil doen? :+

Goed, een Nokia 3310 is wellicht een extreem voorbeeld, maar ergens moet de lijn getrokken worden met wat er ondersteund wordt en/of mogelijk is, en zodra de lijn getrokken is zijn er altijd mensen die vinden dat de lijn op een verkeerde plek getrokken is.
En daarom lever je je klant gewoon een api-endpoint op, en niet allerlei poespas als een "echte" app. Een 3310 met wat gestuntel en een sms-gateway oid is prima in staat zo'n api endpoint aan te spreken, daar heeft die verkoper geen zier over te zeggen. Andere optie, ga er niet tussen zitten als je toegang tot iemand's auto zo spannend vindt, maar laat het lekker de verantwoordelijkheid van de klant, kortom laat de auto een open api aanbieden, en dan moet de klant maar zelf uitvogelen hoe hij daarop connected blijft.
Alleen levert dat dan weer slechte PR op als er (1) op afstand met VW’s geklooid gaat worden en (2) VW zegt dat de klant zelf verantwoordelijk is.

Ook al hebben ze gelijk vanuit technisch oogpunt.
Ik heb alle begrip voor software die bepaalde functies nodig heeft, die bijvoorbeeld jouw Nokia 3310 niet ondersteunt. Dat niet wat hier gebeurt. Ze stellen extra eisen om het lastiger te maken voor nerds om opensource software te gebruiken. Het praktische doel daarvan is mij niet duidelijk in dit geval, maar het gebeurt nu in allerlei software (waar het soms deels begrijpbaar is, soms niet) en de samenleving wordt er zo niet leuker of opener op
Ik kon op afstand de accustand (elektrische auto) uitlezen en de airco aanzetten. Nu niet meer. Niemand vraagt VW ondersteuning te gaan maken voor (nu) een obscuur apparaat. Het enige wat we vragen is dat VW geen functionaliteit wegneemt die we al hadden (die bovendien niet het op afstand openmaken van de auto behelste).

[Reactie gewijzigd door danieldk op 23 juli 2026 11:07]

Google stuurt een mannetje naar VW om uit te leggen waarom de Play Integrity functionaliteit beide meer geld gaat opbrengen. En zo is het kwaad geschied.
Vind het nogal een clickbait titel, VW blokkeert niets, de applicatie gebruikt gewoon een API die in principe aanwezig is op standaard Android telefoons, maar die custom roms ondersteunen die API niet. Dat probleem ligt dan dus eerder aan die custom roms. Er zullen wel meer API's zijn die niet beschikbaar zijn op custom roms, maar wel op standaard Android.
Google Play's integrity en signing services is niet veplicht. Het is daarmee een bewuste keuze van VW om het wel of niet te gebruiken. Terwijl VW kan weten dat hun keuze klanten gaat uitsluiten die heel normale wijzigingen op hun eigen smartphone toepassen die VW eerder wel bediende. Het probleem dat VW iets optioneels forceert gaan afschuiven op klanten die die optionele service niet willen of niet hebben is absurd. De klanten staan niet in dienst van VW of ontwikkelaars. Het enige wat hier nog redelijk zou zijn is als VW vooraf heel duidelijk is dat VW apps alleen werken met heel specifieke optionele eisen die VW eenzijdig eist. Maar dat lijkt VW niet te doen. En dat is nmm een vorm van uitsluiten op vooral eigen belang. Terwijl uit niets blijkt dat het belang van VW zo enorm is dat ze eisen moeten gaan stellen aan andermans toestel, software en zelfs forceren van optionele functionaliteit.
Een custom rom is natuurlijk ook niet verplicht en als je daar mee aan de slag gaat dan weet je dat je afhankelijk bent van de personen die de rom opleveren.

Als gewone gebruiker moet je daar gewoon niet aan beginnen en als Tweaker niet klagen.
Het feit dat een bedrijf wil dat je smartphone aan hun eisen voldoet is ook geen plicht. Maar dat maakt dat soort eisen stellen nog niet zomaar redelijker dan het recht van klanten om op eigen apparatuur te bepalen welke custom rom ze gebruiken. Zeker als een bedrijf eerst klanten lange tijd custom roms laat gebruiken als normaal recht en vervolgens, zonder enige behoorlijke verantwoording, die bestaande klanten maar uit gaat sluiten. Dat is geen behoorlijke vorm van ondernemen. Zeker als je dan ook nog als bedrijf net doet alsof je er niets aan kon doen terwijl het een bewuste keuze is om optionele functionaliteit te gaan opdringen.
Zoals ik al aangaf, de app wordt officieel alleen aangeboden vua de Google Play Store, dus ze hebben nooit officieel custom roms ondersteund, dat het werkte tot nu toe was gewoon mazzel.
Een appstore is een distributiepunt. Wettelijk valt er voor VW niet te verwachten dat de app daardoor alleen maar op smartphones gebruikt zal worden die niet aangepast zijn naar de eisen en wensen van hun klant. Dat toont ook de keuze van Google aan, die niet voor een gewenste distributie in kan staan zonder ook nog op een smartphone van een andere integriteitscontrole uit te rollen. Een controle die zo controversieel is dat ze het optioneel houden en afschuiven op VW om er toch gebruik van te maken.
Wat een kolder, vooral je gezever over wettelijk. Door het alleen via de Playstore beschikbaar te stellen geven ze al aan dat de app dus bepaalde frameworks kan verwachten, dat jij VINDT dat ze dan niet bepaalde functionaliteiten mogen gebruiken die binnen de door hun verwachtte frameworks beschikbaar zijn omdat jij een, niet door de app makers, alternatieve variant gebruikt, maakt het niet dat zij nu ineens aan jou grillen moeten voldoen. Wettelijk sta je nergens, want ze bieden de app niet aan buiten de appstore..

En die controle is helemaal niet controversieel, het geeft de makers de mogelijkheid om de integriteit van het OS te controleren (ofwel er 'zeker' van te zijn dat oa bepaalde veiligheidsmaatregelen aanwezig zijn zodat de appmaker niet zelf iets moet bedenken).

Das net zoiets als verwachten dat een windows applicatie die bepaalde standaard meegeleverde componenten verwacht, maar jij het OS gestript hebt tot het bare minimum. Of een app waarvan de makers zeggen dat die voor windows 11 geschreven is, maar jij het op windows 7 wil laten draaien.
Nouja, je hebt keuze uit 2 OSsen, officiele iOS of officiele Android.. ook hun apps hebben een minimale versie van iOS nodig, dus als je doe niet kunt draaien dan heb je ook daar pech.

Ik kan me voorstellen dat ze de beveiliging met de auto willen verbeteren door dus de betreffende API's te gebruiken. Komt bij dat ze officieel de app alleen aanbieden via de Google play store, dus dat geeft eigenlijk al aan dat je de app tot nu toe hebt moeten sideloaden/downloaden uit een store waar die niet officieel aangeboden is, dus dan is het sowieso op eigen risico dat wat er nu gebeurd is zou kunnen gebeuren. Dus je hebt tot nu toe de app onofficieel toevallig kunnen draaien, maar wel zonder officiele ondersteuning van VW...
Nou... het is nogal overbodig. Vooralsnog werken banken-apps en DigiD-gerelateerde apps gewoon, dus VW maakt hier een keuze die voor veel gebruikers nogal wat discomfort met zich meebrengt en waar geen noodzaak toe is.
Bor Coördinator Frontpage Admins / FP Powermod @theredspecial • 22 juli 2026 11:42
Nou: nieuws: Rabobank-app werkt niet meer op alternatieve Android-roms vanwege Int...

Je gaat meer en meer apps zien waarbij de aanbieder meer zekerheid wil hebben rond de veiligheid van het OS waarop het draait.
Ik snap niet waarom je dit telkens noemt als de Rabobank app gewoon werkt op Android roms, maar alleen als je hem niet via de Play Store installeert.

Bovendien bestaat bij GrapheneOS de hardware attestation API die deze apps ook gewoon kunnen implementeren.

Is bovendien ook grappig dat aanbieders meer zekerheid willen hebben rond de veiligheid van de OS, terwijl je gewoon kan internet bankieren op een laptop van 15 jaar oud in de browser.

Als het hier echt om de veiligheid van het OS ging dan zouden bedrijven gebruik moeten maken van de hardware attestation API en checken naar root. Een device kan Play Integrity certified zijn met minimale beveiliging, verouderde patches en firmware, op een oude Android versie.

Bijvoorbeeld:

Een telefoon die Android 13 draait met 8 maand-oude patches met '1234' als pin, volgezet met malware apps die volle permissions hebben en niet in een sandbox draaien op de telefoon zijn Play Integrity verified (level 2) en kunnen dus lekker deze apps draaien.

Een telefoon die de laatste GrapheneOS versie draait (Android 17) met security pre-release patches, die security patches weken eerder krijgt dan zelfs Google's PixelOS, met een 6-cijfer pincode (of passphrase) met volle sandbox webview en apps. Die is niet Play Integrity verified.
Ha, dat heb ik toen ook gelezen, maar voorlopig werkt Rabo nog, bij mij althans. Ik ga hier wel bij Kifid een zaak van maken als het echt stopt met werken. Tevens heb ik een aantal Europarlementariërs gemaild, ga maar weer mailtje sturen naar ANWB en Consumentenbond. Iemand moet ons toch kunnen helpen met hier een punt van te maken?
Tja, jii zegt, niet meer nodig, maar waarom zou je testen op een custom rom, en welke moet je dan allemaal meenemen? Het is aan de custom rom om gewoon dezelfde API's aan te bieden als de standaard versie..
het is alleen geen Android API maar een Google API.

er is een open alternatief dat wel zonder goedkeuring van google werkt, maar die wordt door de app niet ondersteund.
Maar de app is officieel alleen te downloaden via de Google Play Store, dus om die op een google play loze custom rom te installeren zul je em al van een alternatieve store of apk downloadsite hebben moeten halen (waarbij dan sowieso je al voorzichtig moet zijn dat het geen aangepaste versie is).
Als je de achtergrond kent, dan weet je dat VW het wel 'blokkeert'. De app werkte voorheen zonder deze services nodig te hebben.

VW heeft echter besloten dat ze alle API toegang op slot wilde gooien voor de consument en dat API access alleen nog (beperkt) beschikbaar is voor enkele grote bedrijven waar ze mee samen werken. Als je nu informatie over je auto wil kan je via een EU Dataportal elke uur een dataset downloaden in een zip file met de laatste sensor informatie van je auto.

Toen deze stap werd gezet verviel de toegang voor o.a. alle homeassistant gebruikers die de auto data gebruiken in hun automatisering. Opensource dev's hebben toen als 'oplossing' een header toegevoegd aan hun API verzoek waardoor het lijkt alsof de Android app het verzoek indiende. Hierdoor heeft alles tijdelijk weer gewerkt.

Toen VW hier achter is gekomen hebben ze de Android app geupdate en de nieuwe services toegevoegd van Play integrity zodat de workaround niet meer werkt. Nevenschade hiervan is dat een geroot Android toestel ook geen gebruik meer kan maken van de app.

VW noemt het 'aanpassing om de veiligheid te verhogen'. Echter is de beter toepasbare naam "Aanpassing om de consument verder uit te melken'. Aangezien VW in de toekomst plannen heeft aangekondigd om bepaalde diensten tegen een extra abbo aan te bieden om de auto op afstand te bedienen/uit te lezen.

Ik als EV rijder met een VW groep auto weet in ieder geval dat ik door deze actie nooit meer bij VW een auto aanschaf. Waar andere autofabrikanten hun API's openstellen voor innovatie en continue software updaten met nieuwe features, doet VW het omgekeerde en sluit men alle toegang steeds verder af, wordt software in modellen van slechts enkele jaren oud niet meer geupdate en krijgt de consument de middelvinger.

VW verdient alle terugloop in inkomsten en negatieve pers. De enige die schuldig is aan terugloop van verkopen is VW zelf met hun kortzichtige beleid.
Op dit moment doet de Skoda app het nog op GrapheneOS. Als ze dit geintje ook voor Skoda doen dan was dit de laatste VW die ik gekocht heb, en ga ik in het vervolg over op Chinese merken. Lekker handig, om als bedrijf die toch al in zwaar weer zit dit soort dingen te beperken...
Bor Coördinator Frontpage Admins / FP Powermod @Freeaqingme • 22 juli 2026 10:25
Als ze dit geintje ook voor Skoda doen dan
Daar kan je op wachten denk ik. Het is efficiënter de apps voor de verschillende merken zo veel mogelijk gelijk te houden. Denk ook maar niet dat deze app de eerste of laatste zal zijn. Je gaat integrity checks meer en meer zien is de verwachting. Zie bijvoorbeeld: nieuws: Rabobank-app werkt niet meer op alternatieve Android-roms vanwege Int...

[Reactie gewijzigd door Bor op 22 juli 2026 10:25]

En zo verliest Android steeds meer het open source karakter. Android is hiermee niet beter dan iOS.
Android is nog steeds open source, je kunt er alleen vrij weinig mee zonder Googles closed source sausje eroverheen.
Ik zou zelfs zeggen dat Android daarmee slechter is dan iOS, vooral vanwege de doelstellingen van het grote bedrijf erboven.
Then again, er zijn nog kale Androids met een non-Google laag erop, maar dan zit je in een heel ander (beperkt) ecosysteem. Waar je dan dus weer geen handige apps van bedrijven hebt, want die eisen Google.
Ik zei niet "slechter" maar "niet beter". Daar is een verschil. En nee, het gaat een bedrijf compleet niets aan of ik een Google android of een open source android draai.
AOSP Android heeft haar open karakter allang verloren omdat er nauwelijks sprake is van een gemeenschap die erin investeert. Praktisch alle code commits komen van Google.

Als je volledig afhankelijk bent van Google voor alle security updates, dan is er mijn inziens geen sprake van open source.
Ja, want Chinese auto's hebben privacy op nummer 1 staan... 8)7
Ik denk dat VW liever zulke klanten kwijt dan rijk is.
Een specifiek automerk niet kopen omdat de app niet draait op een aangepast OS 8)7
Naast dat bugtesting niet meer te doen is vanwege xx verschillende roms, wil je gewoon als fabrikant een vaste betrouwbare basis om je app op uit te rollen.

Ik snap de keuze van VW wel, de koppeling tussen auto en telefoon wordt steeds uitgebreider.
Telefoon gaat steeds meer als autosleutel fungeren, en ik kan mijn (audi welliswaar) op afstand besturen om hem een parkeervak uit te rijden als een andere auto te dicht tegen je aan staat geparkeerd.

Ik kan mij voorstellen dat ze dus risico's zien in telefoons met custom roms.
Als je dan op de achtergrond heel het OS zou kunnen aanpassen, is het misschien ook wel mogelijk om bepaalde handelingen uit te voeren tussen auto/telefoon waar risico's aan kleven bijv. de afstandbeperking van +/- 6m rondom het voertuig moeten zijn aanpassen waardoor je de auto van grotere afstand kunt besturen.
Een specifiek automerk niet kopen omdat de app niet draait op een aangepast OS 8)7
Wat bedoel je precies met 'aangepast OS'? Het is 'gewoon' Android, maar dan wel veilig.

Ik vind het van de zotte dat we in tijden van 'buy European' apps produceren om je auto van Europese makelijk aan te kunnen sturen met enkel een telefoon die de zegen van een Amerikaans bedrijf heeft.

En ze hoeven het wat mij betreft echt niet op alle mogelijke ROM's te testen, als ze het alleen al op basis van open standaarden zouden doen zou er helemaal geen issue zijn. Alleen hebben ze hun publieke API recentelijk ook al uitgezet.

We moeten er mijns inziens als maatschappij voor waken dat we ons niet te makkelijk in de commerciele praat van een partij als Google laten meeslepen.
Op dit moment doet de Skoda app het nog op GrapheneOS. Als ze dit geintje ook voor Skoda doen dan was dit de laatste VW die ik gekocht heb,
Oei, het zal ze leren!
Ja dat alleen @Freeaqingme dit doet zullen ze bij VW niet voelen nee.

Maar ze voelen wel degelijk de hete adem van de Chinezen in de nek en ze dreigen zelfs honderdduizenden mensen te ontslaan als wij brave schaapjes niet meer Europese auto's kopen. https://www.theguardian.c...ns-address-chinese-threat

Dus ze voelen die dreiging wel degelijk. De vraag is alleen of Chinees beter is in dit opzicht.
Nee waarschijnlijk is die Chinees geen haar beter in dat opzicht.

Wat die Chinees wel lukt is een betaalbare auto aanbieden, en dat zal deels zijn door overheids steun maar imho ook deels door gewoon goedkopere auto’s te maken.

Zo heeft mijn Chinees geen app, geen uitgebreide luxe software met stemherkenning oid. in de navigatie, geen luxe afgewerkte binnenzijde maar relatief veel hard kunststof waar ik me nog nooit aan gestoord heb :?.
Het rijgedrag is niet sportief of heel bijzonder (waar reviewers vaak over vallen) maar in dagelijks gebruik rijd het gewoon zoals het moet :?
Geen 17 uitgebreide optiepakketten met allemaal exclusieve kleurtjes, velgen, etc. (allemaal kosten qua voorraad en beheer) of dure losse opties (een Audi Q5 die standaard zonder achteruitrijcamera werd geleverd, kost €2500 extra op een auto van bijna €60k 8)7 ).

Wij rijden nu onze 2e MG, prima auto zonder teveel gekkigheid. 3 duidelijke optiepakketten zonder cryptische namen, duidelijke prijs die niet verborgen staat handjevol kleuren en klaar.

Dit soort grappen met apps en API’s helpen ze i.i.g. niet om Europese merken aantrekkelijk te houden :(
Je zegt eerst dat je een Chinese auto rijdt zonder app, dat je dik tevreden bent met een prima auto zonder gekkigheid. En daarna stel je dat een Europees merk niet aantrekkelijk is wegens grappen met apps en API's?

Het klinkt een beetje tegenstrijdig. Denk dat de meeste mensen gewoon een goede, betaalbare auto willen hebben en helemaal niet bezig zijn of de auto wel een app heeft of niet.
Ik mis het inderdaad niet maar als je het wel hebt als fabrikant en dan ga je er aan sleutelen ten nadele van een deel van je klantenkring dan schiet je je als fabrikant toch in je eigen voet :?

Doe het niet of doe het goed, niet halfbakken maar wel de hoofdprijs vragen.
Maar je bent al met je derde bezig? Betekent dit dat ze niet zo lang meegaan? Of wissel je gewoon vaak van auto?

(het moderne Chinese MG is nog niet oud als merk, vandaar dat ik het vraag).
Maar je bent al met je derde bezig? Betekent dit dat ze niet zo lang meegaan? Of wissel je gewoon vaak van auto?

(het moderne Chinese MG is nog niet oud als merk, vandaar dat ik het vraag).
2e
Nee gewoon lease, de eerste kreeg mijn vrouw en die beviel eigenlijk best aardig dat we toen ze vorig jaar zelf een auto mocht uitzoeken weer naar MG gekeken heeft.
De eerste was een ZS EV en die noemde we grappend de AliExpress EV want had nog wel wat dingetjes die goedkoop aanvoelde maar dat heeft de huidige ZS Hybrid totaal niet meer.
Die eerste ZS was het eerste MG model in Europa onder SAIC motors, die wij reden is inmiddels 7 jaar en we zien hem nog wekelijks door het dorp rijden hier met de 3e eigenaar :p
Je weet het antwoord al, uiteraard zijn Chinezen niet beter in dit opzicht. Die vergaren gewoon gegevens met hun auto en stellen dat aan allerlei Chineze diensten beschikbaar.

https://dit.eo.nl/artikel/elektrische-autos-china-steeds-populairder-rijdende-dataverzamelaars-privacy
Zolang ik vrij ben daar ook wat tegen te doen is me dat liever dan de gouden kooi van Google of Apple
Als ze 100.000 mensen ontslaan zijn dat gelijk 100.000 potentiële kopers die ze al kwijt zijn, dan nog naast de familie en vrienden kring en dan kan het best wel eens het einde zijn... maar goed, gelukkig zijn er nog off-shore opkopers :-).
Tegelijkertijd levert Skoda, onderdeel van de volkswagen groep, met de Elroq de best verkochte auto van 2025 in Nederland.

Tel je alle merken van de Volkswagen groep bij elkaar op, dan zijn ze by far de best verkopende auto maker in Nederland. Ze verkopen meer dan tweemaal zoveel auto's als de runner-up.
"Als je denkt dat je te klein bent om een verschil te maken, probeer dan eens te slapen met een mug in de kamer."

~ Dalai Lama

[Reactie gewijzigd door GeleKoplamp op 22 juli 2026 10:44]

En heeft de Dalai Lama een verschil kunnen maken? Waren de Chinezen onder de indruk van zijn verzet na de bezetting van Tibet na 1950 / 1951?

Niemand is ervan onder de indruk als iemand zegt ik ga geen Volkswagen meer kopen want ze ondersteunen alleen Apple iOS en Google Android. Het is totaal geen overweging bij mensen als ze een auto willen kopen en dat snapt Volkswagen prima.

Al helemaal als iemand zegt, ik ga de volgende keer een Chinese auto kopen. Ik zou zeggen, lees eerst eens de ToS van Chinese auto bedrijven maar eens een keertje door.
Ja. 1 Druppel niet. Maar inmiddels is het al veel meer dan een paar druppels.
Dit stukje tekst zegt eigenlijk al genoeg:
Volkswagen told heise online that they are looking into it, but for now, they cannot offer the VW app for Android alternatives. Meanwhile, the app can still be installed on very old devices running Android version 10 or newer, which have not received security updates for years.
Dus een alternatief OS is een probleem ... Maar een "officiële" OS zonder updates en security fixes is prima 🤔
Dit stukje tekst zegt eigenlijk al genoeg:

[...]

Dus een alternatief OS is een probleem ... Maar een "officiële" OS zonder updates en security fixes is prima 🤔
Volkswagen is al langere tijd bezig hun API dicht te timmeren. En met een custom OS of gerootte telefoon kan je dus de API routes bekijken en deze weer gebruiken voor andere zaken.

Onze TS forums staan vol met gebruikers die klachten hebben dat hun app of externe integratie niet meer werkt, niet alleen volkswagen, maar de gehele VW group.
Begrijpelijk, je wilt natuurlijk niet dat je API een enorme load en daarmee kostenpost of ander risico veroorzaakt.

Gelukkig wordt er keihard gewerkt om lokale toegang mogelijk te maken zonder verbinding of afhankelijkheid van VW. Toch? :+
Er kunnen toch limieten voor de API worden ingesteld? Er wordt gewoon betaald voor de dienst, dus daar mag wel wat terug voor worden verwacht als je het mij vraagt.

Het "alternatief" is nu het downloaden van een ZIP-bestand vanuit de Volkswagen Group EU Data Act portal. Het lijkt mij niet dat dit minder load intensief is dan een API-call

[Reactie gewijzigd door S-1-5-7 op 22 juli 2026 11:35]

Killt VW zich hier niet mee?
Hoeveel mensen gebruiken een custom rom en hoeveel rijden daarvan een VAG-product?
Daarvan rijdt ook weer een deel zakelijk, dus...

Nee, het aantal mensen dat hierom geen VAG meer koopt is wss op een of twee handen te tellen.

Wat mensen op fora schrijven dat ze doen en uiteindelijk gaan doen of zullen doen, zijn 2 werelden.
Ah… Vandaar dat ik niet meer in kon loggen met de VW app op onze ID.3 met mijn Fairphone 6 met /e/OS!

Ik zal een klacht sturen naar VW (edit: het gaat VAG groep breed heb ik begrepen, dus we nemen geen VAG auto meer) en indien dit niet verbetert, is de ID.3 van mijn vrouw de laatste VW die wij ooit aangeschaft hebben. Misschien eens kijken voor een Chinees, het maakt nu niet zoveel meer uit. VW verkoopt onze zielen toch ook aan de Amerikaanse big tech.

[Reactie gewijzigd door Jittikmieger op 22 juli 2026 11:47]

Met klachten doet VW niet zo veel. Mijn leasecontract loopt over een half jaar af, en mede door dit soort acties komt er ook hier geen één meer van de VW-groep
Security is ook een onzin argument in deze. Kies er dan voor om acties als deur/ramen openen, remote view, etc. alleen beschikbaar te maken als de integriteit klopt en de rest (readonly view) op alle andere devices.
Wat denkt VW dat gebruikers met root toegang gaan doen met hun app?

Tweakers zou een poll moeten maken aan het einde van hun artikel zodat bedrijven kunnen zien hoe populair hun keuzes zijn 😂

[Reactie gewijzigd door InfiniteSpaze op 22 juli 2026 10:21]

Misschien kun je dan wel bij de data van jouw eigen auto en ga je die voor iets anders gebruiken dan alleen de VW app. Stel je voor...
Of, het is duurder om een echt goede beveiliging in te bouwen dan gewoon "alternatieve" voor Google te blokkeren
Denk dat als mensen echt iets met hun auto willen doen dat ze dan iets zoals een OBD2 scanner gebruiken en dit niet doen via root toegang.
Hoeveel procent van de VW eigenaren zouden hier last aan hebben?

Verder is het de vraag: hebben ze het bewust geblokkeerd, of is het gewoon het gevolg van de keuze voor het google eco-systeem? Het zou zelfs zo kunnen zijn dat er nooit een requirement was om het op custom ROMs te laten werken en dat het tot voor kort toevallig werkte.
Bor Coördinator Frontpage Admins / FP Powermod @InfiniteSpaze • 22 juli 2026 10:21
Dat is het punt volgens mij niet. Zoals het artikel al aangeeft vereist de app een api die ontbreekt in alternatieve Android-versies. Dat is de onderliggende reden die bekend is gemaakt; niet zo zeer het gebruik op een device met root toegang.
Het is alleen niet een 'nuttige' api. Ze gebruiken een API van Google Play Services (niet android), die niet (realistisch) na te maken valt. Zodoende werkt het niet met alternatieven voor de google play services op andere custom roms. Ook blokkeert die API wanneer je telefoon geroot is.

Die API doet niets anders dan dat garanderen, dat je een apparaat met Google's eigen Google Play Services draait, en niets anders. Waarom Volkswagen dat graag wilt is onbekend. Het is uiteindelijk een wassen neus zoals het groene https EV slotje van vroeger. Het doet niets maar het voelt veilig.
Dat is niet waar, de Play Integrity API doet veel meer dan alleen checken of Google Play Services draait, zie basic en strong integrity (link). Ik weet niet welke de VW app vereist (je hebt ook nog device integrity).

Er zijn allerlei checksums en systeem checks onder water. Met root kan je aantal van die checks omzeilen, strong integrity wordt erg lastig, maar basic en device is goed te doen, dit heb ik in het verleden zelf ook veel gedaan, totdat ik overstapte naar GrapheneOS.

GrapheneOS ondersteunt ook gewoon het meer open alternatief, de hardware attastation API. Zie docs van hun zelf. Alleen dat vereist extra werk van ontwikkelaars en dat weigeren ze.
Stukje uit de voorwaarden zoals in mijn contract e-remote zijn opgenomen:

Gebruik van de Volkswagen-app
Om alle functies van de mobiele onlinediensten te kunnen gebruiken, die voor de betreffende auto beschikbaar zijn, moet de gratis Volkswagen-app worden gedownload en met een Volkswagen-gebruikersaccount zijn gekoppeld. Voor het gebruik van de Volkswagen-app is een smartphone met het besturingssysteem iOS of Android vereist en een simkaart met dataoptie op een bestaand of afzonderlijk af te sluiten mobiele telefooncontract tussen jou en jouw mobiele provider. Door het uitwisselen van gegevens via het internet kunnen, afhankelijk van je tarief voor mobiele telefonie en met name bij gebruik in het buitenland, extra kosten (bijv. roamingkosten) in rekening worden gebracht.


Met andere woorden: Mooi dat ze allerlei extra aanvullende eisen stellen aan de smartphone, maar dat vermeld Volkswagen niet, en mijn contact loopt sowieso nog tot oktober dit jaar.

Verder: Vroegah kon je ook gewoon via de website je auto bedienen. Inmiddels zit dat allemaal achter het slot-van-de-App. Technisch was het prima mogelijk, maar is er gewoon bewust (met onbekend doel) uitgesloopt. NU kan ik via de website (zonder 2FA of wat voor andere beveiligingslaag) nog wel allerlei privé data opvragen/inzien (Chassisnummer, maar ook de complete rit-registratie, stroomverbruik, etc etc maar de voortgang van de huidige laadsessie bekijken: nope. Dat moet dan via de App.
Best lastig als je onderweg bent ( FairPhone 6 met /e/OS (LineageOS) met Android 16: Locked boatloader: Noem je dat dan ook een CustomRom?)
Volkswagen vermeldt zeer duidelijk dat de app beschikbaar is via de iOS App Store of de Google Play Store.

Als jou telefoon de Google Play Store ondersteunt, dan werkt de app. Ook onder /eOS.
Volkswagen vermeldt zeer duidelijk dat de app beschikbaar is via de iOS App Store of de Google Play Store.

Als jou telefoon de Google Play Store ondersteunt, dan werkt de app. Ook onder /eOS.
Volkswagen vermeldt zeer duidelijk WAAR je de app kunt vinden, maar in de voorwaarden staat verder zeer duidelijk welk besturingssysteem vereist is.

Oh verdrie: Ze vermelden niet dat ik kan tanken bij FastNed. Gaan ze dat straks ook blokkeren?

Maar serieus:
In de voorwaarden staat dat iOS of Android vereist is. Niet welke versie en ook niet
dat je de Google Play Store móet gebruiken, dat je de app niet kun sideloaden of wat dan ook. Ik heb Android 16, /e/OS Fairphone 6, zonder Google Play Services
Je kan allerlei argumenten proberen te zoeken maar het is gewoon duidelijk wat Volkswagen stelt, de app installeer je of uit de Apple App store of uit de Google Play Store.

Jij hebt geen Play store op je telefoon want die werkt niet zonder de Google Play Services. Dus kan je de Volkswagen app in het geheel niet installeren.

Vind je dat niet duidelijk genoeg, dan staat het je vrij het aan de rechter voor te leggen of je misleid bent of niet. Ik acht de kans dat je wint erg klein maar wie weet?
Jij hebt geen Play store op je telefoon want die werkt niet zonder de Google Play Services. Dus kan je de Volkswagen app in het geheel niet installeren.
Ik heb Android 16 op mijn telefoon, en ik kan de Volkswagen app installeren via de App Lounge, die de APK gewoon uit de Google Play Store haalt, (MicroG). Maar de Google Play Services draai ik niet.

Ik kan gewoon niet eens inloggen op mijn FairPhone 6 met /e/OS: Connection failed. Try updating the app or reinstalling it from your smartphone's app store

Op mijn werk-Samsung - doet ie het gewoon prima.
Uiteraard werkt die niet, je draait de Google Play services niet. Die zijn vereist om gebruik te maken van de Google Play store. En dat weet je best.

Je kan wel slim zijn en de vereisten van de Play Store willen omzeilen, maar dan werkt het dus niet.

Uiteraard doet hij het uitstekend op je Samsung, die draait immers de Google Play Services.
Ik weet niet waarom je zo 'hapt', maar nu steek je de draak met mij: 'En dat weet je best'

Aan jou om de voorwaarden van het e-remote contract erbij te pakken en aan te geven waar ze aangeven dat de Google Play Store gebruikt MOET worden. Ik lees (ja, ik heb een contract) alleen de verplichting dat je of iOS of Android kunt gebruiken, en de aanwijzing dat je de App kunt vinden in de Play dan wel App-store. De technische vereiste dat Play Services moet draaien is nieuw en staat nog nergens in de documentatie zo (expliciet of tussen de regels door) omschreven.
Download de nieuwste versie van de We Connect app gratis uit de App Store of de GooglePlay Store naar uw mobiele apparaat.
https://www.myvolkswagen.net/weconnect/help/eremote/e-remote_nl.pdf

Het staat er gewoon in.

Zonder Google Play Services werkt de Google Play Store niet en kan je de app niet downloaden en gebruiken.
Dit is onwaar. Mijn GrapheneOS telefoon heeft de Play Store en Play Services. De VW app werkte altijd prima, tot vorige maand.
Dan heb je een ander probleem. Als je de Google Play Services draait en je hebt de VW app geïnstalleerd uit de Google Play Store, dan zou die gewoon moeten werken.
Niet dus, want het apparaat passeert niet Play Integrity Strong omdat Google weigert de signing keys van GrapheneOS te erkennen.

Het werkte prima tot vorige maand, zelf met Play Integrity (BASIC) totdat VW strong integrity is gaan eisen, wat dus vereist dat Google de signing keys van de vendor whitelist.

Ergo, Play Store en Play Services zijn niet gemoeg.

[Reactie gewijzigd door danieldk op 23 juli 2026 12:35]

Dan heeft Volkswagen de eisen opgeschroeft. Als Volkswagen niet wil dat je hun app onder GrapheneOS draait, dan is dat de keuze van Volkswagen. Het is geen belemmering van Google.

Een telefoon onder GrapheneOS is geen door Google erkent device. Maar het is niet Google die er dan voor kiest om de app te weigeren, de app bouwer kiest ervoor.
Ik denk dat VW gewoon hun app veiliger wil maken en voor de methode kiezen die Google hun aanraadt. Het is de beslissing van Google om systemen uit te sluiten. De meeste blaam treft Google en een beetje VW.
Elke ROM die niet vanuit de fabriek meegeleverd komt is een custom ROM denk ik. Maar ja, mijn bootloader is ook wel locked. Veel apps accepteren dat wel, maar een aantal niet.

Wat mij betreft is het belangrijkste of je TEE (trusted execution environment) goed werkt en je dus HW checks hebt. Kan je testen met bijv. KeyAttestation.

Je zou misschien wel kunnen beargumenteren dat VW duidelijker moet zijn in hun contact over die extra eisen aan je telefoon, maar veel succes met het aanvechten daarvan...
https://murena.com/shop/s...d-new/murena-fairphone-6/

Is het nou een custom ROM of gewoon uit de fabriek meegeleverd?
Stock ROM vind ik want telefoon wordt geleverd met dat OS. Dat Murena de telefoons van een ander OS voorziet is hun pakkie-an. Vanuit klant perspectief is dat m.i. gewoon stock.
Grappig (of niet):

Ze (Volkswagen) schrijven Android, maar bedoelen dus eigenlijk Google.

Als je dus een officiële smartphone hebt met een Android versie zonder Google (Fairphone dus), en de app werkt niet, zou je ze dus kunnen aanklagen wegens contractbreuk.

(En ze / Volkswagen dan snel de voorwaarden aanpassen uiteraard.)
Dus het controleert alleen of je device wel of niet veilig is volgens Google en of de app via de app store is geinstalleerd en niet via side-loading. Daar komt gewoon een ja/nee antwoord uit.

Het is de keuze van Volkswagen dat als die API er niet is dan helemaal geen toegang te geven. Je zou er als Volkswagen ook voor kunnen kiezen dat als het antwoord van de API nee is of als de API ontbreekt, om dan allen read-only toegang te geven, locatie van de auto weg te halen en mogelijk alleen climate control als aktie te geven. Dan beperk je de app tot de basis functies.

Een andere optie is om gewoon een nette API te hebben die alle bezitters van een VW auto kunnen gebruiken. BMW heeft bijvoorbeeld een open API, waarbij je een app-registratie maakt en die app-registratie precies aangeeft wat die wel of niet mag in de API. Ik heb volgens mij wel 180 functies die ik in of uit kan schakelen. Zo heeft mijn HA alleen maar lees-rechten gekregen en schrijfrechten op de climate control. De rest is voor HA ook niet nodig in mijn geval.

De BMW API heeft een rate-limiter, maar op zich is dat niet direct nodig voor ze. Ze gebruiken caching in de backend, dus je pollt de servers, niet de auto. De auto geeft zijn status 1x per x tijd door of na een change (bv. als je het slot eraf haalt via de sleutel). Als hij aan het laden is, is de update per minuut volgens mij. Ik kan vaker pollen, maar dan krijg je gewoon weer opnieuw de laatste server status.

Ik zou zelfs mijn eigen app kunnen maken en die tegen de API aan laten praten.

[Reactie gewijzigd door SunnieNL op 22 juli 2026 11:36]

VW werkt ook met een server als broker tussen auto en 'app' of gebruiker. Tot zover is er niet zoveel verschil.
Ik ben er niet precies van op de hoogte hoe het werkt(e), maar volgens mij was er een update mogelijkheid: om via de server een update van de auto aan te vragen. Normaliter geeft de auto inderdaad net zoals bij BMW alleen een update bij een wijziging, en tijdens het laden bijvoorbeeld. Maar er was ook een switch waarmee je een update door de auto kon forceren/aanvragen. Weet niet of die interval verhoging gedoe gaf voor Volkswagen, maar ik vermoed eigenlijk dat 't vooral de server zelf was die onderbemeten/overbelast raakte door requests van een select aantal gebruikers. "Gewoon" iets waar Volkswagen geen rekening mee had gehouden. Die dachten: connected devices, leuke feature, maar dat gaat 29% van onze gebruikers maar heel af en toe gebruiken. En de rest na een proefperiode nooit meer.

Viel dat even tegen.
De VW app is strong integrity gaan vereisen. GrapheneOS met Play Services passeert bijvoorbeeld BASIC. En de enige reden waarom GrapheneOS STRONG niet passeert is omdat Google weigert de GrapheneOS signing key fingerprints toe te voegen. Een klusje die aan Google's kant waarschijnlijk tien minuten kost.

Maarja, zodra ze dat gaan doen, gaan andere OEMs ook eisen dat ze uitzonderingen krijgen voor Google's monopolistische eisen wbt. GMS Android.

[Reactie gewijzigd door danieldk op 23 juli 2026 11:24]

Dat is de onderliggende reden die bekend is gemaakt; niet zo zeer het gebruik op een device met root toegang.
Dat is te kort geredeneerd. Die hele Integrity API is expliciet bedoeld om apparaten met root en custom roms e.d. uit te sluiten.
Die API bestaat overigens wel als je bijvoorbeeld sandboxed Google Play op GrapheneOS installeert. Je kunt zelfs Play Integrity Basic passeren. Het enige dat mist is erkenning voor de GrapheneOS signing key fingerprints aan de kant van Google. Als Google die toe zou voegen, zou de VW App gewoon op GrapheneOS werken.

Hetzelfde geldt grotendeels voor bijvoorbeeld microG op /e/OS. Het implementeert de Play Integrity API en draait ook de Google DroidGuard blobs die bij elke Play Integrity request gedownload worden.

Dus dat de APIs niet beschikbaar zijn is onwaar.

[Reactie gewijzigd door danieldk op 23 juli 2026 11:20]

Bor Coördinator Frontpage Admins / FP Powermod @InfiniteSpaze • 22 juli 2026 10:37
Tweakers zou een poll moeten maken aan het einde van hun artikel zodat bedrijven kunnen zien hoe populair hun keuzes zijn 😂
En dan? Heel veel mensen hier zijn erg tegen verandering. Wil dat zeggen dat alle veranderingen slecht zijn? Kunnen wij als (potentiële afnemer) overzien wat eventuele voordelen (bv op de langere termijn) zijn? Hebben wij als Tweakers uberhaubt genoeg "body" om een signaal af te geven naar een leverancier (en gaat die daar dan ook wat mee doen)? Denk je dat VW "zo maar wat doet"? Ik denk het niet namelijk. Er zijn vast achterliggende overwegingen waar wij niet van op de hoogte zijn.
Ik dacht het is voor het platform zelf gewoon een leuk engagement-dingetje. Excuses voor mijn feedback. Had niet verwacht dat mij gelijk de les zou worden gelezen, natuurlijk heeft Tweakers niet genoeg "body" naar leveranciers. Ik zal voortaan wel niets zeggen wanneer het binnen het domein van een moderator komt.
[...]
En dan? Heel veel mensen hier zijn erg tegen verandering.
Ja, natuurlijk! Dat zou jij ook moeten zijn. Ik ben tegen verandering! Altijd. Een verandering kan negatief zijn, dat betekent dat een verandering een verspilling kan zijn van mensen, middelen, tijd, efficiency...... En het geen verbetering is.

Maar ik ben vóór VERBETERING! Je zou dat een positieve verandering kunnen noemen. Maar wat is er positief aan de verandering van deze VW app? Een app die prima werkte op mijn /e/OS toestel doet het nu ineens niet meer...? Ik zie geen verbetering!

[Reactie gewijzigd door Jittikmieger op 22 juli 2026 12:38]

Wat stel je dan voor? Je als een mak consumentje naar de dataslachtbank te laten afvoeren? Doe wat man! Beter iets gedaan dan niets gedaan. Het is aan VW om de achterliggende overwegingen te vermelden. En dat doen ze alleen als er economische prikkels zijn dat te doen. Voor ethische prikkels zijn bedrijven en overheden niet gevoelig!! Tweakers kan een rol spelen in het maken van deze economische prikkels. Het nalaten daarvan roept de vraag op of Tweakers achterliggende overwegingen heeft dat niet te doen.
Wat is het voordeel voor VW om dit te doen? En voor andere bedrijven? Het lijkt me dat de veiligheid maar minimaal verhoogd wordt en het zijn ook niet hele belangrijke zaken die beveiligd worden.
Bor Coördinator Frontpage Admins / FP Powermod @Geer123 • 22 juli 2026 10:33
Men heeft op een flexibele dynamische manier meer zekerheid over de integriteit van het toestel en de hierop draaiende software op een manier die voor de ontwikkelaar makkelijker is te implementeren dan andere oplossingen.
En wat is daar het voordeel van voor VW? Wat is voor hen het voordeel dat ze weten dat ik een 'echte' Android heb en niet een custom rom?
Bor Coördinator Frontpage Admins / FP Powermod @3_s • 22 juli 2026 11:11
Het voordeel voor VW is dat ze bepaalde garanties hebben over de integriteit van het toestel / het OS dat hier op draait. Het gaat hier niet om het blokkeren van custom roms. Dat is een bij effect gezien die niet aan de controles kunnen voldoen. Het gaat hier om bescherming tegen aangepaste software, malware etc. Dat kan interessant zijn wanneer je gevoelige functies wilt aanbieden. Denk aan internet bankieren (rabobank is ook met integrity controle bezig bijvoorbeeld volgen een ouder nieuwsitem hier op Tweakers) maar ook aan zaken als het ontgrendelen van een auto etc.
Denk aan internet bankieren (rabobank is ook met integrity controle bezig bijvoorbeeld volgen een ouder nieuwsitem hier op Tweakers)
Rabobank beperkte dat tot installatie door de officiële Play Store applicatie. Installatie via een third-party Play Store client kan gewoon, waarna de Rabobankapplicatie gewoon op een niet-Google ROM werkt.
Maar, wat is het voordeel voor VW dat je toestel integer is? Hoe worden zij benadeeld mocht ik dat op een niet-Android zet?
Voor een bank-app snap ik dat nog ergens, daar heeft de bank schade als jij gehackt wordt (want dat moeten zij het waarschijnlijk vergoeden).
Maar VW heeft toch geen schade als iemand mijn auto daardoor kan openen?
Maar via je PC, kan ik op de website gewoon inloggen en kon ik eerder álles doen zonder tussenkomst van App of controles. Zonder virusscanner of wat ook. NU heb ik alleen nog zicht op ritregistratie, km stand en dat soort info..
Ik lees geen voordeel. Het nieuws is dat VW eisen stelt aan de smartphones (en keuzes) van hun klanten. Kan je smartphone de integriteit van de app voor VW niet controleren dan mag je de app niet gebruiken. Dat is de grens die ze ttekken. Niet slechts dat je smartphone niet compatible is en ze niet in kunnen staan voor een goede werking.

Het is niet de functionaliteit van VW op je smartphone. Het is geen recht van VW om te eisen hoe jou smartphone voor hun werkt. VW heeft eisen te stellen aan hun eigen systemen. Software is niet meer volledig van hun als je het op je smartphone installeert. Als ze vermoeden dat hun klanten niet betrouwbaar zijn dan hadden ze hun software niet moeten leveren. Anders is het volgende dat VW eisen aan de klanten gaat stellen waar die hun auto parkeren of welke huidskleur je hebt.
De integriteit van mijn toestel is voor hun van geen belang. Dat is alleen voor mij van belang.
Bor Coördinator Frontpage Admins / FP Powermod @kuurtjes • 22 juli 2026 11:39
De integriteit van jouw toestel is absoluut van belang voor aanbieders van sofware die gevoelige zaken aanbieden. Het geeft namelijk meer zekerheid dat er geen malware actief is, dat er niet met te veel rechten wordt gewerkt en andere risico's. Het is een schakel in een keten ter beveiliging van informatie en systemen.
Als ik malware op mijn systeem wil is dat toch wel mijn beslissing zeker?
Nou, nee, niet jouw beslissing; als je dat niet wilt, krijg je het soms alsnog. Maar of jij je via de Google-Play bescherming extra wilt indekken, of niet, dat is inderdaad wel een keuze van jou.

Stom dat Volkswagen daar vervolgens consequenties aan verbindt. Die alleen jou, als eindgebruiker lijken te schaden, en Volkswagen zelf niet. Die hebben enkel wat minder gezeur doordat er nog minder gebruikers zijn die van het platform gebruik maken op een manier dat het ze meer tijd/geld kost dan wanneer ze precies iedereen over dezelfde kam scheren.
Bor Coördinator Frontpage Admins / FP Powermod @kuurtjes • 22 juli 2026 11:44
Je trekt het hier een beetje in het belachelijke. Jammer.

Dat is jouw beslissing inderdaad net als het VW's (in dit geval) beslissing is om jou in die gevallen niet toe te laten; niet zonder reden natuurlijk.
Het feit is dat mensen een VW kopen waar hun device gewoon werkte, zonder problemen. En dat dat nu dus na de aankopen wordt aangepast. Dat moet eens gaan stoppen.

Verder heeft Google helemaal niets te zeggen over mijn niet-Google OS. Want wat ze nu doen is dus zeggen dat dat niet veilig is, terwijl het in feite eigenlijk zelfs veiliger is.

En natuurlijk trek ik het in het belachelijke als dit soort grote bedrijven belachelijk doen. Er is totaal geen reden voor de Integrity API die eigenlijk gewoon een API is dat Google diensten forceert. Alles wat jij aankaart is verkoopspraat en heeft geen voet in de echte wereld.
Bor Coördinator Frontpage Admins / FP Powermod @kuurtjes • 22 juli 2026 11:59
Het feit is dat mensen een VW kopen waar hun device gewoon werkte, zonder problemen. En dat dat nu dus na de aankopen wordt aangepast. Dat moet eens gaan stoppen.
Met deze redenering kan een leverancier nooit iets aanpassen.
Verder heeft Google helemaal niets te zeggen over mijn niet-Google OS. Want wat ze nu doen is dus zeggen dat dat niet veilig is, terwijl het in feite eigenlijk zelfs veiliger is.
Dat zeggen ze niet. Je kan met je niet Google OS niet voldoen aan de integriteitscontroles gezien dat niet op jouw systeem draait; het ondersteund de hele check niet. Dat is wat anders dan zeggen dat het systeem niet veilig is (maar heeft in the end wel dezelfde consequentie). Dat is helaas het nadeel aan het gebruiken van een alternatief OS.
En natuurlijk trek ik het in het belachelijke als dit soort grote bedrijven belachelijk doen. Er is totaal geen reden voor de Integrity API die eigenlijk gewoon een API is dat Google diensten forceert.
Alles wat jij aankaart is verkoopspraat en heeft geen voet in de echte wereld.
Blijkbaar zien diverse bedrijven zoals de Rabobank en VW (en straks veel meer) dat toch echt anders. Integriteitscontroles zijn niet vreemd en worden bv in zakelijke omgevingen al heel erg lang uitgevoerd. Je ziet een verschuiving richting consumer devices waar dit soort zaken ook steeds meer gemeengoed worden, o.a. in de strijd tegen hacks, piracy etc.

[Reactie gewijzigd door Bor op 22 juli 2026 12:01]

Ik ga stoppen met op jouw te antwoorden want je herhaalt gewoon de marketing praat.
Als Volkswagen een fatsoenlijke API heeft gebouwd, dan ontsluit de app alleen toegang tot jouw auto. Hoe je die bedient zou verder niet van toepassing moeten zijn voor hun bedrijfsvoering.

Ik denk dat ze daar inderdaad een 'veiligheids'keuze hebben gemaakt. Dat ze op papier iets er aan doen dat iemands auto niet kan worden gestolen via een gehackte telefoon. En dat is opzich goed natuurlijk.

Maar deze API zegt gewoon heel weinig over de echte veiligheid. En voor hun doet dat er niet toe. Voor (bijvoorbeeld) ISO of NIS2 kan je zeggen dat je iets doet en een vinkje zetten.
Banken maken zich toch ook wel druk over of je een besturingssysteem gebruikt dat veiligheidsupdates ontvangt.

En logisch natuurlijk als heel veel klanten van een bank gehacked worden geeft dat reputatie schade en soms zelfs claims .
Zeker, en ik denk dat bij Volkswagen het dezelfde reden heeft. Je wilt niet bekend staan als de fabrikant wiens auto's via de app kunnen worden gestolen.

Echter is er genoeg af te dingen op deze API van Google dat het meer papieren veiligheid geeft dan iets anders. Dat is wel kwalijk. Samen met de andere API-beperkingen van volkswagen lijkt het sterk dat ze meer aandacht voor papieren veiligheid (moeilijk te gebruiken maken, obscurity) hebben dan een daadwerkelijk veilig systeem.
Nissan had een tijdje een probleem en was de app helemaal geblokkeerd. Het was ook wel vreemd dat je het nummer kon gebruiken om de app te activeren dat gewoon van buiten zichtbaar was.

Het is voor VW natuurlijk veel makkelijker om mee te liften op een controle van Google dan zelf aan de slag te gaan. En bedrijven gaan natuurlijk niet voor elke custom rom wat anders verzinnen.

De doelgroep is gewoon te klein
Er is niks flexibels aan het is een controle of je Google's Android gebruikt op een door Google goedgekeurde manier. Maw. een volledige afhankelijkheid aan Google voor het gebruik van de app. Maw. niks anders dan een vendor lock-in.
Bor Coördinator Frontpage Admins / FP Powermod @ShadLink • 22 juli 2026 11:20
Het is voor de ontwikkelaar zeker een flexibele manier. Die kan namelijk controles (laten) uitoefenen door een API aan te roepen en hoeft dit zelf verder niet te ontwikkelen, bij te houden, te fine tunen etc. Juist deze eigenschappen maken het voor producenten een flexibele manier om efficiënt bepaalde controles uit te oefenen. Zou men een product van een andere leverancier gebruiken om controles uit te oefenen dan had je daar een vendor lock-in. Ik denk niet dat het efficiënt mogelijk is zelf dit soort controles uit te voeren als app bouwer. Het is daarbij al snel een kosten-baten overweging; zelf doen vs mogelijk hoge investeringen of afnemen als dienst die je middels een API kan aanroepen.

[Reactie gewijzigd door Bor op 22 juli 2026 11:21]

Flexibel is niet het juiste woord. Simpel misschien wel. En daar zit een deel van het probleem.
Lekker dan. Om je Volkswagen op afstand te kunnen openen heb je een abonnement nodig die 149 euro per jaar kost. Dus nogal zuur als dat hierdoor niet meer gaat. Uiteraard weet ik niet of ergens in de kleine lettertjes staat dat het alleen op 'originele' Android versie moet draaien maar anders kun je de koop ontbinden lijkt me.
Met de Volkswagen-app heb je altijd toegang tot diverse functies van je auto, ook onderweg. Direct vanaf je smartphone. Download de app nu gratis via de App Store of Google Play.
Google Play wordt gebruikt voor de distributie van de app. Draai je Google Play op je telefoon, dan werkt de app.
Je moet toch alsnog naar je auto lopen om in te stappen dus waarom zou je daar zoveel geld voor betalen? En als die VAG apps nu eens stabiel werkten... op mijn Skoda had ik een half jaar de volledige functionaliteit op proef, maar heb het zelden kunnen gebruiken omdat het slecht werkte. Dus heb er nooit voor betaald, die kaart updates gewoon met en USB stick gedaan.

Met een elektrische auto dwingen ze je wel meer om te betalen vanwege het laden e.d. Maar mijn huidige auto bied dit gelukkig gewoon kosteloos aan (zoals het hoort).
Je kunt er iets meer mee dan je auto van het slot halen (of juist op slot zetten, als je dat vergeten bent). Zo kan je ook je airco/voorverwarming aanzetten, wel zo fijn als je tijdens het ontbijt ziet: Fuck, nachtvorst gehad, de ruiten zijn nu vast bevroren.

Of zien/melding krijgen dat de auto vol zit, qua laadsessie. Of. zoals ik het gebruikte: Start met auto opladen zodra de zonnepanelen meer dan 1kW aan surplus vermogen hebben, en doe dat op lage snelheid (5 Ampere). Verhoog de snelheid naar 10 of 16Ampere bij groter stroomoverschot. Beetje uitgebreide use-case misschien, maar het is (was?) echt wel een handige integratie in HomeAssistant.
Volgens Google controleert de Play Integrity-api of de integriteit van een telefoon niet is aangetast.
Wat gaat Google eigenlijk lopen beslissen over de integriteit van mijn toestel? Waarom mogen zij zeggen dat alternatieve OSen zogezegd minder veilig zijn?
Bor Coördinator Frontpage Admins / FP Powermod @kuurtjes • 22 juli 2026 11:47
Waarom mogen zij zeggen dat alternatieve OSen zogezegd minder veilig zijn?
Dat zeggen ze dan ook niet. Ze bieden een dienst aan die controles uitvoert. Dat systeem werkt niet op alternatieve OSsen. Maakt dat het systeem in kwestie minder veilig? Dat kan je niet zo stellen vind ik. Je kan echter niet de applicatie gebruiken die bepaalde eisen stelt.
Het wordt volledig geïmpliceert, dus eigenlijk zeggen ze dat wel.
Het is niet normaal dat sommige bedrijven en overheden je verplichten om een contract met Google/Alphabet te tekenen.
(Ik vind dat ook heel dom, maar dat is een andere zaak.)
Als je dit bij aanschaf al weet kun je een keuze maken. Als het achteraf wordt aangepast zou er een zeer ruime vergoeding tegenover moeten staan. Iets dat de EU in wetgeving zou moeten afdwingen.
Sowieso vind ik dat een bank, die wettelijk verplicht is om basisdienstverlening te leveren, dat niet zo mogen vragen. Dat ze hun apk's zelf beschikbaar stellen via hun website.

Om te kunnen reageren moet je ingelogd zijn