Volkswagen bắt đầu chặn người dùng GrapheneOS
(discuss.grapheneos.org)- Người dùng GrapheneOS đang gặp lỗi đăng nhập thất bại và lỗi kết nối máy chủ trên ứng dụng Volkswagen; cũng có trường hợp cùng một tài khoản vẫn hoạt động trên Android gốc hoặc iPhone
- GrapheneOS phát hiện ứng dụng Volkswagen sử dụng Play Integrity API, và ứng dụng My SEAT cũng được chia sẻ là có hiện tượng tương tự: bị chặn trên GrapheneOS sau khi thực hiện Device Integrity Check
- Volkswagen Digital Services trả lời rằng custom ROM như GrapheneOS hoặc LineageOS không nằm trong phạm vi hỗ trợ, và họ không thể cung cấp hỗ trợ kỹ thuật cho các giới hạn chức năng trong những môi trường đó
- Các nỗ lực lách như cài lại Play Store, Sandboxed Google Play, cấp quyền cho Play Services, đăng nhập tài khoản Google, hoặc bật Exploit protection compatibility mode cho kết quả khác nhau tùy người dùng
- Việc các tính năng điều khiển xe từ xa qua ứng dụng bị ràng buộc vào chính sách chứng thực hệ điều hành đang làm dấy lên lo ngại rằng quyền truy cập vào các dịch vụ vốn đã được cung cấp có thể bị cắt, dẫn tới thảo luận trên đánh giá Play Store, liên hệ bộ phận hỗ trợ và cả khả năng khiếu nại tại EU
Sự cố đăng nhập ứng dụng Volkswagen trên GrapheneOS
- Nhiều người dùng gặp đăng nhập thất bại hoặc lỗi kết nối máy chủ trên ứng dụng Volkswagen
- Thông báo lỗi có dạng: “Không thể kết nối với máy chủ”, “Tài khoản của bạn có thể chưa cho phép kết nối”, “Đăng nhập thất bại”, hoặc “Hãy cập nhật ứng dụng hoặc cài lại từ cửa hàng ứng dụng trên điện thoại”
- Một người dùng cho biết sự cố xảy ra trên ứng dụng Volkswagen phiên bản 3.61.0, tên gói
com.volkswagen.weconnect
- Cũng có trường hợp cùng một tài khoản hoặc dịch vụ vẫn hoạt động bình thường trên thiết bị khác
- Một người dùng nói rằng ứng dụng không hoạt động trên GrapheneOS nhưng lại hoạt động trên thiết bị Android gốc
- Cũng có chia sẻ rằng iPhone hoặc iPhone đời cũ vẫn dùng được bình thường
- Một trong những phản hồi ban đầu từ phía Volkswagen là có sự cố hệ thống ảnh hưởng đến đăng nhập ứng dụng, và người dùng nên thử xóa rồi cài lại ứng dụng
- Sau đó, một số người dùng nói rằng ứng dụng hoạt động trở lại, nhưng những người khác vẫn tiếp tục thất bại
Play Integrity API và việc loại khỏi diện hỗ trợ
- Một người dùng chia sẻ rằng GrapheneOS đã thông báo “Volkswagen used the Play Integrity API”
- Ban đầu người này viết là “Pay Integrity API”, sau đó sửa lại thành “Play, not Pay”
- Ứng dụng My SEAT cũng cho thấy diễn biến tương tự
- My SEAT App V2.17 yêu cầu cập nhật, còn V2.18 cũng được nói là không hoạt động
- Ứng dụng hiển thị “App is under maintenance”, nhưng GrapheneOS thông báo rằng ứng dụng này sử dụng Device Integrity Check
- Người dùng cho rằng kiểm tra này đang thất bại theo cách tương tự ứng dụng Volkswagen
- Dịch vụ điều khiển từ xa qua ứng dụng của SEAT Mii được miễn phí trong 10 năm, nên cũng có ý kiến cho rằng tác động nhỏ hơn so với trường hợp dịch vụ trả phí bị chặn
- Một người dùng so sánh rằng ở nước họ chỉ có một ứng dụng ngân hàng dùng Play Integrity API, và ứng dụng đó vẫn hoạt động trên GrapheneOS nếu có Google Play và Google Play Services
Các cách lách và kết quả trái chiều
- Một số người dùng cho biết ứng dụng Volkswagen hoạt động trở lại sau khi cài trực tiếp từ Play Store và cập nhật GrapheneOS
- Xóa bản cài từ Aurora Store
- Cài mới từ Play Store
- Áp dụng bản cập nhật GrapheneOS
- Đăng nhập vào ứng dụng khi Play Services đang bật
- Xác nhận ứng dụng hoạt động sau cả khi nhập mã PIN của ứng dụng
- Sau đó, ngay cả khi tắt Play Services, màn hình chính vẫn hiển thị trạng thái khóa cửa, điều hòa đã tắt và vị trí gần đúng
- Cũng có trải nghiệm cho thấy ứng dụng Volkswagen hoạt động trong môi trường Sandboxed Google Play nhưng không ổn định
- Dữ liệu không được tải lên hoặc thường xuyên hiện “Unfortunately your data could not be loaded.”
- Cùng người dùng đó nói thêm rằng trên iPhone cũ thì ứng dụng vẫn hoạt động bình thường
- Có báo cáo rằng sau khi cấp quyền Contacts and accounts cho Play Services thì dữ liệu có vẻ tải lại được
- Từ đó xuất hiện suy đoán rằng Volkswagen có thể đang kiểm tra xem thiết bị có đăng nhập tài khoản Google hay không
- Cũng có ý kiến cho rằng Google Contacts Sync trong Google Services có thể cần thiết, nhưng không chắc chắn 100%
- Tuy nhiên, cùng một cách không hiệu quả với tất cả mọi người
- Có trường hợp vẫn gặp cùng lỗi dù đã cấp quyền cho Play Services và đăng nhập tài khoản Google
- Cũng có báo cáo rằng bật Exploit protection compatibility mode không giúp ích gì
- Vẫn còn trường hợp ứng dụng không hoạt động dù đã có Play Services và bản cập nhật GrapheneOS mới nhất
- Một người dùng cho biết trước đây ứng dụng hoạt động tốt, nhưng sau khi bị đăng xuất vào một thời điểm nào đó thì không còn cách nào đăng nhập lại
Phản hồi chính thức của Volkswagen và phản ứng của người dùng
- Volkswagen Digital Services trả lời rằng họ chỉ hỗ trợ sử dụng ứng dụng Volkswagen trên thiết bị iOS và các phiên bản hệ điều hành Android được hỗ trợ
- Các thiết bị cài hệ điều hành thay thế không nằm trong môi trường được Volkswagen AG hỗ trợ cho ứng dụng
- Các ví dụ được nêu rõ gồm GrapheneOS, LineageOS và các custom ROM tương tự
- Trong những môi trường như vậy có thể xảy ra giới hạn chức năng hoặc thiếu chức năng
- Volkswagen cho biết họ không thể cung cấp hỗ trợ kỹ thuật trong các trường hợp như thế
- Volkswagen giải thích rằng để sử dụng ổn định và an toàn các dịch vụ số, ứng dụng phụ thuộc vào các thành phần hệ thống liên quan đến bảo mật và các tiêu chuẩn Android đã được chứng thực
- Một người dùng khác cho biết bộ phận hỗ trợ của Volkswagen đã hướng dẫn kiểm tra xem thiết bị có Play Protect certified hay không
- Đường dẫn kiểm tra được hướng dẫn là Play Store > biểu tượng hồ sơ > Settings > About
- Thiết bị GrapheneOS được nói là hiển thị không được chứng nhận
- Cũng có chia sẻ rằng tài liệu trợ giúp của Google về thiết bị không được chứng nhận về cơ bản hướng dẫn người dùng flash lại bản dựng Android có chữ ký nhà sản xuất vốn được cài sẵn ban đầu
- Người dùng đặt câu hỏi về tính nhất quán giữa lập luận “bảo mật” của Volkswagen và việc vẫn cho phép các thiết bị Android 10 cũ
- Một người dùng đã chia sẻ bản nháp phản hồi nói rằng ứng dụng VW Connect vẫn hoạt động bình thường trên thiết bị dự phòng chạy Android 10 kém an toàn hơn
- Cũng có ý kiến rằng Android Hardware Attestation API có thể đáp ứng các yêu cầu về tính bí mật và tính toàn vẹn của thiết bị đầu cuối khách hàng
- Một phản hồi khác cho rằng việc dùng Google làm bên gác cổng duy nhất là không phù hợp với cam kết chủ quyền số của Volkswagen
Đánh giá, yêu cầu hỗ trợ và thảo luận khiếu nại
- Người dùng đề xuất gửi email cho bộ phận hỗ trợ của Volkswagen hoặc SEAT, đồng thời để lại đánh giá trên Play Store về vấn đề này
- Địa chỉ liên hệ hỗ trợ của Volkswagen được chia sẻ là
connect-support@volkswagen.de - Cũng có ý kiến cho biết đã có nhiều đánh giá ứng dụng Volkswagen nhắc đến vấn đề với GrapheneOS
- Địa chỉ liên hệ hỗ trợ của Volkswagen được chia sẻ là
- Một số người dùng thậm chí đã hủy hợp đồng phần mềm
- Lý do hủy là ứng dụng Android không hoạt động
- Phương án khiếu nại lên Ủy ban châu Âu cũng được đem ra thảo luận
- Một người dùng viết rằng bản nháp đơn khiếu nại do Google AI tạo ra có nhắc đến EU Data Act, khả năng tương tác và vi phạm công bằng số
- Người dùng khác hỏi nên gửi thư khiếu nại tới đâu
- Các ý kiến hoài nghi về chính ứng dụng xe hơi cũng tiếp tục xuất hiện
- Một người dùng chỉ ra rằng xe hiện đại có thể báo cáo lượng lớn dữ liệu telemetry cho nhà sản xuất, đại lý và bên thứ ba thông qua modem di động
- Họ cho rằng việc kết nối điện thoại với xe chỉ tạo thêm một đường rò rỉ dữ liệu nữa
- Như một trường hợp liên quan, cũng có báo cáo rằng ứng dụng MyHyundai bắt đầu bị crash ngay khi khởi động từ v1.1.5 trở đi và vẫn hoạt động trên điện thoại khác, nhưng mối liên hệ với vấn đề của Volkswagen chưa được xác nhận
1 bình luận
Ý kiến trên Hacker News
Thật đáng kinh ngạc khi Volkswagen cứ liên tục làm hỏng mọi thứ
Tôi đang tìm hiểu để mua một xe điện, và vì nhiều lý do thì các hãng thuộc Volkswagen từng là lựa chọn số một. Đặc biệt là vì họ triển khai hỗ trợ lái khá tốt
Ba tuần trước tôi đã xin báo giá từ đại lý và định đặt hàng, nhưng API dùng để tích hợp với cộng đồng đã bị tắt nên tôi quyết định chờ xem. Giờ thì vì tôi là người dùng GrapheneOS nên tôi hoàn toàn từ bỏ kế hoạch mua xe
Tôi không hiểu vì sao Volkswagen lại đưa ra quyết định như vậy. Gần như chẳng tốn bao nhiêu để không chặn API không chính thức và cũng không chặn người dùng GrapheneOS hay Android không được Play Protect chứng nhận, lại không gây ảnh hưởng xấu đến người dùng phổ thông, đồng thời còn có thể giành được sự ủng hộ và nhiệt tình của nhóm người dùng nâng cao để tạo khác biệt với các thương hiệu khác. Ngay từ đầu thì dữ liệu đó là dữ liệu của người dùng
Họ luôn nhìn mọi thứ trước tiên từ góc độ trách nhiệm pháp lý và tuân thủ quy định. Kiểu như nếu ai đó chạy ứng dụng trên ROM tùy biến, sửa ứng dụng rồi gây ra một thiệt hại cực kỳ giả định nào đó, thì họ cho rằng mình có thể phải chịu trách nhiệm vì đã không ngăn được tình huống ấy
Khả năng thực tế thì gần như bằng 0, nhưng thay vì chấp nhận ngay cả rủi ro nhỏ bé đó, họ chọn làm cho sản phẩm trở nên tệ hơn. Các tập đoàn lớn của Đức nói chung thường vận hành như vậy
Nhưng VW cứ lặp đi lặp lại hết sai lầm này đến sai lầm khác. Họ thu thập những thông tin lẽ ra không nên thu thập, rồi còn để lộ cả những thông tin không nên phơi ra trước hacker vì các thực hành bảo mật lỏng lẻo
Giờ còn thêm cả chuyện chặn GrapheneOS, nên khả năng VW bán cho tôi thêm một chiếc ‘Dub’ nữa gần như bằng không
Lần này tôi muốn ủng hộ ngành công nghiệp địa phương và mua sản phẩm châu Âu, nhưng họ đang tự làm mọi thứ khó hơn một cách quá mức. Còn Stellantis thì đừng nhắc tới
Đáng buồn là đây vẫn chưa phải tất cả. Điều VW làm là khóa hẳn API với mọi thứ không có chứng nhận Play Protect
Vì thế những tính năng rất hay từng có thể làm được nhờ các dự án do cộng đồng dẫn dắt nay đều bị chặn
“Ứng dụng” do VW cung cấp thì 60% là quảng cáo, 30% là chức năng, và tôi thực lòng thích dùng kết nối Home Assistant cho mọi tác vụ hơn. Các tự động hóa như “thời điểm làm ấm xe” cũng dễ làm từ bên ngoài hơn và trực quan hơn so với tính năng mặc định
Điều này cũng có nghĩa là phía xe giờ không thể tự động hóa điều khiển sạc nữa
Có thể nói là “điều này chưa từng được hứa hẹn chính thức”, nhưng với một số người dùng, trong đó có tôi, API có trả phí chính là một điểm khiến chúng tôi mua xe
Tôi ước Apple sẽ làm một ứng dụng “Cars” kiểu như ứng dụng “Watch” để tiêu chuẩn hóa chuyện này
Nếu đủ nhiều người cùng làm thì có thể tạo ra khác biệt. Nếu dùng các từ khóa như kịch nghệ bảo mật, nói dối, vị thế độc quyền của Google, phản cạnh tranh cho những mối lo chính đáng, thì phản hồi của họ cũng sẽ thận trọng hơn và đơn gửi lên cơ quan quản lý cũng có thêm trọng lượng
Tôi mong Iroh networking sớm trở thành tiêu chuẩn
https://www.iroh.computer/
Họ đã làm hỏng nó, nên hoặc phải sửa lại hoặc phải bồi thường đúng với giá trị bị mất
Tôi đang dần rời xa mọi nhà cung cấp dịch vụ bắt người dùng phải có ứng dụng phụ thuộc vào Play Services mới dùng được dịch vụ của họ. Chỉ có điều đổi xe thì khó hơn rất nhiều
Chỉ cần lái xe thuê ở Đức là đủ khiến người ta muốn cổ vũ cho sự phá sản đang tiếp diễn của ngành ô tô Đức. Giờ cần một cuộc làm lại hoàn toàn
Điều còn buồn hơn là luật EU bắt buộc phải có modem trên xe và các thiết bị hỗ trợ lái mang tính xâm nhập, vốn trên thực tế liên tục kéo sự chú ý khỏi con đường và làm việc lái xe kém an toàn hơn
Trừ khi có một cuộc làm lại lớn hơn ở cấp độ chính trị - xã hội, còn không thì rất khó kỳ vọng ở châu Âu sẽ có được ít nhất là những chiếc xe tử tế trong tương lai gần
[1] https://www.youtube.com/watch?v=f-S76WEl25k
Điều này không có nghĩa là modem phải bị bắt buộc hay người dùng không được quyền kiểm soát. Nhưng việc mặc định buộc các hãng xe muốn gắn modem thì phải có gọi khẩn cấp tự động cũng có vẻ khá hợp lý
Cách hợp lý hơn nữa có lẽ là không làm gì cả cho đến khi người dùng cho phép, và chỉ kích hoạt khi phát hiện va chạm… nhưng lợi nhuận mới là vấn đề
Đừng bắt đầu nói về các tính năng hỗ trợ của Toyota hay Hyundai. Nhân tiện, chiếc xe trong video được liên kết là Toyota
Cách tốt nhất để tắt âm thanh đó là cứ tiếp tục chạy quá tốc độ hoặc chạy thấp hơn hẳn giới hạn trong thời gian dài
Hỗ trợ giữ làn thì lỗi và nguy hiểm, hỗ trợ đèn pha tự động cũng nguy hiểm, còn kiểm soát hành trình tự động cũng nguy hiểm
Cả phát hiện/tránh va chạm cũng nguy hiểm vì ở những khu vực hẹp và nhiều công trình của Anh, nó khá thường xuyên đoán nhầm rằng sắp va chạm. Tính năng nhận diện biển báo tốc độ cũng hỏng nốt
Ngay cả gạt mưa tự động, dù đã qua nhiều năm, vẫn còn rất xa mới đạt mức hoàn hảo. Đáng lẽ họ phải chứng minh được thứ đó trước khi giao cho nó những chức năng quan trọng hơn
Không rõ sẽ có bao nhiêu người làm vậy, nhưng nếu Anh cấm VPN thì Graphene có thể trở thành mục tiêu lớn
Chỉ cần mua một chiếc Pixel, cài Graphene, dùng FDroid, không đăng ký Google Play rồi tải Tor Browser
Khi đó có thể truy cập Internet chống kiểm duyệt mà không phải giao nộp giấy tờ tùy thân
Điều thú vị là Pixel là dòng điện thoại khá phổ biến ở Anh. Nếu phải mua một thiết bị quá ngách thì khó có thể có hơn vài trăm người dùng, nhưng ở Anh có thể đang có khoảng 100.000 máy Pixel và vẫn có thể mua về để cài Graphene
Sức ép lên Internet tự do ở Anh đã tăng rất nhanh. Đã có nhiều năm thờ ơ không thể chốt các biện pháp bảo vệ thành luật, nhưng một khi họ bắt đầu hành động thì họ thúc rất mạnh với tốc độ cực nhanh
Thực tế là chúng ta đang lao rất nhanh tới một tương lai trong đó việc dùng Internet bị gắn với giấy tờ tùy thân. Cần tạo lối thoát khi còn có thể
Vấn đề thật sự là phần mềm. Nếu chính phủ bắt buộc các dịch vụ trực tuyến phải dùng API chứng thực độc quyền, thì người dùng Linux phải làm sao
Điều đáng sợ là các lệnh cấm đang tiến triển nhanh đến vậy. Vấn đề lớn hơn là bước tiếp theo. Khi họ nhận ra cấm đoán thực ra không hiệu quả lắm, bước kế tiếp hợp logic sẽ là siết mạnh lưu lượng Internet
Có nguồn nói một quan chức cảnh sát phụ trách trấn áp ma túy ở Catalonia đã phát biểu rằng: “Mỗi khi thấy Google Pixel, tôi nghi đó có thể là điện thoại của dân buôn ma túy”
Có vẻ một số quốc gia hoặc khu vực đã bắt đầu nhắm vào Pixel. Lý do thực sự là GrapheneOS
Không nên dùng điện thoại làm thiết bị giải trí chính
Nên có hai điện thoại. Một cái là điện thoại dùng thật, cái còn lại là điện thoại dành cho “cảnh sát và ngân hàng”
Rõ ràng có giá trị ở chỗ đăng ký càng nhiều dịch vụ càng tốt, để sau này vẫn được giữ tư cách người dùng cũ trước khi gọng kìm siết chặt hơn
Tôi cực ghét điều này ngoài đời thực. Home Depot gắn camera Flock và triển khai nhận diện khuôn mặt diện rộng, còn cửa hàng tạp hóa thì lắp cổng xoay; từ đó tôi không bước chân vào cả hai nữa. Tôi đang tiếp tục rút lui khỏi nền kinh tế bán lẻ ngoài đời
Tôi hỏi thật. Tôi đang ở Anh mà đây là lần đầu nghe tin này
Việc VW chặn truy cập máy chủ của bên thứ ba đã là vấn đề, nhưng điều gây sốc hơn là để lấy được dữ liệu sạc thì lại phải truy cập máy chủ của VW
Loại dữ liệu này lẽ ra phải được xe cung cấp trực tiếp ngay tại chỗ
Car Scanner Pro và ABRP (A Better Route Planner) rất được người dùng xe điện ưa chuộng đúng cho mục đích này, và cả hai đều hỗ trợ xe điện của VW
Chúng đọc OBD tiêu chuẩn và các ID chẩn đoán độc quyền của nhà sản xuất qua cổng OBD để lấy trạng thái vận hành như mức sạc pin, điện áp, nhiệt độ, tốc độ, mức tiêu thụ, rồi thực hiện lại phần tổng hợp và tính toán mà VW đang làm ở phía máy chủ
Google Play đã là gánh nặng lớn đối với đổi mới và bảo mật của hệ sinh thái di động
Tôi thậm chí còn mong AI sẽ giết chết hệ sinh thái ứng dụng di động, để đến lúc mọi nhà sản xuất điện thoại đều đóng gói sẵn hệ thống “tự tạo app bằng vibe coding” trên thiết bị của mình và thế độc quyền của Google Play bị phá vỡ
Có thể rồi sẽ thành trạng thái ai cũng tự nấu bữa ăn của mình, tức là tự làm ứng dụng bằng vibe coding, và chỉ thỉnh thoảng mới ra ngoài ăn, tức là dùng cửa hàng ứng dụng chính thức
Bảng tính cũng tương tự. Nó làm được khá nhiều việc, nhưng đa số mọi người vẫn mua và dùng phần mềm đóng
Bài này khiến tôi nhớ đến: https://www.robinsloan.com/notes/home-cooked-app/
Trên các nền tảng đó, dữ liệu của tôi có thể bị dùng chống lại tôi, và dù thiết bị có thể ghi âm 24/7 thì cũng không có biện pháp khắc phục thực chất nào để bảo đảm quyền riêng tư
Chẳng lẽ không ai lường trước được chuyện này, hay là mọi người đã quá dễ bị Facebook ôm rồi đâm sau lưng
Nếu đây là lý do để bỏ ý định mua thì cũng nên tránh cả KIA
Ứng dụng KIA Connect cũng không chạy được trên GrapheneOS do dùng NSHC DxShield
[1] https://en.nshc.net/
VW có biến mất thì tôi cũng không tiếc
Xe hơi vốn không phải là máy tính gắn bánh xe
Tôi đã mua một chiếc Suzuki đời 2025, số sàn, không có cập nhật firmware và không có kết nối Internet. GrapheneOS Android Auto chỉ dùng được khi điện thoại kết nối với xe
Thật lạ là đến năm 2026 các công ty vẫn còn mắc những sai lầm tệ như thế này
Khi liên hệ hỗ trợ của Volkswagen, tốt hơn là đừng chỉ ghi hệ điều hành là “GrapheneOS”
Tôi rất khuyến nghị dùng một trong các cách gọi Android, “Android (GrapheneOS)”, hoặc “GrapheneOS Android”
Nếu chỉ ghi “GrapheneOS”, VW sẽ rất dễ trả lời rằng họ không hỗ trợ hệ điều hành đó
Những ứng dụng kiểu này cần có API công khai và cho phép người dùng tự tạo frontend riêng dựa trên API đó
Khi đó cũng sẽ có thể xuất hiện các phiên bản ứng dụng coi trọng quyền riêng tư hơn
Có lẽ sẽ không có quy định như vậy áp dụng cả với ứng dụng miễn phí. Vì việc kiểm soát trải nghiệm phía client là yếu tố cốt lõi giúp có thể cung cấp miễn phí
Cũng vì thế mà nhiều ứng dụng miễn phí không có gói trả phí: bản thân những người sẵn sàng trả tiền thường là nhóm cốt lõi cần thiết để bù chéo cho tệp người dùng kém hấp dẫn hơn, qua đó giữ được lợi nhuận tổng thể
Không phải nói cấu trúc này là điều đáng mong muốn, nhưng một khi có server tham gia thì không thể bỏ qua tính kinh tế của việc duy trì endpoint đó
Lý tưởng nhất là có cấu trúc liên hợp để xe hoặc thiết bị có thể được trỏ tới endpoint do người dùng tự vận hành, nhưng điều đó cũng tốn kém. Việc duy trì phần mềm mà client và server do cùng một chủ thể kiểm soát dễ hơn rất nhiều so với trường hợp ngược lại
Và luật này được viết xoay quanh hệ thống infotainment, tức là radio