自分たちで国を運営できるほどの人数はいるのかな？ちょっとバカみたいに感じるけど、これは真剣な質問だよ。

そのサービスの別コピーを作るっていう主張もあるんじゃない？確かに、銀行や政府とのやり取りでは現実的じゃないけど、他の多くのことではそうじゃない？何かを作るための作業は依然として必要だから、コストは少ない肩に分散されるし、広告技術を構築する必要がない分、複雑さが減るから、結局はもっと高くつくと思うけど、質の高い食べ物みたいなもんだね。ハードウェアはもっと難しいだろうけど。

そうだね、特定のタスクには承認されたデバイスが必要だけど、複数のデバイスを持つことはできるよ。銀行やNetflix用に承認されたデバイスを使って、他のタスクには好きなデバイスを使えばいい。もしかしたら、承認されたデバイス（Yubikeyとか）を使って他のデバイスを認証することもできるかも？それに、政府はもっと多くのデバイスを承認するように圧力をかけるべきだね。

個人的には、「役に立つセキュリティ機能を提供しない」という主張は削除した方がいいと思う。たとえそれが本当でも、GoogleやApple以外のOSを二流扱いすることによる collateral damage が残るのが問題なんだよね。

これは役に立たないよ。SOCのシリコンは、電源オンからセキュアブートのハンドオフオペコードまで、実行された各命令を記録するように修正できるし、状態やオーバーフロー、署名を問い合わせるためのさまざまなサポートオペコードもあるから、OSは自分の証明を開発する過程で、ブート前の改ざんを暗黙的に報告することになる。

「初期ブートローダーを出荷するのを違法にすればいい」って、他人に自分の意志を押し付けられるのが嫌なら、自分も他人に押し付けるのが解決策だと思ってるの？

実際にIDが必要な場所は本当に少ないから、そんなシステムを作る価値はないと思う（それに、ポルノやソーシャルネットワークは絶対に有効なユースケースじゃない）。解決策を求めている問題だよ。

それに、責任も必要だよね。誰かのデータが失われるたびに、そのデータを失った会社は責任を取らなきゃいけない。彼らは私たちに多額の賠償金を支払うべきだし、経営者や取締役は刑務所に入るべきだよ。無罪放免はなし。そうすれば、彼らが本当に私たちの情報を常に集めたいのかがわかる。今は、責任を問われないから無責任に扱ってるんだ。

監査可能な（ソースが公開されていて、再現可能なビルド、ファームウェアのチェックサムがLCDチップ上にある）バイオメトリクスブースを展開するだけで、正規化されたバイオメトリクス入力からプライベートキーを生成して、それを使ってポータブルなアイデンティティキーを生成・署名すればいい。ほとんどの人は指紋や網膜パターンを持ってるから、それだけで12の署名が得られる。これにより、再生した指先などの厳しいバイオメトリクスイベントでも継続性が保たれる。既存のドットコムやビットコインの億万長者が支援すれば、非営利のビジネスがこれを実現できるかもしれない。でも、彼らはみんな利益を求めるだろうから、非営利（NGO）か政府のものになるだろうね。面白いことに、これはすでにUSPSのコア機能なんだ。彼らはアメリカのパスポートやインフォームドデリバリー、POボックスサービスのためのアイデンティティ確認ハブとして機能してる。彼らはアイデンティティ生成ブースではなく、人間依存のプロセスを持ってるだけなんだ。だから、彼らはあなたのIDを取り、認証リクエストのQRコードを渡し、それにあなたのアイデンティティ署名をもらうことができる。署名からあなたのバイオメトリクスを逆算することはできないけど、他の誰かが将来の認証であなたになりすまそうとしたときに大きな違いを検出できる。まあ、これが実現することはなさそうだけど、金持ちのテック系の人たちが本気を出せばいつでも実現できるんだよね。それなのに、私たちが手に入れるのは、監査可能な証拠やハードウェアなしで利益を追求するTHE ORBだけ。ため息。

銀行や政府のアプリがセキュリティのために認証されたデバイスを必要とするのは別の話だけど、もしその認証がユーザーのデバイスにGoogleのスパイウェアがプリインストールされていることを証明するものだったら、話は変わるよね。Googleはセキュリティに基づいてデバイスを認証してないから、そんな認証は銀行や政府のアプリには必要ないと思う。そうじゃないと、二重独占を強化するだけだよ。

私がスレッドから受け取ったのは、彼らは一般的に認証を強制するサービスに反対していて、Play Integrityはセキュリティのためではなく、むしろコントロールのためのものだってこと。GoogleはグラフェンOSと簡単に連携できるのに、それをしないってことだね。

以前、誰かが自分の認証プロジェクトデータベースを作ろうとして、めっちゃ怒ってたスレがあったよね（要するに、既知のAndroidビルドとその署名のリスト）。彼らはアプリに自分たちの署名ハッシュを手動で追加させたいみたいで、データベースや証明書機関として機能するプロジェクトには参加したくないみたい。

私の印象では、彼らはアプリやウェブサイトでのリモート認証に反対してるみたいで、もしアプリが本当にそれをやりたいなら、AOSPが提供してる認証APIを使うべきだと思う。AOSPの認証APIは、GrapheneOSのような署名キーのフィンガープリントを信頼できるようにしてるから、認証システムが一つの会社（Google）に支配されることはないんだ。Google Play Integrityの最も問題なのは、スレッドが指摘しているように、Googleが既知のセキュリティホールだらけのデバイスを通過させる一方で、最も安全なモバイルOSである可能性が高いものを許可しないこと。これは、競合を排除する手段として使ってるだけで、AndroidデバイスメーカーをGoogleのソフトウェア（Chromeなど）を事前にインストールさせるようにコントロールしてるってことを示してる。私は法律の専門家じゃないけど、反競争法の弁護士や機関がこれを取り上げるべきだと思うけど、誰も気にしてないみたい。さらに悪いことに、EUは主権について話してるのに、Play Integrityに基づいた年齢確認アプリを自分たちのものに追加してる。GrapheneOSを使ってないEU市民にも、この反競争行為についてDMAの苦情を提出することをおすすめするよ：https://digital-markets-act.ec.europa.eu/contact-us-eu-citiz... それに、これが話題になるたびに、関連するEU機関や委員、あなたの政府の代表にMastodonで言及するのも忘れずに。

OPはすでに存在するオープンモバイルOSの人で、メーカーと契約も結んでる。問題はOSを作ることじゃなくて、技術的な問題でもない。これは政治的な問題なんだよ。