GrapheneOS: טלפון שלא מעיד נגדך

רוב העצות לפרטיות מבקשות ממך לשנות הגדרה. זו מבקשת ממך להחליף את מערכת ההפעלה בטלפון שלך. זו בקשה אמיתית, ולכן המדריך הזה מקדיש זמן רב לא פחות למה שאתה מוותר עליו מאשר למה שאתה מרוויח, והוא אומר לך בפשטות מתי התשובה היא אל תטרח.

01מה זה בעצם מתקן

קל לפרט תכונות. שימושי יותר להתחיל מארבע הדרכים שבהן טלפון מסבך אנשים בצרות, ולראות מה עונה לכל אחת מהן.

איום: הטלפון נלקח ממך

במחסום, בפשיטה, בגבול. כלי חילוץ פורנזיים הנמכרים למשטרה ולשירותי מודיעין ברחבי העולם פועלים במיטבם נגד טלפון שמופעל ושוחרר לפחות פעם אחת מאז האתחול, במצב זה חלק גדול מהנתונים שלך כבר מפוענח בזיכרון ולמערכת ההפעלה יש משטח תקיפה גדול בהרבה חשוף. טלפון שאותחל מחדש וטרם שוחרר הוא מטרה קשה בהרבה: מפתחות ההצפנה פשוט אינם שם.

GrapheneOS תוקפת זאת ישירות:

• אתחול אוטומטי. אם הטלפון אינו משוחרר לפרק זמן מוגדר, הוא מאתחל את עצמו חזרה למצב המאובטח-במידה הרבה הזו שלפני השחרור. ניתן להגדרה, וניתן להגדירו לקצר כעשר דקות. טלפון שהוחרם בבוקר ונלקח למעבדה אחר הצהריים מגיע קר.
• קוד PIN לעת מצוקה. אתה מגדיר קוד PIN או סיסמה שנייה. הזנתו נראית כמו ניסיון שחרור רגיל ובמקום זאת מוחקת את המכשיר באופן בלתי הפיך — מחיצת הנתונים וה-eSIM-ים, על ידי השמדת המפתחות. זה עובד ממסך הנעילה ומכל מקום שבו המכשיר מבקש את האישורים שלך.
• שליטה ביציאת USB. ניתן להגביל את היציאה לטעינה בלבד, או להשבית אותה לחלוטין, בזמן שהמכשיר נעול. כלים פורנזיים מגיעים בדרך כלל דרך USB.
• ערבוב קוד PIN ומלכודות ללא גיבוי טביעת אצבע. ניתן לערבב את פריסת לוח המקשים כך שמי שמציץ מעבר לכתף או מצלמה בתקרה לא יוכלו ללמוד את קוד ה-PIN שלך, והטיפול בניסיונות כושלים מחמיר יותר מאשר ב-Android המקורי.

איום: האפליקציות בטלפון שלך

ב-Android המקורי אפליקציה שיכולה לקרוא את האחסון שלך יכולה לקרוא את כולו. אפליקציה עם הרשאת אנשי קשר לוקחת את כל הגרף החברתי שלך. וכל אפליקציה שמותקנת מקבלת גישה לאינטרנט אוטומטית — ל-Android מעולם לא הייתה הרשאה לסרב לכך.

• הרשאת רשת. GrapheneOS מוסיפה אחת. אתה יכול להתקין אפליקציה ופשוט לא לתת לה לדבר עם האינטרנט, אפליקציית מצלמה, קורא PDF, מנקה מטא-נתונים, מפה לא מקוונת. מתג בודד זה הורג את רוב הטלמטריה outright.
• הרשאת חיישנים. חוסמת את מד התאוצה, הגירוסקופ, המצפן, הברומטר וחיישנים אחרים שאנדרואיד חושפת ללא כל הרשאה. חיישנים אלה מספיקים כדי ליצור טביעת אצבע של מכשיר, ולפי מחקרים שפורסמו, גם כדי להסיק הקלדה ותנועה.
• היקפי אחסון. במקום לסרב לתת לאפליקציה גישה לאחסון ולראות אותה נשברת, אתה אומר לה שהאחסון ריק, ואז מעניק קבצים או תיקיות בודדים. האפליקציה מאמינה שיש לה גישה מלאה ורואה רק את מה שבחרת.
• היקפי אנשי קשר. אותו טריק לאנשי הקשר שלך. אפליקציית הודעות יכולה לראות בדיוק שלושה אנשים במקום את כל ספר הכתובות שלך.

איום: גוגל עצמה

בטלפון אנדרואיד סטנדרטי, שירותי Google Play פועלים עם גישה מורשית נרחבת המוטמעת במערכת ההפעלה. לא ניתן להסיר, להגביל או לבקר אותם באופן משמעותי, והם מהווים יעד לגישה חוקית — גוגל מקבלת ועונה לבקשות geofence ובקשות חשבון.

GrapheneOS מגיע ללא שום קוד של גוגל. אם אתה צריך את Play Store, אתה יכול להתקין Google Play בארגז חול: אפליקציות גוגל הרגילות, פועלות כאפליקציה רגילה ללא הרשאות מיוחדות בכל פרופיל שתבחר, כפופות לכל ההרשאות שלעיל, כולל מתג הרשת. רוב האפליקציות שזקוקות לשירותי Play פשוט עובדות. גוגל מקבלת את מה שכל אפליקציה אחרת מקבלת: את מה שאתה מתיר לה.

איום: מישהו שתוקף את הטלפון מרחוק

רוגלות שכירות, סוג הכלים מסוג Pegasus/Predator, שימשו שוב ושוב נגד עיתונאים ועובדי זכויות אדם באזור זה. אין טלפון חסין. אבל שרשראות ניצול אלה נבנות ונבדקות נגד מערכות הפעלה מקוריות, ו-GrapheneOS משנה את הקרקע מתחתיהן: מקצה זיכרון מוקשח, ליבה מוקשחת ו-libc, הקלות מחמירות יותר של מהדר, והפחתה אגרסיבית של שטח התקיפה. כמה שרשראות ניצול מתועדות נכשלו נגדו במקרה, פשוט כי ההנחות שהניצול הסתמך עליהן כבר לא היו נכונות.

02למה זה רק ל-Pixel, ואיזה לקנות

דרישת ה-Pixel מתסכלת אנשים, וזה לא משוא פנים. זה נובע מנקודת האתחול המאומת שלעיל. Google Pixels הם, בפועל, הטלפונים היחידים הזמינים באופן נרחב שמאפשרים למערכת הפעלה של צד שלישי לנעול מחדש את ה-bootloader עם המפתח שלה ולשמור על אתחול מאומת מלא ואישור מגובה חומרה. הם גם מגיעים עם רכיב מאובטח ייעודי ומקבלים תמיכה ארוכת טווח וצפויה בקושחה, והקושחה היא השכבה היחידה שאף פרויקט מערכת הפעלה לא יכול לתקן עבורך.

קנייה בלי להשאיר עקבות

אם מודל האיום שלך כולל מישהו שקובע שאתה הבעלים של טלפון מוקשח, הרכישה היא נקודת התורפה, לא המכשיר.

• מזומן, פנים אל פנים, מיד שנייה הוא הנקי ביותר. בדוק את סטטוס רשימת החסימה של IMEI לפני התשלום.
• אל תקנה מלאי נעול למפעיל או ממותג מפעיל, חלק מגרסאות המפעיל כלל לא ניתנות לפתיחה להתקנה.
• קנה את הטלפון ואת ה-SIM ממקומות שונים, באופן אידיאלי בימים שונים.
• טלפון חדש לגמרי באריזה אטומה מקמעונאי גדול ששולם במזומן הוא גם בסדר, ומסיר כל דאגה לגבי מה שבעלים קודם עשה לו.

03למה אתה מוותר

כל מדריך שמדלג על הקטע הזה מוכר לך משהו. הנה הרשימה האמיתית.

04התקנה

מתקין האינטרנט הרשמי עושה את כל התהליך מהדפדפן. זו ההתקנה הקלה ביותר של מערכת הפעלה מותאמת שקיימת, וקשה מאוד לשבור Pixel באופן קבוע בדרך זו, התקנה שנכשלה ניתנת לשחזור על ידי התחלה מחדש.

1. הביאו לפניכם את ההוראות הרשמיות

   פתחו את grapheneos.org/install/web ועקבו אחריהן לצד העמוד הזה. המדריך הרשמי הוא הסמכותי ומעודכן; זה מסביר את ההיגיון ואת ההחלטות שהמתקין לא מקבל עבורכם. הקלידו את הכתובת ביד, אל תגיעו אליה דרך מנוע חיפוש, שבו דומיינים דומים קונים פרסומות.

2. השתמשו בדפדפן מבוסס Chromium במחשב

   המתקין צריך WebUSB, כלומר Chrome, Edge, Vanadium או דומה. Firefox ו-Safari לא יעבדו. השתמשו בכבל USB-C איכותי, זה שהגיע עם הטלפון אידיאלי. רוב כשלי ההתקנה שמדווחים עליהם הם כבל גרוע או רכזת לא יציבה, אז חברו ישירות למחשב.

3. הפעילו אפשרויות מפתחים ופתחו את ה-bootloader

   בטלפון: הגדרות → אודות הטלפון → הקישו על מספר Build שבע פעמים. לאחר מכן הגדרות → מערכת → אפשרויות מפתחים → הפעילו OEM unlocking ו-USB debugging.

   אם OEM unlocking מואפר

   הטלפון נעול לספקית סלולר, או חדש מדי לחשבון. חברו אותו לאינטרנט והשאירו אותו לזמן מה, או פתרו את נעילת הספקית. אל תכריחו את זה; Pixel נעול לספקית עשוי שלא להיות ניתן להתקנה בכלל, ולכן עצת הקנייה למעלה אומרת להימנע מהם.

4. הריצו את מתקין האינטרנט

   עברו על העמוד לפי הסדר: פתחו את ה-bootloader, הורידו את הגרסה, צרבו אותה. הדפדפן יבקש מכם לבחור את המכשיר — בחרו את ה-Pixel כשהחלון מופיע. שלב הצריבה כולו אורך בדרך כלל עשר עד חמש עשרה דקות בחיבור טוב. אל תנתקו אותו.

5. נעל מחדש את ה-bootloader, אל תדלג על זה

   השלב האחרון של המתקין. דילוג עליו משאיר את הטלפון שלך פגיע לצמיתות בפני כל מי שיש לו גישה פיזית, וזורק לפח את אחת הסיבות העיקריות להריץ GrapheneOS מלכתחילה. המתקין לא יאפשר לך לנעול התקנה שבורה, אז אם הפקודה מצליחה, אתה בסדר.

6. אמת את מצב האתחול

   באתחול הראשון אתה אמור לראות את הודעת האתחול המאומת הצהובה שמציגה את מפתח החתימה של GrapheneOS עצמו, ואז את אשף ההגדרה. צהוב עם המפתח של GrapheneOS הוא נכון וצפוי. כתום משמעו שה-bootloader עדיין לא נעול — חזור ונעל אותו.

05השעה הראשונה: הגדרות שחשובות

ההתקנה היא רוב העבודה, אבל ברירות המחדל מתונות בכוונה כדי שאנשים רגילים לא יינעלו מחוץ לטלפונים שלהם. אלה השינויים שכדאי לעשות מיד.

1. הגדר סיסמה אמיתית, לא PIN בן 4 ספרות

   זה הדבר בעל הערך הגבוה ביותר בעמוד הזה. כל הגנה אחרת נשענת בסופו של דבר על אישור הכניסה שלך. שש מילים אקראיות, או PIN של לפחות שמונה ספרות. הפעל ערבוב PIN בזמן שאתה שם.

2. הפעל אתחול אוטומטי וקצר אותו

   הגדרות → אבטחה. בחר חלון שמתאים לחיים שלך. אם אתה נמצא במקום שבו תפיסה היא סיכון ממשי, כמה שעות או פחות. המחיר הוא שלאחר אתחול, התראות והתראות לא מגיעות עד שתבטל את הנעילה, וזו בדיוק הנקודה.

3. הגבל את יציאת ה-USB כשהמכשיר נעול

   הגדרות → אבטחה → USB. טעינה בלבד כשהמכשיר נעול, כמינימום; מושבת לחלוטין אם אתה יכול לחיות עם זה.

4. השבת 2G

   ל-2G הישן יש הצפנה שבורה, ומכשירי יירוט IMSI פועלים בכך שהם מאלצים את הטלפון שלך לרדת אליו. GrapheneOS מאפשר לך לסרב. קיים גם מצב LTE בלבד. כבה את 2G אלא אם אתה נמצא במקום שבו אין באמת כיסוי אחר.

5. תחליט לגבי Google לפני שאתה מתקין משהו

   אם אתה יכול לחיות בלי חנות Play, עשה זאת — השג אפליקציות מ-F-Droid, מ-Accrescent, או ישירות ממפתחים, ותיהנה מטלפון בלי שום קוד של Google עליו. אם אתה זקוק ל-Play Services, התקן Google Play בארגז חול ממאגר האפליקציות המובנה, אבל שים אותו בפרופיל משתמש משני, לא בפרופיל הראשי שלך, כך שהוא מופרד מהעבודה הרגישה שלך.

6. גרום לאפליקציות לעבוד עם Google Play בארגז חול

   פתח את אפליקציית GrapheneOS Apps בפרופיל שבו ברצונך להשתמש באפליקציה, ולאחר מכן התקן את Google Play services. הוא מתקין גם את Play services וגם את Play Store. התקן את האפליקציה באותו פרופיל: Play בארגז חול אינו יכול לספק שירותים לאפליקציה בפרופיל אחר. שמור על Play services, Play Store והאפליקציה מעודכנים דרך אפליקציית Apps ו-Play Store.

   אם אפליקציה נפתחת אך הכניסה, ההתראות, המפות, הרכישות או רענון הרקע אינם עובדים, בדוק את אלה לפני שתיתן לה גישה רחבה יותר:

   • פרופיל: ודא שהאפליקציה ו-Google Play בארגז חול מותקנים באותו פרופיל משתמש.
   • סוללה: בהגדרות האפליקציה של Google Play services, אפשר לו לפעול ללא אופטימיזציית סוללה כדי שיוכל לספק התראות רקע. עשה זאת עבור האפליקציה רק אם היא עדיין זקוקה לכך.
   • הרשאות אפליקציה: הפעל רק את ההרשאה שהתכונה הכושלת זקוקה לה — בדרך כלל התראות, מיקום, מכשירים בקרבת מקום, מצלמה או קבצים. התחל בצמצום, בדוק, ולאחר מכן הוסף הרשאה נוספת רק כשהדבר נחוץ.
   • מיקום: תן לאפליקציה הרשאת מיקום אם היא זקוקה למיקום. ניתוב המיקום המוגדר כברירת מחדל של GrapheneOS בדרך כלל מספיק; שנה את הגדרות המיקום של Google רק אם השימוש הרגיל במיקום אכן נכשל.
   • עדכונים והפעלה מחדש: עדכן את כל שלושת הרכיבים, כפה סגירה ופתח מחדש את האפליקציה, ולאחר מכן התקן אותה מחדש אם עדכון השאיר אותה תקועה.

   מספר קטן של אפליקציות דוחות את GrapheneOS משום שהן דורשות פסק דין מסוים של שלמות המכשיר. זוהי הגבלה של מפתח האפליקציה, לא הרשאה חסרה; אין להחליש שום הגדרה רק כדי לעקוף אותה.

7. הגדר פרופילים

   לפרופילי משתמש נפרדים יש מפתחות הצפנה נפרדים. חלוקה מעשית:

   • בעלים, שום דבר מלבד הגדרה. אתה כמעט ולא משתמש בו.
   • אישי — החיים הרגילים, Play Services אם אתה זקוק להם, בנקאות, מפות.
   • עבודה — תיעוד, Signal, מצלמה, הארכיון. בלי Google.

   פרופיל שאתה לא מחובר אליו נמצא במנוחה ומוצפן. אתה יכול גם להגדיר פרופילים לסיים את ההפעלה שלהם אוטומטית כשאתה עובר מהם.

8. בדוק הרשאות אפליקציה אחר אפליקציה

   כל אפליקציה שאתה מתקין: האם היא זקוקה לאינטרנט? לחיישנים? לאחסון אמיתי, או להיקף עם שלושה קבצים בו? הנח שלא כברירת מחדל והפעל דברים כשמשהו נשבר באופן נראה לעין. זה לוקח עשרים דקות פעם אחת ומשתלם לתמיד.

9. אמת שההתקנה מקורית

   התקן את אפליקציית Auditor של GrapheneOS וצמד אותה למכשיר שני, או השתמש בשירות ה-attest הרשמי. היא מאשרת באופן קריפטוגרפי שהטלפון שלך מריץ GrapheneOS מקורי ובלתי שונה עם bootloader נעול, ויכולה להמשיך לאמת זאת לאורך זמן, וכך תזהה חבלה לאחר שהטלפון יצא מטווח ראייה.

06ממה זה לא מגן עליך

בהירות בנקודה הזו היא מה שהופך את שאר המדריך לאמין.

• הרשת יודעת שאתה קיים. ספק הסלולר שלך עדיין רואה לאילו אנטנות אתה מתחבר. כך עובדת הסלולר. רק להשאיר את הטלפון מאחור פותר את זה.
• מה שאתה שולח עדיין יוצא החוצה. פרסום בפלטפורמה, או שליחת הודעה למישהו שהטלפון שלו עצמו נפרץ, לא מוגנים על ידי מערכת ההפעלה שלך.
• מטא-דאטה בקבצים שלך נשארת כפי שהיא. סרטון שאתה מצלם עדיין נושא GPS ופרטי מכשיר אלא אם כן תסיר אותם.
• כפייה. שום תוכנה לא עומדת בפני מי שיכול לעצור אותך עד שתפתח את המנעול.
• קושחה ו-baseband. המודם הסלולרי מריץ קוד קנייני משלו. GrapheneOS מבודד אותו ככל ש-Android מאפשר; הוא לא יכול להחליף אותו.
• אתה. שימוש חוזר בשם משתמש, התחברות לחשבון אישי מפרופיל עבודה, או פרסום תמונה עם חלון מזוהה בה — יבטלו את כל זה. רוב האנשים מזוהים דרך הרגלים, לא דרך ניצול פרצות.

07שאלות שאנשים באמת שואלים

08מקורות וקריאה נוספת

• GrapheneOS — האתר הרשמי grapheneos.org
• רשימת התכונות וההקשחה המלאה grapheneos.org/features
• מתקין האינטרנט הרשמי grapheneos.org/install/web
• מכשירים נתמכים ותאריכי סיום תמיכה, בדקו לפני הרכישה grapheneos.org/faq#device-support
• תיעוד PIN לכפייה grapheneos.org/usage#duress
• מעבדת האבטחה של אמנסטי אינטרנשיונל — מתודולוגיה פורנזית של Pegasus amnesty.org · רקע על איום תוכנות הריגול השכירות
• The Citizen Lab — מחקר מתמשך על מעקב ממוקד citizenlab.ca

נבדק לאחרונה: 25 בספטמבר 2026