GrapheneOS: un telefono che non testimonia contro di te

La maggior parte dei consigli sulla privacy ti chiede di cambiare un'impostazione. Questo ti chiede di sostituire il sistema operativo del tuo telefono. È una richiesta importante, quindi questa guida dedica tanto tempo a ciò a cui rinunci quanto a ciò che guadagni, e ti dice chiaramente quando la risposta è non vale la pena.

01Cosa risolve davvero

È facile elencare le funzionalità. È più utile partire dai quattro modi in cui un telefono mette le persone nei guai e vedere come si risponde a ciascuno.

Minaccia: il telefono ti viene portato via

A un posto di blocco, in un raid, a una frontiera. Gli strumenti di estrazione forense venduti alla polizia e ai servizi di intelligence di tutto il mondo funzionano meglio contro un telefono acceso e sbloccato almeno una volta dall'avvio: in quello stato gran parte dei tuoi dati è già decifrata in memoria e il sistema operativo espone una vasta superficie d'attacco. Un telefono riavviato e non ancora sbloccato è un bersaglio molto più difficile: le chiavi di cifratura semplicemente non ci sono.

GrapheneOS attacca direttamente questo problema:

• Riavvio automatico. Se il telefono non viene sbloccato per un periodo prestabilito, si riavvia da solo tornando a quello stato pre-sblocco fortemente cifrato. Configurabile, e può essere impostato anche a soli dieci minuti. Un telefono confiscato la mattina e portato in laboratorio il pomeriggio arriva freddo.
• PIN di coercizione. Imposti un secondo PIN o una password. Inserirlo sembra un normale tentativo di sblocco e invece cancella irreversibilmente il dispositivo — partizione dati ed eSIM, distruggendo le chiavi. Funziona dalla schermata di blocco e da qualsiasi punto in cui il dispositivo chiede le tue credenziali.
• Controllo della porta USB. La porta può essere limitata alla sola ricarica, o disabilitata del tutto, mentre il dispositivo è bloccato. Gli strumenti forensi in genere arrivano via USB.
• Offuscamento del PIN e nessuna trappola di fallback con impronta digitale. Il layout della tastiera può essere randomizzato così che un osservatore alle tue spalle o una telecamera a soffitto non possano imparare il tuo PIN, e la gestione dei tentativi falliti è più severa rispetto ad Android standard.

Minaccia: le app sul tuo stesso telefono

Su Android standard un'app che può leggere il tuo archivio può leggerlo tutto. Un'app con il permesso ai contatti prende tutto il tuo grafo sociale. E ogni app installata ha automaticamente accesso a internet — Android non ha mai avuto un permesso per negarlo.

• Permesso di rete. GrapheneOS ne aggiunge uno. Puoi installare un'app e semplicemente non lasciarle parlare con internet: un'app fotocamera, un lettore PDF, un ripulitore di metadati, una mappa offline. Questo singolo interruttore elimina sul nascere la maggior parte della telemetria.
• Autorizzazione Sensori. Blocca accelerometro, giroscopio, bussola, barometro e altri sensori che Android espone senza alcuna autorizzazione. Questi sensori sono sufficienti per identificare un dispositivo e, secondo ricerche pubblicate, per dedurre la digitazione e il movimento.
• Ambiti di archiviazione. Invece di negare a un'app l'accesso all'archiviazione e vederla bloccarsi, le dici che l'archiviazione è vuota, poi concedi singoli file o cartelle. L'app crede di avere accesso completo e vede solo ciò che hai scelto.
• Ambiti dei contatti. Lo stesso trucco per i tuoi contatti. A un'app di messaggistica possono essere mostrate esattamente tre persone invece dell'intera rubrica.

Minaccia: Google stessa

Su un telefono Android standard, Google Play Services funziona con ampi privilegi integrati nel sistema operativo. Non può essere realmente rimosso, limitato o verificato, ed è un obiettivo di accesso legale — Google riceve e risponde a richieste di geolocalizzazione e relative agli account.

GrapheneOS non include alcun codice Google. Se hai bisogno del Play Store, puoi installare Google Play in sandbox: le normali app Google, in esecuzione come una normale app senza privilegi nel profilo che scegli, soggette a tutte le autorizzazioni di cui sopra, incluso l'interruttore di rete. La maggior parte delle app che necessitano di Play Services funziona semplicemente. Google ottiene ciò che ottiene qualsiasi altra app: ciò che gli consenti.

Minaccia: qualcuno che attacca il telefono da remoto

Lo spyware mercenario, la classe di strumenti Pegasus/Predator, è stato usato ripetutamente contro giornalisti e operatori per i diritti umani in questa regione. Nessun telefono è immune. Ma queste catene di exploit sono costruite e testate su sistemi operativi standard, e GrapheneOS cambia il terreno sotto di esse: un allocatore di memoria rafforzato, un kernel e una libc rafforzati, mitigazioni del compilatore più rigorose e una riduzione aggressiva della superficie di attacco. Diverse catene di exploit documentate hanno fallito contro di esso incidentalmente, semplicemente perché le ipotesi su cui l'exploit si basava non erano più vere.

02Perché è solo per Pixel, e quale acquistare

Il requisito Pixel frustra le persone, e non è favoritismo. Deriva dal punto sull'avvio verificato di cui sopra. I Google Pixel sono, in pratica, gli unici telefoni ampiamente disponibili che consentono a un sistema operativo di terze parti di bloccare nuovamente il bootloader con la propria chiave e mantenere l'avvio verificato completo e l'attestazione supportata dall'hardware. Inoltre includono un elemento sicuro dedicato e ricevono un supporto firmware lungo e prevedibile, e il firmware è l'unico livello che nessun progetto di sistema operativo può sistemare per te.

Acquistare senza lasciare tracce

Se il tuo modello di minaccia include qualcuno che stabilisca che possiedi un telefono rafforzato, l'acquisto è il punto debole, non il dispositivo.

• Contanti, di persona, usato è la soluzione più pulita. Controlla lo stato nella blacklist IMEI prima di pagare.
• Non acquistare stock bloccato dall'operatore o brandizzato dall'operatore; alcune varianti degli operatori non possono essere sbloccate per l'installazione in alcun modo.
• Acquista il telefono e la SIM in posti diversi, idealmente in giorni diversi.
• Un telefono nuovo sigillato da un grande rivenditore pagato in contanti va bene comunque, ed elimina qualsiasi preoccupazione su cosa possa averci fatto un precedente proprietario.

03A cosa rinunci

Ogni guida che salta questa sezione ti sta vendendo qualcosa. Ecco la lista reale.

04Installarlo

L'installer web ufficiale fa tutto dal browser. È l'installazione di un sistema operativo personalizzato più semplice esistente, ed è molto difficile rompere definitivamente un Pixel in questo modo; un'installazione fallita può essere recuperata ricominciando da capo.

1. ProcuraTi le istruzioni ufficiali

   Apri grapheneos.org/install/web e seguile insieme a questa pagina. La guida ufficiale è autorevole e aggiornata; questa spiega il ragionamento e le decisioni che l'installer non prende per te. Digita l'indirizzo a mano, non raggiungerlo tramite un motore di ricerca, dove domini simili acquistano annunci.

2. Usa un browser basato su Chromium su un computer

   L'installer richiede WebUSB, il che significa Chrome, Edge, Vanadium o simili. Firefox e Safari non funzioneranno. Usa un cavo USB-C di buona qualità, quello fornito con il telefono è l'ideale. La maggior parte dei fallimenti di installazione segnalati è dovuta a un cavo difettoso o a un hub instabile, quindi collega direttamente alla macchina.

3. Abilita le opzioni sviluppatore e sblocca il bootloader

   Sul telefono: Impostazioni → Informazioni sul telefono → tocca Numero build sette volte. Poi Impostazioni → Sistema → Opzioni sviluppatore → abilita Sblocco OEM e Debug USB.

   Se Sblocco OEM è in grigio

   Il telefono è bloccato dall'operatore, o è troppo nuovo per l'account. Collegalo a internet e lascialo per un po', oppure risolvi il blocco dell'operatore. Non forzarlo, un Pixel bloccato dall'operatore potrebbe non essere installabile affatto, ed è per questo che i consigli di acquisto sopra dicono di evitarli.

4. Esegui l'installer web

   Segui la pagina in ordine: sblocca il bootloader, scarica la release, flashala. Il browser ti chiederà di selezionare il dispositivo — scegli il Pixel quando appare la finestra di dialogo. L'intera fase di flashing richiede tipicamente dai dieci ai quindici minuti con una connessione decente. Non scollegarlo.

5. Blocca di nuovo il bootloader, non saltare questo passaggio

   L'ultimo passaggio dell'installer. Saltarlo lascia il telefono permanentemente vulnerabile a chiunque abbia accesso fisico e butta via una delle ragioni principali per usare GrapheneOS. L'installer non ti permetterà di bloccare un'installazione difettosa, quindi se il comando riesce, sei a posto.

6. Conferma lo stato di avvio

   Al primo avvio dovresti vedere l'avviso giallo di avvio verificato che mostra la chiave di firma di GrapheneOS, poi la procedura guidata di configurazione. Giallo con la chiave GrapheneOS è corretto e previsto. Arancione significa che il bootloader è ancora sbloccato — torna indietro e bloccalo.

05La prima ora: impostazioni che contano

Installarlo è la maggior parte del lavoro, ma le impostazioni predefinite sono deliberatamente moderate affinché le persone comuni non restino escluse dai propri telefoni. Queste sono le modifiche che vale la pena fare immediatamente.

1. Imposta una vera passphrase, non un PIN di 4 cifre

   Questa è la cosa di maggior valore in questa pagina. Ogni altra protezione si basa in ultima analisi sulla tua credenziale. Sei parole casuali, o un PIN di almeno otto cifre. Attiva l'offuscamento del PIN mentre sei lì.

2. Attiva il riavvio automatico e accorcialo

   Impostazioni → Sicurezza. Scegli una finestra che si adatti alla tua vita. Se ti trovi in un luogo dove il sequestro è un rischio concreto, poche ore o meno. Il compromesso è che dopo un riavvio, sveglie e notifiche non arrivano finché non sblocchi, che è esattamente il punto.

3. Limita la porta USB quando è bloccato

   Impostazioni → Sicurezza → USB. Solo ricarica quando è bloccato come minimo; completamente disattivata se puoi conviverci.

4. Disattiva il 2G

   Il vecchio 2G ha una crittografia compromessa, e gli IMSI catcher funzionano forzando il tuo telefono a passare su di esso. GrapheneOS ti permette di rifiutare. Esiste anche una modalità solo LTE. Disattiva il 2G a meno che tu non sia in un luogo dove non c'è davvero nessun'altra copertura.

5. Decidi riguardo a Google prima di installare qualsiasi cosa

   Se puoi vivere senza il Play Store, fallo — ottieni le app da F-Droid, da Accrescent, o direttamente dagli sviluppatori, e goditi un telefono senza codice Google. Se hai bisogno dei Play Services, installa Google Play in sandbox dal repository Apps integrato, ma mettilo in un profilo utente secondario, non in quello principale, così è isolato dal tuo lavoro sensibile.

6. Fai funzionare le app con Google Play in sandbox

   Apri l'app GrapheneOS Apps nel profilo in cui vuoi usare un'app, poi installa Google Play services. Installa sia Play services che il Play Store. Installa l'app in quello stesso profilo: Play in sandbox non può fornire servizi a un'app in un altro profilo. Mantieni aggiornati Play services, il Play Store e l'app tramite l'app Apps e il Play Store.

   Se un'app si apre ma l'accesso, le notifiche, le mappe, gli acquisti o l'aggiornamento in background non funzionano, controlla questi punti prima di concederle un accesso più ampio:

   • Profilo: verifica che l'app e Google Play in sandbox siano installati nello stesso profilo utente.
   • Batteria: nelle impostazioni dell'app Google Play services, consenti l'esecuzione senza ottimizzazione della batteria così può inviare notifiche in background. Fai lo stesso per l'app solo se ne ha ancora bisogno.
   • Autorizzazioni dell'app: abilita solo l'autorizzazione necessaria alla funzione non funzionante — comunemente Notifiche, Posizione, Dispositivi nelle vicinanze, Fotocamera o File. Inizia con il minimo, prova, poi aggiungine un'altra solo quando necessario.
   • Posizione: concedi all'app l'autorizzazione alla posizione se ne ha bisogno. Il reindirizzamento predefinito della posizione di GrapheneOS di solito è sufficiente; modifica le impostazioni di posizione di Google solo se l'uso ordinario della posizione fallisce davvero.
   • Aggiornamenti e riavvio: aggiorna tutti e tre i componenti, forza la chiusura e riapri l'app, poi reinstallala se un aggiornamento l'ha bloccata.

   Un piccolo numero di app rifiuta GrapheneOS perché richiede un particolare verdetto di integrità del dispositivo. Questa è una restrizione del produttore dell'app, non un'autorizzazione mancante; nessuna impostazione dovrebbe essere indebolita solo per aggirarla.

7. Configura i profili

   Profili utente separati hanno chiavi di crittografia separate. Una suddivisione pratica:

   • Proprietario, nient'altro che la configurazione. Lo usi raramente.
   • Personale — vita quotidiana, Play Services se ti servono, banking, mappe.
   • Lavoro — documentazione, Signal, fotocamera, l'archivio. Niente Google.

   Un profilo a cui non hai effettuato l'accesso è a riposo e crittografato. Puoi anche configurare i profili per terminare automaticamente la sessione quando passi a un altro.

8. Controlla i permessi app per app

   Ogni app che installi: ha bisogno di internet? Sensori? Accesso reale allo storage, o a un ambito con tre file dentro? Presumi di no per impostazione predefinita e attiva le cose quando qualcosa si rompe visibilmente. Ci vogliono venti minuti una volta e ripaga per sempre.

9. Verifica che l'installazione sia autentica

   Installa l'app GrapheneOS Auditor e abbinala a un secondo dispositivo, oppure usa il servizio di attestazione ufficiale. Conferma crittograficamente che il tuo telefono esegue un GrapheneOS autentico e non modificato con bootloader bloccato, e può continuare a verificarlo nel tempo, ed è così che rileveresti manomissioni dopo che il telefono è stato fuori dalla tua vista.

06Da cosa non ti protegge

Essere chiari su questo è ciò che rende affidabile il resto della guida.

• La rete sa che esisti. Il tuo operatore vede ancora a quali torri ti connetti. È così che funziona la telefonia cellulare. Solo lasciare il telefono a casa risolve la cosa.
• Quello che invii esce comunque. Pubblicare su una piattaforma, o inviare messaggi a qualcuno il cui telefono è compromesso, non è protetto dal tuo sistema operativo.
• I metadati nei tuoi file restano intatti. Un video che filmi contiene ancora GPS e dettagli del dispositivo a meno che tu non li rimuova.
• La coercizione. Nessun software resiste a qualcuno che può trattenerti finché non lo sblocchi.
• Firmware e baseband. Il modem cellulare esegue il proprio codice proprietario. GrapheneOS lo isola per quanto Android consente; non può sostituirlo.
• Tu. Riusare un nome utente, accedere a un account personale da un profilo di lavoro, o pubblicare una foto con una finestra riconoscibile annullerà tutto questo. La maggior parte delle persone viene identificata attraverso le abitudini, non gli exploit.

07Domande che le persone fanno davvero

08Fonti e approfondimenti

• GrapheneOS — sito ufficiale grapheneos.org
• Elenco completo delle funzionalità e delle misure di hardening grapheneos.org/features
• Programma di installazione web ufficiale grapheneos.org/install/web
• Dispositivi supportati e date di fine supporto, da verificare prima dell'acquisto grapheneos.org/faq#device-support
• Documentazione sul PIN di coercizione grapheneos.org/usage#duress
• Amnesty International Security Lab — metodologia forense su Pegasus amnesty.org · approfondimento sulla minaccia dello spyware mercenario
• The Citizen Lab — ricerca in corso sulla sorveglianza mirata citizenlab.ca

Ultima revisione: 25 settembre 2026