GrapheneOS：あなたに不利な証言をしないスマートフォン

ほとんどのプライバシーに関する助言は、設定を一つ変更するよう求めます。これは、スマートフォンのオペレーティングシステムを置き換えるよう求めるものです。それは大変な要求なので、このガイドは得るものと同じくらい失うものにも時間を割き、やめておけという答えのときははっきりそう伝えます。

01実際に何を解決するのか

機能を列挙するのは簡単です。スマートフォンが人をトラブルに巻き込む4つの方法から始めて、それぞれに何で応えるかを見る方がより有用です。

脅威：電話機があなたから取り上げられる

検問所、家宅捜索、国境で。世界中の警察や情報機関に販売されているフォレンジック抽出ツールは、電源が入っていて、起動後に少なくとも一度はロック解除された電話機に対して最も効果を発揮します。その状態では、あなたのデータの大部分がすでにメモリ上で復号されており、オペレーティングシステムは多くの攻撃対象領域を露出しています。再起動され、まだロック解除されていない電話機は、はるかに難しい標的です。暗号化キーがそもそも存在しないからです。

GrapheneOSはこれに直接対抗します：

• 自動再起動。 設定した期間にわたってスマートフォンのロックが解除されない場合、強力に暗号化されたロック解除前の状態に自動的に再起動します。設定可能で、最短10分に設定できます。朝に押収され、午後にラボへ持ち込まれたスマートフォンは、冷えた状態で到着します。
• デュレスPIN。 2つ目のPINまたはパスワードを設定します。これを入力すると、通常のロック解除の試みに見えますが、代わりにデバイスを復元不能な形で消去します — 鍵を破壊することで、データパーティションとeSIMを消去します。ロック画面からも、デバイスが認証情報を求めるあらゆる場所からも機能します。
• USBポート制御。 デバイスがロックされている間、ポートを充電専用に制限したり、完全に無効化したりできます。フォレンジックツールは一般にUSB経由で侵入します。
• PINスクランブルと指紋フォールバックの罠の排除。 キーパッドの配置をランダム化できるため、肩越しに覗く者や天井のカメラがあなたのPINを盗み見ることはできず、失敗試行の処理は標準のAndroidよりも厳格です。

脅威：自分の電話機上のアプリ

標準のAndroidでは、あなたのストレージを読み取れるアプリはそのすべてを読み取れます。連絡先権限を持つアプリはあなたのソーシャルグラフ全体を取得します。そしてインストールされたすべてのアプリは自動的にインターネットアクセスを持ちます — Androidにはそれを拒否する権限がこれまで一度も存在しませんでした。

• ネットワーク権限。 GrapheneOSはこれを追加します。アプリをインストールして、単にインターネットと通信させないようにできます — カメラアプリ、PDFリーダー、メタデータスクラバー、オフラインマップ。この単一のトグルがほとんどのテレメトリを根本から断ち切ります。
• センサー権限。Androidが権限なしで公開している加速度計、ジャイロスコープ、コンパス、気圧計などのセンサーをブロックします。これらのセンサーはデバイスのフィンガープリンティングに十分であり、公表された研究ではタイピングや動きを推測することもできます。
• ストレージスコープ。アプリにストレージへのアクセスを拒否してアプリが壊れるのを見る代わりに、ストレージが空であると伝え、個々のファイルやフォルダを許可します。アプリは完全なアクセス権を持っていると信じ込み、あなたが選んだものだけを見ます。
• 連絡先スコープ。 連絡先に対する同じ仕組みです。メッセージアプリには、アドレス帳全体ではなく、ちょうど3人だけを見せることができます。

脅威：Google自身

標準的なAndroid端末では、Google Play Servicesがオペレーティングシステムに組み込まれた広範な特権アクセスで動作します。これを意味のある形で削除、制限、監査することはできず、合法的アクセスの対象です — Googleはジオフェンスやアカウントに関する要求を受け取り、応答します。

GrapheneOSにはGoogleのコードが一切含まれていません。Play Storeが必要な場合は、サンドボックス化されたGoogle Playをインストールできます。通常のGoogleアプリが、選択したプロファイル内で通常の非特権アプリとして動作し、ネットワークトグルを含む上記のすべての権限に従います。Play Servicesを必要とするほとんどのアプリはそのまま動作します。Googleが得るものは他のアプリと同じです：あなたが許可したものだけです。

脅威：誰かが遠隔から端末を攻撃する

傭兵スパイウェア、Pegasus/Predatorクラスのツールは、この地域のジャーナリストや人権活動家に対して繰り返し使用されてきました。免疫のある端末はありません。しかし、これらのエクスプロイトチェーンは純正オペレーティングシステムに対して構築・テストされており、GrapheneOSはその足元の前提を変えます：強化されたメモリアロケータ、強化されたカーネルとlibc、より厳格なコンパイラ緩和策、そして積極的な攻撃面の削減です。いくつかの文書化されたエクスプロイトチェーンは、エクスプロイトが依存していた前提がもはや真ではなくなったという理由だけで、偶発的に失敗しています。

02なぜPixel専用なのか、そしてどれを買うべきか

Pixel要件は人々を苛立たせますが、それは贔屓ではありません。上記の検証済みブートの点から導かれます。Google Pixelは、実際には、サードパーティのオペレーティングシステムが独自のキーでブートローダーを再ロックし、完全な検証済みブートとハードウェアベースの認証を維持できる、広く入手可能な唯一の端末です。また、専用のセキュアエレメントを搭載し、長期的で予測可能なファームウェアサポートを受けます。そしてファームウェアは、どのOSプロジェクトもあなたのために修正できない唯一の層です。

足がつかない形で購入する

あなたの脅威モデルに「強化された携帯電話を所有していることを特定される」ことが含まれるなら、弱点はデバイスではなく購入行為です。

• 現金・対面・中古が最もクリーンです。支払い前にIMEIブラックリストの状態を確認してください。
• キャリアロックまたはキャリアブランドの在庫は購入しないでください。キャリア版の一部はインストール用にロック解除できないものがあります。
• 電話機とSIMは別の場所で、できれば別の日に購入してください。
• 大手小売店で現金購入した新品未開封の電話機も問題ありません。前の所有者が何をしたかという心配もなくなります。

03犠牲にするもの

このセクションを飛ばしているガイドは、すべて何かを売り込んでいます。ここに実際のリストを示します。

04インストール

公式のウェブインストーラーがブラウザからすべてを行います。これは現存する中で最も簡単なカスタムOSのインストールであり、この方法でPixelを恒久的に壊すのは非常に困難です。インストールに失敗しても、最初からやり直すことで復旧できます。

1. 公式の手順を手元に用意する

   grapheneos.org/install/webを開き、このページと並べて参照してください。公式ガイドは権威があり、常に最新に保たれています。このページは、その理由と、インストーラーがあなたに代わって行わない判断について説明します。アドレスは手入力してください。検索エンジン経由でたどらないでください。そこでは、似たドメインが広告を買っています。

2. コンピューター上でChromiumベースのブラウザーを使用する

   インストーラーにはWebUSBが必要です。つまり、Chrome、Edge、Vanadiumなどです。FirefoxとSafariでは動作しません。良質なUSB-Cケーブルを使用してください。スマートフォンに付属していたものが理想的です。報告されるインストール失敗のほとんどは、不良ケーブルか不安定なハブです。そのため、マシンに直接接続してください。

3. 開発者向けオプションを有効にしてブートローダーを解除する

   スマートフォンで: 設定 → デバイス情報 → ビルド番号を7回タップします。次に設定 → システム → 開発者向けオプション → OEM unlockingとUSB debuggingを有効にします。

   OEM のロック解除がグレーアウトしている場合

   端末がキャリアロックされているか、アカウントに対して新しすぎる状態です。インターネットに接続してしばらく放置するか、キャリアロックを解除してください。無理に進めないでください。キャリアロックされた Pixel はそもそもインストールできない可能性があり、それが上記の購入アドバイスで避けるよう書かれている理由です。

4. ウェブインストーラーを実行する

   ページの手順を順番に進めてください: ブートローダーのロック解除、リリースのダウンロード、書き込み。ブラウザがデバイスの選択を求めてきます — ダイアログが表示されたら Pixel を選んでください。書き込みの段階は、まともな回線であれば通常10〜15分です。プラグを抜かないでください。

5. ブートローダーを再ロックする、これは飛ばさないこと

   インストーラーの最後のステップです。これを飛ばすと、端末に物理的にアクセスできる誰に対しても恒久的に脆弱なままとなり、GrapheneOS をわざわざ使う主な理由の一つを捨てることになります。インストーラーは壊れたインストールをロックさせないので、コマンドが成功すれば問題ありません。

6. 起動状態を確認する

   初回起動時には、GrapheneOS 自身の署名鍵を示す黄色の検証済みブート通知が表示され、その後セットアップウィザードが続きます。GrapheneOS の鍵で黄色は正しく、想定どおりです。オレンジはブートローダーがまだロック解除されたままであることを意味します — 戻ってロックしてください。

05最初の1時間: 重要な設定

インストール自体が作業の大部分ですが、デフォルト設定は一般の人が自分の端末から締め出されないよう意図的に緩めになっています。以下はすぐに行う価値のある変更です。

1. 4桁の PIN ではなく、本物のパスフレーズを設定する

   これはこのページで最も価値の高い項目です。他のあらゆる保護は最終的にあなたの資格情報に依存しています。ランダムな6つの単語、または少なくとも8桁の PIN を設定してください。ついでに PIN スクランブルも有効にしてください。

2. 自動再起動を有効にして短くする

   設定 → セキュリティ。自分の生活に合った時間枠を選ぶ。押収が現実のリスクである場所にいるなら、数時間以下。トレードオフは、再起動後、ロックを解除するまでアラームや通知が届かないことだが、まさにそれが狙いだ。

3. ロック中はUSBポートを制限する

   設定 → セキュリティ → USB。最低でもロック中は充電専用に。耐えられるなら完全に無効化する。

4. 2Gを無効にする

   旧式の2Gは暗号化が破綻しており、IMSIキャッチャーは携帯電話を強制的に2Gに落とすことで機能する。GrapheneOSではそれを拒否できる。LTE専用モードもある。他に本当に電波が届かない場所にいるのでなければ、2Gをオフにしよう。

5. 何かをインストールする前にGoogleについて決める

   Playストアなしでやっていけるなら、そうしよう — アプリはF-Droid、Accrescent、または開発者から直接入手し、Googleのコードが一切入っていない携帯電話を楽しもう。Play Servicesが必要なら、内蔵のアプリリポジトリからサンドボックス化されたGoogle Playをインストールするが、メインではなくセカンダリユーザープロファイルに入れて、機密性の高い作業から隔離しよう。

6. アプリをサンドボックス化されたGoogle Playで動作させる

   アプリを使用したいプロファイルでGrapheneOSの「Apps」アプリを開き、Google Play servicesをインストールします。これによりPlay servicesとPlay Storeの両方がインストールされます。アプリは同じプロファイルにインストールしてください。サンドボックス化されたPlayは別のプロファイルのアプリにサービスを提供できません。Play services、Play Store、およびアプリをAppsアプリとPlay Storeを通じて最新の状態に保ってください。

   アプリは開くものの、サインイン、通知、地図、購入、バックグラウンド更新が機能しない場合は、より広いアクセス権を与える前に以下を確認してください：

   • プロファイル：アプリとサンドボックス化されたGoogle Playが同じユーザープロファイルにインストールされていることを確認してください。
   • バッテリー：Google Play servicesアプリの設定で、バッテリー最適化なしで実行することを許可し、バックグラウンド通知を配信できるようにしてください。アプリ自体にもまだ必要な場合のみ同様に設定してください。
   • アプリの権限：失敗した機能に必要な権限のみを有効にしてください — 一般的には通知、位置情報、付近のデバイス、カメラ、またはファイルです。まず最小限から始め、テストし、必要な場合にのみ別の権限を追加してください。
   • 位置情報：位置情報が必要なアプリには位置情報権限を与えてください。GrapheneOSのデフォルトの位置情報リルーティングで通常は十分です。通常の位置情報の使用が実際に失敗する場合にのみ、Googleの位置情報設定を変更してください。
   • 更新と再起動：3つのコンポーネントすべてを更新し、アプリを強制終了して再度開き、更新でスタックした場合は再インストールしてください。

   少数のアプリは、特定のデバイス整合性の判定を要求するためGrapheneOSを拒否します。これはアプリ制作者の制限であり、権限の欠如ではありません。それを回避するためだけに設定を弱めるべきではありません。

7. プロファイルを設定する

   別々のユーザープロファイルには別々の暗号化キーがある。実用的な分割:

   • オーナー、セットアップ以外は何もなし。ほとんど使わない。
   • 個人用 — 日常生活、必要ならPlay Services、銀行、地図。
   • 仕事 — ドキュメント、Signal、カメラ、アーカイブ。Googleはなし。

   ログインしていないプロファイルは保存時に暗号化されています。また、プロファイルを切り替えたときに自動的にセッションを終了するように設定することもできます。

8. アプリごとに権限を監査する

   インストールするすべてのアプリについて：インターネットは必要か？センサーは？実際のストレージか、それとも3つのファイルだけが入ったスコープか？デフォルトでは不要と想定し、何かが目に見えて壊れたときに有効にしましょう。これには一度20分かかりますが、永続的に効果を発揮します。

9. インストールが本物であることを確認する

   GrapheneOSのAuditorアプリをインストールし、2台目のデバイスとペアリングするか、公式のattestサービスを使用してください。これにより、お使いのスマートフォンがブートローダーがロックされた本物の未改変のGrapheneOSを実行していることが暗号学的に確認され、経時的に検証を続けることができます。これは、スマートフォンがあなたの視界から離れた後の改ざんを検出する方法です。

06これがあなたを守らないもの

この点を明確にすることが、ガイドの残りの部分を信頼できるものにする。

• ネットワークはあなたの存在を知っている。 キャリアは依然として、あなたがどの基地局に接続しているかを把握している。これが携帯電話の仕組みだ。これを解決するには、電話を置いていくしかない。
• 送信したものは依然として外に出る。 プラットフォームへの投稿や、本人の電話が侵害されている相手へのメッセージは、あなたのオペレーティングシステムでは保護されない。
• ファイル内のメタデータはそのまま残る。 あなたが撮影した動画には、削除しない限りGPSとデバイス情報が依然として含まれている。
• 強要。 あなたを拘束し、ロックを解除させるまで解放しない相手に抵抗できるソフトウェアは存在しない。
• ファームウェアとベースバンド。 セルラーモデムは独自のプロプライエタリなコードを実行します。GrapheneOSはAndroidが許す限りそれを分離しますが、置き換えることはできません。
• あなた自身。 ユーザー名を使い回したり、仕事用プロファイルから個人アカウントにログインしたり、識別可能な窓が写った写真を投稿したりすれば、これまでのすべてが台無しになります。ほとんどの人はエクスプロイトではなく、習慣によって特定されます。

07実際によくある質問

08出典とさらなる読み物

• GrapheneOS — 公式サイト grapheneos.org
• 機能と強化の完全なリスト grapheneos.org/features
• 公式ウェブインストーラー grapheneos.org/install/web
• 対応デバイスとサポート終了日、購入前に確認してください grapheneos.org/faq#device-support
• デュレスPINのドキュメント grapheneos.org/usage#duress
• アムネスティ・インターナショナル セキュリティラボ — Pegasus フォレンジック手法 amnesty.org · 傭兵スパイウェアの脅威に関する背景
• The Citizen Lab — 進行中の標的型監視調査 citizenlab.ca

最終レビュー日: 2026年9月25日