GrapheneOS: telefon, który nie zeznaje przeciwko tobie

Większość porad dotyczących prywatności prosi cię o zmianę ustawienia. Ta prosi cię o wymianę systemu operacyjnego w telefonie. To poważne wymaganie, więc ten przewodnik poświęca tyle samo czasu na to, z czego rezygnujesz, co na to, co zyskujesz, i mówi wprost, kiedy odpowiedź brzmi nie zawracaj sobie głowy.

01Co tak naprawdę naprawia

Łatwo jest wymieniać funkcje. Bardziej przydatne jest zacząć od czterech sposobów, w jakie telefon wpędza ludzi w kłopoty, i sprawdzić, co odpowiada na każdy z nich.

Zagrożenie: telefon zostaje ci odebrany

Na punkcie kontrolnym, podczas nalotu, na granicy. Narzędzia do ekstrakcji kryminalistycznej sprzedawane policji i służbom wywiadowczym na całym świecie działają najlepiej przeciwko telefonowi, który jest włączony i został co najmniej raz odblokowany od czasu uruchomienia — w tym stanie duża część twoich danych jest już odszyfrowana w pamięci, a system operacyjny ma wystawioną ogromną powierzchnię ataku. Telefon, który został zrestartowany i jeszcze nie został odblokowany, jest znacznie trudniejszym celem: kluczy szyfrujących po prostu tam nie ma.

GrapheneOS atakuje to bezpośrednio:

• Automatyczny restart. Jeśli telefon nie zostanie odblokowany przez określony czas, sam się restartuje z powrotem do tego silnie zaszyfrowanego stanu przed odblokowaniem. Konfigurowalne, można ustawić nawet na dziesięć minut. Telefon skonfiskowany rano i zawieziony do laboratorium po południu dociera zimny.
• PIN pod przymusem. Ustawiasz drugi PIN lub hasło. Jego wpisanie wygląda jak normalna próba odblokowania, a zamiast tego nieodwracalnie usuwa dane z urządzenia — partycję danych i eSIM-y, poprzez zniszczenie kluczy. Działa z ekranu blokady i z każdego miejsca, w którym urządzenie prosi o twoje poświadczenie.
• Kontrola portu USB. Port można ograniczyć do samego ładowania lub całkowicie wyłączyć, gdy urządzenie jest zablokowane. Narzędzia kryminalistyczne zazwyczaj podłączają się przez USB.
• Zaszyfrowany układ klawiatury PIN i brak pułapek z odciskiem palca. Układ klawiatury można losowo zmieniać, aby osoba podglądająca przez ramię lub kamera na suficie nie mogła poznać twojego PIN-u, a obsługa nieudanych prób jest surowsza niż w standardowym Androidzie.

Zagrożenie: aplikacje na twoim własnym telefonie

W standardowym Androidzie aplikacja, która może czytać twoją pamięć, może przeczytać całą jej zawartość. Aplikacja z uprawnieniem do kontaktów zabiera cały twój graf społeczny. A każda zainstalowana aplikacja ma automatycznie dostęp do internetu — Android nigdy nie miał uprawnienia, które by to blokowało.

• Uprawnienie sieciowe. GrapheneOS je dodaje. Możesz zainstalować aplikację i po prostu nie pozwolić jej rozmawiać z internetem — aplikację do aparatu, czytnik PDF, narzędzie do czyszczenia metadanych, mapę offline. Ten jeden przełącznik zabija większość telemetrii od razu.
• Uprawnienia czujników. Blokuje akcelerometr, żyroskop, kompas, barometr i inne czujniki, które Android udostępnia bez żadnych uprawnień. Te czujniki wystarczą do fingerprintingu urządzenia, a w opublikowanych badaniach — do wnioskowania o pisaniu na klawiaturze i ruchu.
• Zakresy pamięci. Zamiast odmawiać aplikacji dostępu do pamięci i patrzeć, jak się psuje, mówisz jej, że pamięć jest pusta, a potem przyznajesz dostęp do pojedynczych plików lub folderów. Aplikacja wierzy, że ma pełny dostęp, a widzi tylko to, co wybrałeś.
• Zakresy kontaktów. Ten sam trik w przypadku kontaktów. Aplikacji do komunikacji można pokazać dokładnie trzy osoby zamiast całej książki adresowej.

Zagrożenie: sam Google

Na standardowym telefonie z Androidem Google Play Services działa z szerokim uprzywilejowanym dostępem wbudowanym w system operacyjny. Nie da się go w praktyce usunąć, ograniczyć ani poddać audytowi, a jest celem w ramach zgodnego z prawem dostępu — Google otrzymuje i realizuje wnioski dotyczące geofencingu i kont.

GrapheneOS nie zawiera żadnego kodu Google. Jeśli potrzebujesz Play Store, możesz zainstalować sandboxed Google Play: zwykłe aplikacje Google działające jako normalna, nieuprzywilejowana aplikacja w wybranym przez ciebie profilu, podlegające wszystkim powyższym uprawnieniom, w tym przełącznikowi sieci. Większość aplikacji wymagających Play Services po prostu działa. Google dostaje to samo, co każda inna aplikacja: to, na co pozwolisz.

Zagrożenie: ktoś atakujący telefon zdalnie

Najemne oprogramowanie szpiegujące, narzędzia klasy Pegasus/Predator, było wielokrotnie używane przeciwko dziennikarzom i pracownikom organizacji praw człowieka w tym regionie. Żaden telefon nie jest odporny. Ale te łańcuchy exploitów są tworzone i testowane pod kątem fabrycznych systemów operacyjnych, a GrapheneOS zmienia grunt pod nimi: wzmocniony alokator pamięci, wzmocnione jądro i libc, surowsze zabezpieczenia kompilatora oraz agresywna redukcja powierzchni ataku. Kilka udokumentowanych łańcuchów exploitów zawiodło na nim przypadkowo, po prostu dlatego, że założenia, na których opierał się exploit, przestały być prawdziwe.

02Dlaczego tylko Pixel i który kupić

Wymóg Pixela frustruje ludzi, ale to nie faworyzowanie. Wynika to z powyższego punktu o verified boot. Google Pixele są w praktyce jedynymi szeroko dostępnymi telefonami, które pozwalają systemowi operacyjnemu strony trzeciej ponownie zablokować bootloader własnym kluczem i zachować pełny verified boot oraz sprzętowe poświadczanie. Mają też dedykowany element bezpieczeństwa i otrzymują długie, przewidywalne wsparcie firmware, a firmware to jedyna warstwa, której żaden projekt systemu operacyjnego nie naprawi za ciebie.

Kupowanie bez zostawiania śladu

Jeśli twój model zagrożenia obejmuje kogoś, kto ustala, że posiadasz wzmocniony telefon, zakup jest słabym punktem, nie urządzenie.

• Gotówka, osobiście, z drugiej ręki jest najczystsza. Sprawdź status blacklisty IMEI przed zapłatą.
• Nie kupuj sprzętu zablokowanego na operatora ani brandowanego przez operatora — niektórych wariantów operatorskich nie da się w ogóle odblokować do instalacji.
• Kup telefon i SIM w różnych miejscach, najlepiej w różne dni.
• Fabrycznie nowy, zapieczętowany telefon z dużego sklepu, opłacony gotówką, też jest w porządku i usuwa wszelkie obawy o to, co zrobił z nim poprzedni właściciel.

03Z czego rezygnujesz

Każdy przewodnik, który pomija tę sekcję, coś ci sprzedaje. Oto prawdziwa lista.

04Instalacja

Oficjalny instalator internetowy robi wszystko z przeglądarki. To najłatwiejsza instalacja niestandardowego systemu operacyjnego, jaka istnieje, i bardzo trudno jest w ten sposób trwale uszkodzić Pixela — nieudaną instalację można odzyskać, zaczynając od nowa.

1. Przygotuj sobie oficjalną instrukcję

   Otwórz grapheneos.org/install/web i korzystaj z niej równolegle z tą stroną. Oficjalny przewodnik jest autorytatywny i na bieżąco aktualizowany; ten wyjaśnia uzasadnienie i decyzje, których instalator nie podejmuje za ciebie. Wpisz adres ręcznie, nie wchodź na niego przez wyszukiwarkę, gdzie łudząco podobne domeny wykupują reklamy.

2. Użyj przeglądarki opartej na Chromium na komputerze

   Instalator wymaga WebUSB, co oznacza Chrome, Edge, Vanadium lub podobną. Firefox i Safari nie zadziałają. Użyj dobrej jakości kabla USB-C — idealny jest ten dołączony do telefonu. Większość zgłaszanych niepowodzeń instalacji to zły kabel lub zawodny hub, więc podłączaj się bezpośrednio do komputera.

3. Włącz opcje programisty i odblokuj bootloader

   Na telefonie: Ustawienia → Informacje o telefonie → stuknij siedem razy w Numer kompilacji. Następnie Ustawienia → System → Opcje programisty → włącz Odblokowanie OEM i Debugowanie USB.

   Jeśli opcja odblokowania OEM jest wyszarzona

   Telefon jest zablokowany na operatora lub jest zbyt nowy względem konta. Podłącz go do internetu i zostaw na jakiś czas albo rozwiąż blokadę operatora. Nie wymuszaj tego — Pixel zablokowany na operatora może w ogóle nie dać się zainstalować, dlatego powyższa porada zakupowa mówi, żeby ich unikać.

4. Uruchom instalator internetowy

   Przejdź przez stronę po kolei: odblokuj bootloader, pobierz wydanie, wgraj je. Przeglądarka poprosi o wybranie urządzenia — wybierz Pixel, gdy pojawi się okno dialogowe. Cały etap wgrywania trwa zwykle od dziesięciu do piętnastu minut przy dobrym połączeniu. Nie odłączaj go.

5. Zablokuj ponownie bootloader, nie pomijaj tego

   Ostatni krok instalatora. Pominięcie go pozostawia telefon trwale podatnym na dostęp dla każdego, kto ma fizyczny dostęp, i wyrzuca jeden z głównych powodów, dla których w ogóle używa się GrapheneOS. Instalator nie pozwoli zablokować uszkodzonej instalacji, więc jeśli polecenie się powiedzie, wszystko jest w porządku.

6. Potwierdź stan rozruchu

   Przy pierwszym rozruchu powinieneś zobaczyć żółty komunikat zweryfikowanego rozruchu z własnym kluczem podpisywania GrapheneOS, a następnie kreatora konfiguracji. Żółty z kluczem GrapheneOS jest prawidłowy i oczekiwany. Pomarańczowy oznacza, że bootloader jest nadal odblokowany — wróć i zablokuj go.

05Pierwsza godzina: ustawienia, które mają znaczenie

Instalacja to większość pracy, ale ustawienia domyślne są celowo umiarkowane, aby zwykli ludzie nie zostali odcięci od własnych telefonów. Oto zmiany, które warto wprowadzić natychmiast.

1. Ustaw prawdziwe hasło, a nie 4-cyfrowy PIN

   To rzecz o największej wartości na tej stronie. Każda inna ochrona ostatecznie opiera się na twoim poświadczeniu. Sześć losowych słów albo PIN o co najmniej ośmiu cyfrach. Włącz też tasowanie PIN-u, skoro już tam jesteś.

2. Włącz automatyczny restart i skróć go

   Ustawienia → Zabezpieczenia. Wybierz okno czasowe pasujące do twojego życia. Jeśli jesteś w miejscu, gdzie konfiskata jest realnym ryzykiem, kilka godzin lub mniej. Kompromis polega na tym, że po restarcie alarmy i powiadomienia nie przychodzą, dopóki nie odblokujesz telefonu, i dokładnie o to chodzi.

3. Ogranicz port USB, gdy telefon jest zablokowany

   Ustawienia → Zabezpieczenia → USB. Co najmniej tylko ładowanie, gdy zablokowany; całkowicie wyłączony, jeśli możesz z tym żyć.

4. Wyłącz 2G

   Starsze 2G ma złamane szyfrowanie, a IMSI catchers działają, zmuszając twój telefon do przełączenia się na nie. GrapheneOS pozwala ci odmówić. Jest też tryb tylko LTE. Wyłącz 2G, chyba że jesteś gdzieś, gdzie naprawdę nie ma innego zasięgu.

5. Zdecyduj o Google, zanim cokolwiek zainstalujesz

   Jeśli możesz żyć bez Play Store, zrób to — pobieraj aplikacje z F-Droid, z Accrescent lub bezpośrednio od deweloperów, i ciesz się telefonem bez kodu Google. Jeśli potrzebujesz Play Services, zainstaluj sandboxed Google Play z wbudowanego repozytorium Apps, ale umieść je w dodatkowym profilu użytkownika, nie w głównym, aby było odgrodzone od twojej wrażliwej pracy.

6. Spraw, aby aplikacje działały z piaskownicą Google Play

   Otwórz aplikację GrapheneOS Apps w profilu, w którym chcesz używać aplikacji, a następnie zainstaluj Usługi Google Play. Instaluje ona zarówno usługi Play, jak i Sklep Play. Zainstaluj aplikację w tym samym profilu: piaskownica Play nie może świadczyć usług dla aplikacji w innym profilu. Aktualizuj usługi Play, Sklep Play i aplikację przez aplikację Apps i Sklep Play.

   Jeśli aplikacja się otwiera, ale logowanie, powiadomienia, mapy, zakupy lub odświeżanie w tle nie działają, sprawdź poniższe kwestie, zanim przyznasz jej szerszy dostęp:

   • Profil: upewnij się, że aplikacja i piaskownica Google Play są zainstalowane w tym samym profilu użytkownika.
   • Bateria: w ustawieniach aplikacji Usługi Google Play zezwól jej na działanie bez optymalizacji baterii, aby mogła dostarczać powiadomienia w tle. Zrób to samo dla aplikacji tylko wtedy, gdy nadal tego potrzebuje.
   • Uprawnienia aplikacji: włącz tylko uprawnienie potrzebne do niedziałającej funkcji — najczęściej Powiadomienia, Lokalizacja, Urządzenia w pobliżu, Aparat lub Pliki. Zacznij od wąskiego zakresu, przetestuj, a następnie dodaj kolejne tylko w razie potrzeby.
   • Lokalizacja: przyznaj aplikacji uprawnienie do lokalizacji, jeśli jej potrzebuje. Domyślne przekierowanie lokalizacji w GrapheneOS zwykle wystarcza; zmień ustawienia lokalizacji Google tylko wtedy, gdy zwykłe korzystanie z lokalizacji faktycznie zawodzi.
   • Aktualizacje i ponowne uruchomienie: zaktualizuj wszystkie trzy komponenty, wymuś zamknięcie i ponownie otwórz aplikację, a następnie zainstaluj ją ponownie, jeśli aktualizacja spowodowała zawieszenie.

   Niewielka liczba aplikacji odrzuca GrapheneOS, ponieważ wymagają one konkretnego wyniku weryfikacji integralności urządzenia. To ograniczenie twórcy aplikacji, a nie brakujące uprawnienie; nie należy osłabiać żadnych ustawień tylko po to, aby je obejść.

7. Skonfiguruj profile

   Oddzielne profile użytkowników mają oddzielne klucze szyfrowania. Praktyczny podział:

   • Właściciel, nic poza konfiguracją. Rzadko go używasz.
   • Osobisty — zwykłe życie, Play Services, jeśli ich potrzebujesz, bankowość, mapy.
   • Praca — dokumentacja, Signal, aparat, archiwum. Bez Google.

   Profil, do którego nie jesteś zalogowany, jest w spoczynku i zaszyfrowany. Możesz też skonfigurować profile tak, aby automatycznie kończyły sesję, gdy się przełączysz.

8. Audytuj uprawnienia aplikacja po aplikacji

   Każda aplikacja, którą instalujesz: czy potrzebuje internetu? Czujników? Prawdziwej pamięci masowej czy zakresu z trzema plikami? Domyślnie zakładaj, że nie, i włączaj rzeczy, gdy coś widocznie przestanie działać. To zajmuje dwadzieścia minut raz i procentuje na stałe.

9. Zweryfikuj, czy instalacja jest autentyczna

   Zainstaluj aplikację GrapheneOS Auditor i sparuj ją z drugim urządzeniem albo skorzystaj z oficjalnej usługi attest. Kryptograficznie potwierdza ona, że Twój telefon działa na autentycznym, niezmodyfikowanym GrapheneOS z zablokowanym bootloaderem, i może weryfikować to stale w czasie, co pozwoliłoby wykryć manipulacje po tym, jak telefon zniknął Ci z oczu.

06Czego cię nie ochroni

Jasne powiedzenie tego sprawia, że reszta poradnika jest godna zaufania.

• Sieć wie, że istniejesz. Twój operator nadal widzi, z którymi stacjami bazowymi się łączysz. Tak działa sieć komórkowa. Tylko pozostawienie telefonu za sobą to naprawia.
• To, co wysyłasz, i tak wycieka. Publikowanie na platformie lub wysyłanie wiadomości do kogoś, czyj własny telefon jest przejęty, nie jest chronione przez twój system operacyjny.
• Metadane w twoich plikach pozostają nietknięte. Nagrany film nadal zawiera dane GPS i szczegóły urządzenia, chyba że je usuniesz.
• Przymus. Żadne oprogramowanie nie oprze się komuś, kto może cię przetrzymać, dopóki go nie odblokujesz.
• Firmware i modem. Modem komórkowy działa na własnym, zastrzeżonym kodzie. GrapheneOS izoluje go tak dalece, jak pozwala na to Android; nie może go zastąpić.
• Ty. Ponowne użycie nazwy użytkownika, zalogowanie się do prywatnego konta z profilu służbowego lub opublikowanie zdjęcia z rozpoznawalnym oknem w tle zniweczy to wszystko. Większość ludzi jest identyfikowana przez nawyki, nie przez exploity.

07Pytania, które ludzie naprawdę zadają

08Źródła i dalsza lektura

• GrapheneOS — oficjalna strona grapheneos.org
• Pełna lista funkcji i zabezpieczeń grapheneos.org/features
• Oficjalny instalator internetowy grapheneos.org/install/web
• Obsługiwane urządzenia i daty zakończenia wsparcia — sprawdź przed zakupem grapheneos.org/faq#device-support
• Dokumentacja dotycząca Duress PIN grapheneos.org/usage#duress
• Amnesty International Security Lab — metodologia analizy kryminalistycznej Pegasus amnesty.org · informacje o zagrożeniu ze strony najemnego oprogramowania szpiegującego
• The Citizen Lab — bieżące badania nad ukierunkowaną inwigilacją citizenlab.ca

Ostatnia weryfikacja: 25 września 2026