GrapheneOS: un telefon care nu depune mărturie împotriva ta

Majoritatea sfaturilor despre confidențialitate îți cer să schimbi o setare. Acesta îți cere să înlocuiești sistemul de operare de pe telefon. Este o cerere serioasă, așa că acest ghid petrece la fel de mult timp asupra a ceea ce renunți, cât și asupra a ceea ce câștigi, și îți spune clar când răspunsul este nu te deranja.

01Ce repară de fapt

Este ușor să enumeri funcții. Este mai util să pornești de la cele patru moduri în care un telefon îi bagă pe oameni în necazuri și să vezi cu ce este contracarat fiecare.

Amenințare: telefonul îți este luat

La un punct de control, într-o razie, la o frontieră. Instrumentele de extragere forensică vândute poliției și serviciilor de informații din întreaga lume funcționează cel mai bine împotriva unui telefon care este pornit și a fost deblocat cel puțin o dată de la bootare, în această stare o mare parte din datele tale sunt deja decriptate în memorie, iar sistemul de operare are o suprafață de atac mare expusă. Un telefon care a fost repornit și nu a fost încă deblocat este o țintă mult mai greu de atins: cheile de criptare pur și simplu nu sunt acolo.

GrapheneOS atacă direct această problemă:

• Repornire automată. Dacă telefonul nu este deblocat pentru o perioadă stabilită, acesta se repornește singur înapoi în acea stare puternic criptată de dinainte de deblocare. Configurabilă, și poate fi setată la doar zece minute. Un telefon confiscat dimineața și dus la un laborator după-amiaza ajunge rece.
• PIN de constrângere. Setezi un al doilea PIN sau o parolă. Introducerea acestuia arată ca o încercare normală de deblocare și, în schimb, șterge iremediabil dispozitivul — partiția de date și eSIM-urile, prin distrugerea cheilor. Funcționează de pe ecranul de blocare și din orice loc unde dispozitivul îți cere credențialul.
• Controlul portului USB. Portul poate fi restricționat doar la încărcare, sau dezactivat complet, în timp ce dispozitivul este blocat. Instrumentele forensică ajung în general prin USB.
• Amestecarea PIN-ului și capcane fără fallback la amprentă. Aspectul tastaturii poate fi randomizat astfel încât cineva care se uită peste umăr sau o cameră de pe tavan să nu poată afla PIN-ul tău, iar gestionarea încercărilor eșuate este mai strictă decât pe Android standard.

Amenințare: aplicațiile de pe propriul telefon

Pe Android standard, o aplicație care poate citi stocarea ta o poate citi pe toată. O aplicație cu permisiune de contacte îți ia întregul graf social. Și fiecare aplicație instalată are acces la internet automat — Android nu a avut niciodată o permisiune pentru a refuza asta.

• Permisiune de rețea. GrapheneOS adaugă una. Poți instala o aplicație și pur și simplu să nu o lași să comunice cu internetul, o aplicație de cameră, un cititor PDF, un instrument de curățare a metadatelor, o hartă offline. Acest singur comutator elimină majoritatea telemetriei direct.
• Permisiunea pentru senzori. Blochează accelerometrul, giroscopul, busola, barometrul și alți senzori pe care Android îi expune fără nicio permisiune. Acești senzori sunt suficienți pentru a identifica un dispozitiv și, conform cercetărilor publicate, pentru a deduce tastarea și mișcarea.
• Domenii de stocare. În loc să refuzi unei aplicații accesul la stocare și să o vezi cum se strică, îi spui că stocarea este goală, apoi acorzi fișiere sau foldere individuale. Aplicația crede că are acces complet și vede doar ce ai ales tu.
• Domenii de contacte. Același truc pentru contactele tale. Unei aplicații de mesagerie i se pot arăta exact trei persoane în loc de întreaga ta carte de adrese.

Amenințare: Google însuși

Pe un telefon Android standard, Google Play Services rulează cu acces privilegiat extins integrat în sistemul de operare. Nu poate fi eliminat, restricționat sau auditat în mod semnificativ, și este o țintă pentru accesul legal — Google primește și răspunde la solicitări de geofence și de cont.

GrapheneOS nu vine cu niciun cod Google. Dacă ai nevoie de Play Store, poți instala Google Play în sandbox: aplicațiile Google obișnuite, rulând ca o aplicație normală fără privilegii în orice profil alegi, supusă fiecărei permisiuni de mai sus, inclusiv comutatorului de rețea. Majoritatea aplicațiilor care au nevoie de Play Services pur și simplu funcționează. Google primește ce primește orice altă aplicație: ce îi permiți tu.

Amenințare: cineva care atacă telefonul de la distanță

Spyware-ul mercenar, clasa de instrumente Pegasus/Predator, a fost folosit în mod repetat împotriva jurnaliștilor și lucrătorilor din domeniul drepturilor omului din această regiune. Niciun telefon nu este imun. Dar aceste lanțuri de exploatare sunt construite și testate împotriva sistemelor de operare standard, iar GrapheneOS schimbă terenul de sub ele: un alocator de memorie întărit, un kernel și libc întărite, măsuri de protecție mai stricte la compilare și o reducere agresivă a suprafeței de atac. Mai multe lanțuri de exploatare documentate au eșuat împotriva sa incidental, pur și simplu pentru că presupunerile pe care se bazau exploaturile nu mai erau valabile.

02De ce este doar pentru Pixel și pe care să-l cumperi

Cerința Pixel frustrează oamenii și nu este favoritism. Decurge din punctul despre boot-ul verificat de mai sus. Google Pixels sunt, în practică, singurele telefoane disponibile pe scară largă care permit unui sistem de operare terț să re-blocheze bootloader-ul cu propria cheie și să păstreze boot-ul verificat complet și atestarea susținută hardware. De asemenea, vin cu un element securizat dedicat și primesc suport firmware lung și previzibil, iar firmware-ul este singurul strat pe care niciun proiect de sistem de operare nu îl poate repara pentru tine.

Cumpărarea fără a lăsa urme

Dacă modelul tău de amenințare include cineva care să stabilească că deții un telefon securizat, achiziția este punctul slab, nu dispozitivul.

• Numerar, în persoană, second-hand este cea mai curată variantă. Verifică statutul IMEI pe lista neagră înainte de a plăti.
• Nu cumpăra stoc blocat pe operator sau branduit de operator, unele variante de operator nu pot fi deblocate pentru instalare deloc.
• Cumpără telefonul și SIM-ul din locuri diferite, ideal în zile diferite.
• Un telefon nou-nouț sigilat de la un retailer mare plătit în numerar este de asemenea în regulă și elimină orice îngrijorare legată de ce a făcut un proprietar anterior cu el.

03La ce renunți

Orice ghid care sare peste această secțiune îți vinde ceva. Iată lista reală.

04Instalarea

Instalatorul web oficial face totul dintr-un browser. Este cea mai ușoară instalare de sistem de operare personalizat care există și este foarte greu să strici permanent un Pixel în acest fel; o instalare eșuată poate fi recuperată pornind de la zero.

1. Pune-ți instrucțiunile oficiale în față

   Deschide grapheneos.org/install/web și urmărește-le alături de această pagină. Ghidul oficial este autoritar și menținut actualizat; acesta explică raționamentul și deciziile pe care instalatorul nu le ia pentru tine. Tastează adresa manual, nu ajunge la ea prin intermediul unui motor de căutare, unde domenii care seamănă cumpără reclame.

2. Folosește un browser bazat pe Chromium pe un computer

   Instalatorul are nevoie de WebUSB, ceea ce înseamnă Chrome, Edge, Vanadium sau similar. Firefox și Safari nu vor funcționa. Folosește un cablu USB-C de bună calitate, cel care a venit cu telefonul este ideal. Majoritatea eșecurilor de instalare raportate sunt cauzate de un cablu defect sau de un hub instabil, așa că conectează direct la calculator.

3. Activează opțiunile pentru dezvoltatori și deblochează bootloader-ul

   Pe telefon: Setări → Despre telefon → apasă de șapte ori pe Număr versiune. Apoi Setări → Sistem → Opțiuni pentru dezvoltatori → activează Deblocare OEM și Depanare USB.

   Dacă deblocarea OEM este estompată

   Telefonul este blocat pe operator sau este prea nou pentru cont. Conectează-l la internet și lasă-l o vreme, sau rezolvă blocarea pe operator. Nu forța, un Pixel blocat pe operator poate să nu fie instalabil deloc, motiv pentru care sfatul de cumpărare de mai sus spune să le eviți.

4. Rulează instalatorul web

   Parcurge pagina în ordine: deblochează bootloader-ul, descarcă versiunea, instaleaz-o. Browserul îți va cere să selectezi dispozitivul — alege Pixel când apare dialogul. Întreaga etapă de instalare durează de obicei zece până la cincisprezece minute pe o conexiune decentă. Nu îl deconecta.

5. Re-blocare bootloader, nu sări peste acest pas

   Ultimul pas al instalatorului. Dacă îl sari, telefonul rămâne vulnerabil permanent pentru oricine are acces fizic și arunci una dintre principalele rațiuni pentru care folosești GrapheneOS. Instalatorul nu îți va permite să blochezi o instalare defectuoasă, așa că dacă comanda reușește, ești în regulă.

6. Confirmă starea de boot

   La prima pornire ar trebui să vezi notificarea galbenă de boot verificat care afișează cheia de semnare proprie GrapheneOS, apoi asistentul de configurare. Galben cu cheia GrapheneOS este corect și de așteptat. Portocaliu înseamnă că bootloader-ul este încă deblocat — întoarce-te și blochează-l.

05Prima oră: setările care contează

Instalarea este cea mai mare parte a muncii, dar setările implicite sunt deliberat de nivel moderat, astfel încât oamenii obișnuiți să nu fie blocați în afara propriilor telefoane. Acestea sunt modificările care merită făcute imediat.

1. Setează o parolă reală, nu un PIN de 4 cifre

   Acesta este lucrul cu cea mai mare valoare de pe această pagină. Toate celelalte protecții se bazează în cele din urmă pe credențialul tău. Șase cuvinte aleatorii sau un PIN de cel puțin opt cifre. Activează amestecarea PIN-ului cât timp ești acolo.

2. Activează repornirea automată și scurtează intervalul

   Setări → Securitate. Alege o fereastră care se potrivește vieții tale. Dacă te afli într-un loc unde confiscarea este un risc real, câteva ore sau mai puțin. Compromisul este că după o repornire, alarmele și notificările nu sosesc până când nu deblochezi, ceea ce este exact ideea.

3. Restrânge portul USB când telefonul este blocat

   Setări → Securitate → USB. Doar încărcare când este blocat, la minimum; complet dezactivat dacă poți trăi cu asta.

4. Dezactivează 2G

   2G-ul vechi are criptare compromisă, iar IMSI catchers funcționează forțând telefonul tău să coboare pe el. GrapheneOS îți permite să refuzi. Există și un mod doar-LTE. Dezactivează 2G dacă nu ești undeva cu într-adevăr nicio altă acoperire.

5. Decide despre Google înainte să instalezi ceva

   Dacă poți trăi fără Play Store, fă-o — obține aplicații de la F-Droid, de la Accrescent, sau direct de la dezvoltatori, și bucură-te de un telefon fără cod Google pe el. Dacă ai nevoie de Play Services, instalează Google Play în sandbox din depozitul de aplicații integrat, dar pune-l într-un profil de utilizator secundar, nu în cel principal, astfel încât să fie izolat de activitatea ta sensibilă.

6. Faceți ca aplicațiile să funcționeze cu Google Play în sandbox

   Deschideți aplicația GrapheneOS Apps în profilul în care doriți să utilizați o aplicație, apoi instalați Google Play services. Aceasta instalează atât Play services, cât și Play Store. Instalați aplicația în același profil: Play în sandbox nu poate furniza servicii unei aplicații din alt profil. Mențineți Play services, Play Store și aplicația actualizate prin aplicația Apps și Play Store.

   Dacă o aplicație se deschide, dar autentificarea, notificările, hărțile, achizițiile sau reîmprospătarea în fundal nu funcționează, verificați acestea înainte de a-i acorda acces mai larg:

   • Profil: confirmați că aplicația și Google Play în sandbox sunt instalate în același profil de utilizator.
   • Baterie: în setările aplicației Google Play services, permiteți-i să ruleze fără optimizarea bateriei, astfel încât să poată livra notificări în fundal. Faceți același lucru pentru aplicație doar dacă încă are nevoie de asta.
   • Permisiuni pentru aplicație: activați doar permisiunea de care are nevoie funcția care a eșuat — de obicei Notifications, Location, Nearby devices, Camera sau Files. Începeți restrâns, testați, apoi adăugați alta doar când este necesar.
   • Locație: acordați aplicației permisiunea de locație dacă are nevoie de locație. Redirecționarea implicită a locației din GrapheneOS este de obicei suficientă; modificați setările de locație Google doar dacă utilizarea obișnuită a locației chiar eșuează.
   • Actualizări și repornire: actualizați toate cele trei componente, forțați închiderea și redeschideți aplicația, apoi reinstalați-o dacă o actualizare a blocat-o.

   Un număr mic de aplicații resping GrapheneOS pentru că cer un anumit verdict de integritate a dispozitivului. Aceasta este o restricție impusă de creatorul aplicației, nu o permisiune lipsă; nicio setare nu ar trebui slăbită doar pentru a o ocoli.

7. Configurează profiluri

   Profilurile de utilizator separate au chei de criptare separate. O separare practică:

   • Proprietar, nimic altceva decât configurare. Îl folosești rar.
   • Personal — viața obișnuită, Play Services dacă ai nevoie de ele, banking, hărți.
   • Muncă — documentație, Signal, cameră, arhiva. Fără Google.

   Un profil în care nu ești autentificat este în repaus și criptat. Poți de asemenea să configurezi profilurile să-și încheie sesiunea automat când treci la altul.

8. Auditează permisiunile aplicație cu aplicație

   Fiecare aplicație pe care o instalezi: are nevoie de internet? De senzori? De stocare reală, sau de un scope cu trei fișiere în el? Presupune că nu în mod implicit și activează lucrurile când ceva se strică vizibil. Asta durează douăzeci de minute o dată și rentează permanent.

9. Verificați că instalarea este autentică

   Instalați aplicația GrapheneOS Auditor și asociați-o cu un al doilea dispozitiv, sau folosiți serviciul oficial de atestare. Aceasta confirmă criptografic că telefonul dumneavoastră rulează un GrapheneOS autentic, nemodificat, cu bootloader-ul blocat, și poate continua să îl verifice în timp, ceea ce vă permite să detectați manipularea după ce telefonul a ieșit din raza dumneavoastră vizuală.

06De ce nu te protejează

Faptul că suntem clari în privința asta este ceea ce face restul ghidului demn de încredere.

• Rețeaua știe că exiști. Operatorul tău vede în continuare la ce turnuri te conectezi. Așa funcționează telefonia celulară. Doar lăsarea telefonului acasă rezolvă asta.
• Ce trimiți tot pleacă. Postarea pe o platformă sau trimiterea unui mesaj către cineva al cărui telefon este compromis nu este protejată de sistemul tău de operare.
• Metadatele din fișierele tale rămân intacte. Un videoclip pe care îl filmezi încă conține GPS și detalii despre dispozitiv dacă nu le elimini.
• Constrângerea. Niciun software nu rezistă în fața cuiva care te poate reține până îl deblochezi.
• Firmware-ul și banda de bază. Modemul celular rulează propriul său cod proprietar. GrapheneOS îl izolează pe cât permite Android; nu îl poate înlocui.
• Tu. Reutilizarea unui nume de utilizator, conectarea la un cont personal dintr-un profil de lucru sau postarea unei fotografii cu o fereastră recognoscibilă în ea vor anula toate acestea. Majoritatea oamenilor sunt identificați prin obiceiuri, nu prin exploatări.

07Întrebări pe care oamenii le pun de fapt

08Surse și lecturi suplimentare

• GrapheneOS — site oficial grapheneos.org
• Lista completă de funcții și securizare grapheneos.org/features
• Instalator web oficial grapheneos.org/install/web
• Dispozitive compatibile și date de sfârșit de viață, verificați înainte de a cumpăra grapheneos.org/faq#device-support
• Documentația PIN-ului de constrângere grapheneos.org/usage#duress
• Amnesty International Security Lab — metodologia criminalistică Pegasus amnesty.org · context despre amenințarea spyware-ului mercenar
• The Citizen Lab — cercetare continuă privind supravegherea țintită citizenlab.ca

Ultima verificare: 25 septembrie 2026