Большинство советов по приватности предлагают изменить настройку. Этот совет предлагает заменить операционную систему на вашем телефоне. Это серьёзная просьба, поэтому в этом руководстве столько же времени уделено тому, чем вы жертвуете, сколько и тому, что приобретаете, и оно прямо говорит, когда ответ — не стоит и возиться.
GrapheneOS — это бесплатная версия Android с открытым исходным кодом, созданная некоммерческой организацией, ориентированной на безопасность, и работающая только на телефонах Google Pixel. Она удаляет Google из операционной системы, добавляет разрешения, которых нет в Android (переключатель интернета для каждого приложения, переключатель датчиков, поддельные пустые хранилище и контакты), укрепляет те части Android, которые используют злоумышленники, и добавляет защиты specifically от изъятия: PIN-код, стирающий телефон, автоматическую перезагрузку обратно в полностью зашифрованное состояние и блокировку USB-порта, пока телефон заблокирован. Установка занимает около двадцати минут из веб-браузера.
01Что это на самом деле исправляет
Перечислять функции легко. Полезнее начать с четырёх способов, которыми телефон создаёт людям проблемы, и посмотреть, что противопоставляется каждому из них.
Угроза: у вас отбирают телефон
На контрольно-пропускном пункте, при обыске, на границе. Инструменты судебной экспертизы, продаваемые полиции и спецслужбам по всему миру, лучше всего работают против телефона, который включён и был разблокирован хотя бы раз после загрузки — в этом состоянии значительная часть ваших данных уже расшифрована в памяти, а операционная система предоставляет множество точек атаки. Телефон, который был перезагружен и ещё не разблокирован, — гораздо более сложная цель: ключей шифрования там просто нет.
GrapheneOS целенаправленно противодействует этому:
- Автоматическая перезагрузка. Если телефон не разблокирован в течение заданного периода, он перезагружается обратно в это надёжно зашифрованное состояние до разблокировки. Настраивается, и может быть установлено значение вплоть до десяти минут. Телефон, изъятый утром и доставленный в лабораторию днём, прибывает «холодным».
- PIN принуждения. Вы задаёте второй PIN-код или пароль. Его ввод выглядит как обычная попытка разблокировки, но вместо этого необратимо стирает устройство — раздел данных и eSIM — путём уничтожения ключей. Это работает с экрана блокировки и из любого места, где устройство запрашивает ваш учётный данные.
- Управление USB-портом. Порт можно ограничить только зарядкой или полностью отключить, пока устройство заблокировано. Инструменты судебной экспертизы обычно подключаются через USB.
- Перемешивание PIN-кода и отсутствие ловушек с откатом на отпечаток пальца. Раскладку клавиатуры можно рандомизировать, чтобы подсматривающий через плечо или потолочная камера не могли узнать ваш PIN-код, а обработка неудачных попыток строже, чем в стандартном Android.
Осознайте юридические риски. Умышленное уничтожение данных во время обыска является уголовным преступлением во многих юрисдикциях, а его использование может превратить обыск устройства в обвинение в воспрепятствовании. Это инструмент для конкретной ситуации — враждебного неправового изъятия, когда содержимое подвергло бы опасности других людей, — а не действие по умолчанию. Решите заранее, спокойно, применимо ли это к вам, и никогда не настраивайте такой PIN, который можете ввести случайно.
Угроза: приложения на вашем собственном телефоне
В стандартном Android приложение, имеющее доступ к вашему хранилищу, может прочитать всё его содержимое. Приложение с разрешением на контакты получает весь ваш социальный граф. И каждое установленное приложение автоматически имеет доступ к интернету — в Android никогда не было разрешения, позволяющего это запретить.
- Разрешение на сеть. GrapheneOS добавляет его. Вы можете установить приложение и просто не давать ему выходить в интернет — приложение камеры, программу для чтения PDF, очиститель метаданных, офлайн-карту. Этот единственный переключатель полностью уничтожает большую часть телеметрии.
- Разрешение датчиков. Блокирует акселерометр, гироскоп, компас, барометр и другие датчики, которые Android предоставляет вообще без разрешения. Этих датчиков достаточно, чтобы создать цифровой отпечаток устройства и, согласно опубликованным исследованиям, определить набор текста и перемещение.
- Области хранилища. Вместо того чтобы отказать приложению в доступе к хранилищу и наблюдать, как оно ломается, вы сообщаете ему, что хранилище пусто, а затем предоставляете отдельные файлы или папки. Приложение считает, что у него полный доступ, а видит только то, что вы выбрали.
- Области контактов. Тот же приём для ваших контактов. Приложению для обмена сообщениями можно показать ровно трёх человек вместо всей вашей адресной книги.
Угроза: сама Google
На стандартном телефоне с Android сервисы Google Play работают с широкими привилегированными правами, встроенными в операционную систему. Их невозможно по-настоящему удалить, ограничить или проверить, и они являются целью для законного доступа — Google получает и отвечает на запросы о геозонах и аккаунтах.
GrapheneOS поставляется вообще без кода Google. Если вам нужен Play Store, вы можете установить изолированный Google Play: обычные приложения Google, работающие как обычное непривилегированное приложение в выбранном вами профиле, подчиняясь всем разрешениям выше, включая переключатель сети. Большинство приложений, которым нужны сервисы Play, просто работают. Google получает то же, что и любое другое приложение: то, что вы ему разрешите.
Угроза: кто-то атакует телефон удалённо
Наёмное шпионское ПО, инструменты класса Pegasus/Predator, неоднократно применялось против журналистов и правозащитников в этом регионе. Ни один телефон не обладает иммунитетом. Но эти цепочки эксплойтов создаются и тестируются против стандартных операционных систем, а GrapheneOS меняет основу под ними: усиленный аллокатор памяти, усиленное ядро и libc, более строгие меры защиты компилятора и агрессивное сокращение поверхности атаки. Несколько задокументированных цепочек эксплойтов потерпели неудачу против неё случайно, просто потому что предположения, на которые опирался эксплойт, больше не были верны.
Это техническая деталь, которая отличает GrapheneOS почти от всех других кастомных Android ROM, и её стоит понять. Большинство кастомных ROM требуют оставить загрузчик разблокированным, что навсегда отключает проверенную загрузку: тогда телефон запустит любую операционную систему, которую кто-либо на него поставит, и вмешательство станет невозможно обнаружить. GrapheneOS поддерживает повторную блокировку загрузчика с собственным ключом подписи, поэтому полная аппаратная цепочка доверия остаётся intact. Вы сохраняете аппаратную безопасность Pixel и получаете усиленную ОС. Вы не обмениваете одно на другое.
02Почему только Pixel, и какой покупать
Требование Pixel раздражает людей, и это не фаворитизм. Оно следует из пункта о проверенной загрузке выше. Google Pixel — это, на практике, единственные широко доступные телефоны, которые позволяют сторонней операционной системе повторно заблокировать загрузчик с собственным ключом и сохранить полную проверенную загрузку и аппаратную аттестацию. Они также поставляются с выделенным защищённым элементом и получают длительную, предсказуемую поддержку прошивки, а прошивка — это единственный слой, который ни один проект ОС не может исправить за вас.
Безопасность Pixel определяется только обновлениями прошивки. Pixel 8 и более поздние модели поставляются с семью годами гарантированных обновлений с момента выпуска; у более ранних моделей окна были короче, а у некоторых уже закончились. Проверьте актуальный список поддерживаемых устройств на grapheneos.org, прежде чем что-либо покупать, новое или б/у: Pixel без поддержки, работающий на GrapheneOS, всё ещё имеет непропатченную прошивку под ней, а это именно тот слой, который важнее всего.
Покупка без создания бумажного следа
Если ваша модель угроз включает кого-то, кто устанавливает, что вы владеете защищённым телефоном, покупка — это слабое место, а не устройство.
- Наличные, лично, из вторых рук — самый чистый вариант. Проверьте статус IMEI в чёрном списке перед оплатой.
- Не покупайте аппараты, заблокированные оператором или брендированные оператором: некоторые варианты операторов вообще невозможно разблокировать для установки.
- Покупайте телефон и SIM-карту в разных местах, в идеале в разные дни.
- Совершенно новый запечатанный телефон из крупного магазина, оплаченный наличными, тоже подходит и снимает любые опасения о том, что с ним делал предыдущий владелец.
03От чего вы отказываетесь
Каждое руководство, которое пропускает этот раздел, что-то вам продаёт. Вот реальный список.
| Вещь | Статус | Подробности |
|---|---|---|
| Бесконтактные платежи | Не работают | Оплата в Google Wallet по касанию не работает и не предполагается, что будет. Носите с собой карту. Это самая распространённая причина, по которой люди возвращаются обратно. |
| Банковские и государственные приложения | Смешанно | Большинство работают с изолированным Play; некоторым нужны ожидаемые ими разрешения или настройки, такие как геолокация, уведомления или доступ к сети. Меньшинство полностью отказывает при проверках целостности устройства. Проверьте свой конкретный банк, прежде чем полагаться на него. |
| Некоторый стриминг в HD | Смешанно | Некоторые сервисы снижают разрешение из-за сертификации DRM. |
| Голосовая почта оператора и RCS | Смешанно | Зависит от оператора. Обычные звонки, SMS и мобильные данные не затронуты. |
| Ваша гарантия | Зависит | Законодательство о защите прав потребителей в ЕС и Великобритании, как правило, защищает вас; в других странах исходите из того, что разблокировка загрузчика может считаться аннулированием гарантии. Установка в любом случае полностью обратима. |
| Не выделяться | Стоимость | Обсуждается ниже. Прочитайте. |
| Повседневная удобность | Нормально | Это Android. Интерфейс, Play Store, ваши приложения, уведомления — всё как обычно. Большинство людей перестают это замечать в течение недели. |
Укреплённый телефон сам по себе может привлекать внимание. На контрольно-пропускном пункте сотрудник, не знакомый с вашей операционной системой, может счесть это подозрительным само по себе, а в некоторых местах использование необычного программного обеспечения воспринимается как доказательство того, что вам есть что скрывать.
Это реальный компромисс, и универсального ответа здесь нет. Стоит знать о двух способах смягчить проблему: GrapheneOS выглядит как обычный Android для любого, кто бросит взгляд на экран, и вы можете сохранить обычный на вид профиль владельца с повседневными приложениями, пока ваша чувствительная работа находится в отдельном профиле пользователя с собственным шифрованием. Если вы живёте там, где проверка устройств — обычное дело, тщательно взвесьте это и прочитайте руководство по контрольно-пропускным пунктам, когда оно будет опубликовано.
04Установка
Официальный веб-установщик делает всё из браузера. Это самая простая установка кастомной ОС из существующих, и таким образом очень трудно безвозвратно сломать Pixel — неудачную установку можно восстановить, начав заново.
Установка стирает всё. Сделайте резервную копию ваших фотографий, ваших семян двухфакторного аутентификатора и переноса вашего аккаунта Signal сначала, и убедитесь, что вы действительно можете их восстановить. Приложения-аутентификаторы — это то, что люди теряют; если ваши 2FA-коды хранятся только на этом телефоне, разберитесь с этим до начала, иначе вы заблокируете себе доступ к своим же аккаунтам.
-
Держите перед собой официальные инструкции
Откройте grapheneos.org/install/web и следуйте ей параллельно с этой страницей. Официальное руководство является авторитетным и поддерживается в актуальном состоянии; это объясняет логику и решения, которые установщик не принимает за вас. Введите адрес вручную, не переходите по нему через поисковую систему, где похожие домены покупают рекламу.
-
Используйте браузер на основе Chromium на компьютере
Установщику требуется WebUSB, а значит, Chrome, Edge, Vanadium или аналогичный. Firefox и Safari не подойдут. Используйте качественный кабель USB-C, идеально подойдёт тот, что шёл в комплекте с телефоном. Большинство сообщаемых сбоев установки — это плохой кабель или ненадёжный концентратор, поэтому подключайте напрямую к компьютеру.
-
Включите параметры разработчика и разблокируйте загрузчик
На телефоне: Настройки → О телефоне → нажмите Номер сборки семь раз. Затем Настройки → Система → Для разработчиков → включите Разблокировку OEM и Отладку по USB.
Если разблокировка OEM неактивнаТелефон заблокирован оператором или слишком новый для аккаунта. Подключите его к интернету и оставьте на некоторое время, или решите вопрос с блокировкой оператора. Не форсируйте это, Pixel с блокировкой оператора может вообще не поддаваться установке, поэтому в советах по покупке выше сказано их избегать.
-
Запустите веб-установщик
Пройдите страницу по порядку: разблокируйте загрузчик, скачайте релиз, прошейте его. Браузер попросит выбрать устройство — выберите Pixel, когда появится диалог. Весь этап прошивки обычно занимает от десяти до пятнадцати минут при хорошем соединении. Не отключайте его.
-
Заблокируйте загрузчик обратно, не пропускайте этот шаг
Последний шаг установщика. Если его пропустить, ваш телефон останется навсегда уязвимым для любого, у кого есть физический доступ, и вы выбросите одну из главных причин вообще использовать GrapheneOS. Установщик не позволит заблокировать сломанную установку, так что если команда выполнилась успешно, всё в порядке.
-
Подтвердите состояние загрузки
При первой загрузке вы должны увидеть жёлтое уведомление о проверенной загрузке с собственным ключом подписи GrapheneOS, а затем мастер настройки. Жёлтый с ключом GrapheneOS — это правильно и ожидаемо. Оранжевый означает, что загрузчик всё ещё разблокирован — вернитесь и заблокируйте его.
05Первый час: настройки, которые важны
Установка — это большая часть работы, но настройки по умолчанию намеренно умеренные, чтобы обычные люди не оказались заблокированными в собственных телефонах. Вот изменения, которые стоит внести немедленно.
-
Задайте настоящую парольную фразу, а не 4-значный PIN
Это самое ценное действие на этой странице. Вся остальная защита в конечном счёте держится на ваших учётных данных. Шесть случайных слов или PIN не менее чем из восьми цифр. Включите перемешивание PIN, пока вы там.
-
Включите автоматическую перезагрузку и сократите её
Настройки → Безопасность. Выберите окно, подходящее вашей жизни. Если вы там, где изъятие — реальный риск, несколько часов или меньше. Компромисс в том, что после перезагрузки будильники и уведомления не приходят, пока вы не разблокируете устройство, — и это как раз и есть цель.
-
Ограничьте USB-порт, пока устройство заблокировано
Настройки → Безопасность → USB. Как минимум только зарядка при блокировке; полностью отключите, если можете с этим жить.
-
Отключите 2G
Устаревшая сеть 2G имеет сломанное шифрование, и IMSI-ловушки работают, принудительно переключая ваш телефон на неё. GrapheneOS позволяет отказаться. Также есть режим «только LTE». Отключите 2G, если вы не находитесь в месте, где действительно нет другого покрытия.
-
Решите насчёт Google до того, как что-либо устанавливать
Если вы можете обойтись без Play Store — обойдитесь: берите приложения из F-Droid, из Accrescent или напрямую у разработчиков — и пользуйтесь телефоном без единой строки кода Google. Если вам нужны Play Services, установите изолированный Google Play из встроенного репозитория Apps, но поместите его в дополнительный профиль пользователя, а не в основной, чтобы он был отгорожен от вашей чувствительной работы.
-
Сделайте так, чтобы приложения работали с изолированным Google Play
Откройте приложение GrapheneOS Apps в профиле, где вы хотите использовать приложение, затем установите Google Play services. Оно устанавливает и Play services, и Play Store. Установите приложение в том же профиле: изолированный Play не может предоставлять сервисы приложению в другом профиле. Поддерживайте Play services, Play Store и приложение в актуальном состоянии через приложение Apps и Play Store.
Если приложение открывается, но вход в аккаунт, уведомления, карты, покупки или обновление в фоне не работают, проверьте следующее, прежде чем давать ему более широкий доступ:
- Профиль: убедитесь, что приложение и изолированный Google Play установлены в одном и том же профиле пользователя.
- Батарея: в настройках приложения Google Play services разрешите ему работать без оптимизации батареи, чтобы оно могло доставлять фоновые уведомления. Сделайте то же самое для приложения, только если ему это всё ещё нужно.
- Разрешения приложения: включите только то разрешение, которое нужно для неработающей функции — обычно это Уведомления, Геолокация, Устройства поблизости, Камера или Файлы. Начните с минимума, проверьте, затем добавьте ещё одно только при необходимости.
- Геолокация: дайте приложению разрешение на геолокацию, если ему нужна геолокация. Перенаправление геолокации по умолчанию в GrapheneOS обычно достаточно; меняйте настройки геолокации Google, только если обычное использование геолокации действительно не работает.
- Обновления и перезапуск: обновите все три компонента, принудительно закройте и снова откройте приложение, затем переустановите его, если после обновления оно зависло.
Небольшое число приложений отклоняет GrapheneOS, потому что они требуют определённого вердикта о целостности устройства. Это ограничение производителя приложения, а не отсутствующее разрешение; не следует ослаблять никакие настройки только для того, чтобы обойти его.
-
Настройте профили
Отдельные профили пользователей имеют отдельные ключи шифрования. Практичное разделение:
- Владелец — ничего, кроме настройки. Вы редко им пользуетесь.
- Личный — обычная жизнь, Play Services, если они вам нужны, банки, карты.
- Рабочий — документация, Signal, камера, архив. Без Google.
Профиль, в который вы не вошли, находится в состоянии покоя и зашифрован. Вы также можете настроить профили так, чтобы они автоматически завершали сеанс при переключении на другой.
-
Проверьте разрешения приложение за приложением
Каждое устанавливаемое приложение: нужен ли ему интернет? Датчики? Реальное хранилище или область с тремя файлами в ней? По умолчанию исходите из того, что нет, и включайте что-либо, когда что-то явно перестаёт работать. Это занимает двадцать минут один раз и окупается навсегда.
-
Убедитесь, что установка подлинная
Установите приложение GrapheneOS Auditor и подключите его ко второму устройству или воспользуйтесь официальным сервисом аттестации. Оно криптографически подтверждает, что ваш телефон работает под управлением подлинной, немодифицированной GrapheneOS с заблокированным загрузчиком, и может продолжать проверять это со временем — именно так вы обнаружите вмешательство после того, как телефон покидал ваше поле зрения.
- Скачивайте только с
grapheneos.org, вводя адрес вручную - Заблокируйте загрузчик обратно
- Используйте длинную парольную фразу
- Держите телефон обновлённым — установка обновлений происходит автоматически и часто
- Разделяйте личности по отдельным профилям
- Проверьте приложение вашего банка, прежде чем полагаться на него
- Устанавливайте сборки с форумов, из Telegram или по ссылкам с YouTube
- Получайте root — это уничтожает ту модель безопасности, ради которой вы пришли
- Добавляйте аккаунт Google в свой чувствительный профиль
- Не исходите из того, что это защитит от целевой операции спецслужб
- Установите PIN-код принуждения, который вы не продумали с юридической точки зрения
- Оставьте загрузчик разблокированным «пока что»
06От чего это не защищает
Именно эта ясность делает остальную часть руководства заслуживающей доверия.
- Сеть знает о вашем существовании. Ваш оператор по-прежнему видит, к каким вышкам вы подключаетесь. Так работает сотовая связь. Это исправляется только отказом от телефона.
- То, что вы отправляете, всё равно уходит. Публикация на платформе или сообщение кому-то, чей телефон скомпрометирован, не защищены вашей операционной системой.
- Метаданные в ваших файлах остаются нетронутыми. Снятое вами видео по-прежнему содержит GPS-координаты и сведения об устройстве, если вы их не удалите.
- Принуждение. Никакое программное обеспечение не противостоит тому, кто может удерживать вас, пока вы его не разблокируете.
- Прошивка и базовый модуль. Сотовый модем работает на собственном проприетарном коде. GrapheneOS изолирует его настолько, насколько это позволяет Android; он не может его заменить.
- Вы сами. Повторное использование имени пользователя, вход в личный аккаунт из рабочего профиля или публикация фотографии с узнаваемым окном сведут на нет всё это. Большинство людей идентифицируют по привычкам, а не по эксплойтам.
07Вопросы, которые люди действительно задают
Законно ли это использовать?
Установка другой операционной системы на принадлежащее вам оборудование законна в подавляющем большинстве стран, а GrapheneOS — это открыто разрабатываемый некоммерческий проект. Тем не менее, в некоторых юрисдикциях и на некоторых границах шифрование или необычное программное обеспечение вызывает давление независимо от законности. Знайте свою ситуацию.
Сложно ли пользоваться этим каждый день?
Нет. Это Android с простым интерфейсом и без предустановленного мусора. Кривая обучения — это модель разрешений, и на это уйдёт максимум неделя. Настоящая сложность — это оплата касанием и occasional упрямое приложение, а не сама ОС.
Могу ли я вернуть его к обычному Android?
Да. Google публикует официальные заводские образы, и процесс — это та же прошивка в обратном порядке, заканчивающаяся снова заблокированным загрузчиком. Здесь ничто не является необратимым.
Почему не LineageOS, /e/OS или CalyxOS?
У них другие компромиссы. Решающий вопрос — проверенная загрузка: большинство альтернатив требуют оставить загрузчик разблокированным, а это значит, что телефон загрузит что угодно, и вмешательство невозможно обнаружить. Если ваша модель угроз включает кого-либо, получающего физический доступ к вашему устройству, — а это именно та модель угроз, которая есть у авторов этого сайта, — это дисквалифицирует их.
CalyxOS действительно поддерживает повторную блокировку на Pixel и является разумным выбором для того, кто хочет более мягкую настройку. Он далеко не так далеко заходит в усилении защиты или в описанных выше функциях, специфичных для изъятия.
Вредит ли это времени работы от батареи или производительности?
Время работы от батареи обычно такое же или лучше, в основном потому, что Google Play Services не работает в фоновом режиме, если вы не попросили об этом. Усиленный аллокатор памяти стоит несколько процентов производительности в бенчмарках и незаметен в использовании.
Я не могу позволить себе Pixel. Что мне делать?
Тогда сделайте всё остальное. Обычный телефон с длинной парольной фразой, Signal, осторожные разрешения, VPN и дисциплинированные привычки лучше, чем телефон с GrapheneOS, используемый небрежно. Аппаратное обеспечение — это один слой. Поведение — это то, что ловит большинство людей, и оно бесплатно. Подержанный Pixel с поддержкой также дешевле, чем большинство людей предполагает.
Как финансируется проект?
Пожертвования и гранты, как зарегистрированная некоммерческая организация. Никакой рекламы, никакого сбора данных, никаких сделок с производителями. Исходный код открыт, а сборки воспроизводимы, что означает, что любой может проверить, соответствует ли выпущенный бинарный файл опубликованному исходному коду.
08Источники и дополнительная литература
- GrapheneOS — официальный сайт grapheneos.org
- Полный список функций и мер усиления защиты grapheneos.org/features
- Официальный веб-установщик grapheneos.org/install/web
- Поддерживаемые устройства и даты окончания поддержки — проверьте перед покупкой grapheneos.org/faq#device-support
- Документация по PIN-коду принуждения grapheneos.org/usage#duress
- Amnesty International Security Lab — криминалистическая методология Pegasus amnesty.org · предыстория угрозы наёмного шпионского ПО
- The Citizen Lab — текущие исследования целенаправленного наблюдения citizenlab.ca
Последняя проверка: 25 сентября 2026