GrapheneOS: isang teleponong hindi nagbibigay ng ebidensya laban sa iyo

Karamihan sa payo tungkol sa privacy ay humihiling sa iyong baguhin ang isang setting. Ang isang ito ay humihiling sa iyong palitan ang operating system sa iyong telepono. Malaking hiling iyon, kaya ang gabay na ito ay naglalaan ng maraming oras sa kung ano ang isinusuko mo tulad ng sa kung ano ang nakukuha mo, at sinasabi nito sa iyo nang tapat kung kailan ang sagot ay huwag na lang.

01Ano talaga ang inaayos nito

Madaling maglista ng mga feature. Mas kapaki-pakinabang na magsimula sa apat na paraan kung paano napapasok ng telepono ang mga tao sa gulo, at tingnan kung ano ang isinasagot sa bawat isa.

Banta: kinukuha sa iyo ang telepono

Sa isang checkpoint, sa isang raid, sa isang hangganan. Ang mga forensic extraction tool na ibinebenta sa pulisya at intelligence services sa buong mundo ay pinakamahusay na gumagana laban sa isang teleponong bukas at na-unlock kahit isang beses mula nang mag-boot, sa ganoong estado, malaking bahagi ng iyong data ay na-decrypt na sa memory at ang operating system ay may maraming nakalantad na attack surface. Ang teleponong na-reboot at hindi pa na-unlock ay mas mahirap na target: ang mga encryption key ay wala doon.

Direktang sinasalungat ito ng GrapheneOS:

• Automatic reboot. Kung ang telepono ay hindi na-unlock sa loob ng itinakdang panahon, ito ay mag-re-reboot pabalik sa matinding naka-encrypt na pre-unlock na estado. Nako-configure, at maaaring itakda nang kasingbaba ng sampung minuto. Ang teleponong nakumpiska sa umaga at dinala sa lab sa hapon ay dumarating na malamig.
• Duress PIN. Magtatakda ka ng pangalawang PIN o password. Ang pagpasok nito ay mukhang normal na pagtatangkang mag-unlock ngunit hindi na maibabalik na binubura ang device — data partition at mga eSIM, sa pamamagitan ng pagsira sa mga key. Gumagana ito mula sa lock screen at mula sa kahit saan na hinihingi ng device ang iyong credential.
• USB port control. Ang port ay maaaring limitahan sa charging lamang, o ganap na i-disable, habang naka-lock ang device. Ang mga forensic tool ay karaniwang dumarating sa pamamagitan ng USB.
• PIN scrambling at walang fingerprint fallback traps. Ang layout ng keypad ay maaaring i-randomize upang ang isang shoulder-surfer o isang ceiling camera ay hindi malaman ang iyong PIN, at ang paghawak sa mga nabigong pagtatangka ay mas mahigpit kaysa sa stock Android.

Banta: ang mga app sa iyong sariling telepono

Sa stock Android, ang isang app na makakabasa ng iyong storage ay makakabasa ng lahat nito. Ang isang app na may contacts permission ay kinukuha ang buong social graph mo. At bawat app na naka-install ay may internet access awtomatiko — ang Android ay hindi kailanman nagkaroon ng permission para tanggihan ito.

• Network permission. Nagdadagdag ang GrapheneOS ng isa. Maaari kang mag-install ng app at hindi lamang hayaang makipag-usap ito sa internet, isang camera app, isang PDF reader, isang metadata scrubber, isang offline na mapa. Ang nag-iisang toggle na ito ay pumapatay sa karamihan ng telemetry nang tuluyan.
• Pahintulot sa Sensors. Hinaharang ang accelerometer, gyroscope, compass, barometer at iba pang sensor na inilalantad ng Android nang walang anumang pahintulot. Sapat na ang mga sensor na iyon para i-fingerprint ang isang device at, sa mga nailathalang pananaliksik, para mahinuha ang pagta-type at paggalaw.
• Storage Scopes. Sa halip na tanggihan ang isang app ng access sa storage at panoorin itong masira, sasabihin mo rito na walang laman ang storage, pagkatapos ay bibigyan mo ng indibidwal na mga file o folder. Iniisip ng app na mayroon itong buong access at nakikita lamang ang pinili mo.
• Contact Scopes. Ang parehong trick para sa iyong mga contact. Ang isang messaging app ay maaaring ipakita sa eksaktong tatlong tao sa halip na ang buong address book mo.

Banta: Ang Google mismo

Sa isang karaniwang Android phone, ang Google Play Services ay tumatakbo nang may malawak na privileged access na naka-bake sa operating system. Hindi ito maaaring maalis, mahigpitan o ma-audit nang may saysay, at ito ay isang target ng lawful-access — natatanggap at sinasagot ng Google ang mga geofence at account request.

Ang GrapheneOS ay ipinapadala nang walang anumang Google code. Kung kailangan mo ang Play Store, maaari mong i-install ang sandboxed Google Play: ang mga ordinaryong Google app, tumatakbo bilang normal na unprivileged app sa alinmang profile na pipiliin mo, napapailalim sa bawat pahintulot sa itaas, kabilang ang network toggle. Karamihan sa mga app na nangangailangan ng Play Services ay gumagana nang simple. Nakukuha ng Google ang nakukuha ng anumang ibang app: ang pinapayagan mo.

Banta: may umaatake sa phone nang malayuan

Ang mercenary spyware, ang klase ng tooling na Pegasus/Predator, ay paulit-ulit na ginamit laban sa mga journalist at human-rights worker sa rehiyong ito. Walang phone ang immune. Ngunit ang mga exploit chain na ito ay ginawa at sinubukan laban sa stock operating system, at binabago ng GrapheneOS ang ilalim nila: isang hardened memory allocator, isang hardened kernel at libc, mas mahigpit na compiler mitigation, at agresibong pagbawas ng attack surface. Ilang dokumentadong exploit chain ang nabigo laban dito nang hindi sinasadya, dahil lamang sa ang mga assumption na ginamit ng exploit ay hindi na totoo.

02Bakit Pixel-only ito, at alin ang dapat bilhin

Ang pangangailangan ng Pixel ay nakakabigo sa mga tao, at hindi ito paboritismo. Sumusunod ito mula sa punto tungkol sa verified boot sa itaas. Ang mga Google Pixel ay, sa praktika, ang tanging malawak na available na mga phone na nagpapahintulot sa isang third-party operating system na muling i-lock ang bootloader gamit ang sarili nitong key at panatilihin ang buong verified boot at hardware-backed attestation. Nagpapadala rin sila ng dedikadong secure element at tumatanggap ng mahaba, predictable na firmware support, at ang firmware ang isang layer na walang OS project ang makakapag-ayos para sa iyo.

Pagbili nang hindi nag-iiwan ng paper trail

Kung kasama sa iyong threat model ang isang taong nagpapatunay na pagmamay-ari mo ang isang hardened na phone, ang pagbili ang mahinang punto, hindi ang device.

• Cash, personal, second-hand ang pinakamalinis. Tingnan ang IMEI blacklist status bago magbayad.
• Huwag bumili ng carrier-locked o carrier-branded na stock, ang ilang carrier variant ay hindi maaaring i-unlock para sa installation.
• Bilhin ang phone at ang SIM mula sa magkaibang lugar, mas mainam sa magkaibang araw.
• Ang brand-new na sealed na phone mula sa malaking retailer na binayaran ng cash ay okay din, at inaalis ang anumang alalahanin tungkol sa ginawa ng dating may-ari dito.

03Ang isinusuko mo

Bawat gabay na lumalaktaw sa seksyong ito ay may ibinebenta sa iyo. Narito ang tunay na listahan.

04Pag-install nito

Ang opisyal na web installer ay gumagawa ng buong bagay mula sa isang browser. Ito ang pinakamadaling pag-install ng custom-OS na umiiral, at napakahirap permanenteng masira ang isang Pixel sa ganitong paraan, ang isang nabigong pag-install ay maaaring mabawi sa pamamagitan ng pagsisimula muli.

1. Ilagay sa harap mo ang opisyal na mga tagubilin

   Buksan ang grapheneos.org/install/web at sundan ito kasabay ng pahinang ito. Ang opisyal na gabay ang awtoritatibo at pinananatiling napapanahon; ang isang ito ay nagpapaliwanag ng dahilan at ng mga desisyong hindi ginagawa para sa iyo ng installer. I-type nang manu-mano ang address, huwag itong hanapin sa search engine, kung saan ang mga kamukhang domain ay bumibili ng mga ad.

2. Gumamit ng Chromium-based browser sa isang computer

   Ang installer ay nangangailangan ng WebUSB, ibig sabihin ay Chrome, Edge, Vanadium o katulad nito. Ang Firefox at Safari ay hindi gagana. Gumamit ng de-kalidad na USB-C cable, ang kasamang cable ng telepono ang pinakamainam. Karamihan sa mga iniuulat na pagkabigo sa pag-install ay dahil sa masamang cable o maaasahang hub, kaya isaksak nang direkta sa machine.

3. I-enable ang developer options at i-unlock ang bootloader

   Sa telepono: Settings → About phone → i-tap ang Build number ng pitong beses. Pagkatapos: Settings → System → Developer options → i-enable ang OEM unlocking at USB debugging.

   Kung ang OEM unlocking ay greyed out

   Naka-carrier-lock ang telepono, o masyadong bago para sa account. Ikonekta ito sa internet at iwanan nang ilang sandali, o ayusin ang carrier lock. Huwag pilitin, ang isang carrier-locked na Pixel ay maaaring hindi ma-installan, kaya sinasabi ng payo sa pagbili sa itaas na iwasan ang mga ito.

4. Patakbuhin ang web installer

   Sundan ang pahina nang sunod-sunod: i-unlock ang bootloader, i-download ang release, i-flash ito. Hihilingin ng browser na piliin mo ang device — piliin ang Pixel kapag lumitaw ang dialog. Ang buong yugto ng pag-flash ay karaniwang sampu hanggang labinlimang minuto sa maayos na koneksyon. Huwag itong tanggalin sa saksak.

5. I-lock muli ang bootloader, huwag itong laktawan

   Ang huling hakbang sa installer. Ang paglaktaw dito ay nag-iiwan sa iyong telepono na permanenteng mahina sa sinumang may pisikal na access at itinatapon ang isa sa mga pangunahing dahilan kung bakit gagamitin ang GrapheneOS. Hindi ka papayagan ng installer na i-lock ang isang sirang install, kaya kung magtagumpay ang command, ayos ka lang.

6. Kumpirmahin ang boot state

   Sa unang boot dapat mong makita ang dilaw na verified-boot notice na nagpapakita ng sariling signing key ng GrapheneOS, pagkatapos ay ang setup wizard. Dilaw na may GrapheneOS key ay tama at inaasahan. Ang Orange ay nangangahulugang naka-unlock pa rin ang bootloader — bumalik at i-lock ito.

05Ang unang oras: mga setting na mahalaga

Ang pag-install nito ay halos lahat ng trabaho, ngunit ang mga default ay sadyang katamtaman upang ang mga ordinaryong tao ay hindi ma-lock out sa kanilang sariling mga telepono. Ito ang mga pagbabagong sulit gawin agad.

1. Magtakda ng tunay na passphrase, hindi 4-digit na PIN

   Ito ang pinakamataas na halaga na bagay sa pahinang ito. Ang lahat ng iba pang proteksyon ay nakasalalay sa iyong credential. Anim na random na salita, o PIN na hindi bababa sa walong digit. I-enable ang PIN scrambling habang nandoon ka.

2. I-on ang automatic reboot at paikliin ito

   Settings → Security. Pumili ng window na tumutugma sa iyong buhay. Kung ikaw ay nasa lugar kung saan ang seizure ay isang live na panganib, ilang oras o mas kaunti. Ang trade-off ay pagkatapos ng reboot, ang mga alarm at notification ay hindi dumarating hanggang sa i-unlock mo, na siyang eksaktong punto.

3. Limitahan ang USB port habang naka-lock

   Settings → Security → USB. Charging-only kapag naka-lock sa minimum; ganap na hindi pinagana kung kaya mong mabuhay kasama nito.

4. I-disable ang 2G

   Ang lumang 2G ay may sirang encryption, at gumagana ang mga IMSI catcher sa pamamagitan ng pagpilit sa iyong telepono na bumaba dito. Hinahayaan ka ng GrapheneOS na tumanggi. Mayroon ding LTE-only mode. I-off ang 2G maliban kung ikaw ay nasa lugar na talagang walang ibang coverage.

5. Magpasya tungkol sa Google bago ka mag-install ng kahit ano

   Kung kaya mong mabuhay nang walang Play Store, gawin mo — kumuha ng mga app mula sa F-Droid, mula sa Accrescent, o direkta mula sa mga developer, at mag-enjoy ng teleponong walang Google code dito. Kung kailangan mo ang Play Services, i-install ang sandboxed Google Play mula sa built-in na Apps repository, ngunit ilagay ito sa isang secondary user profile, hindi sa iyong pangunahing isa, upang ito ay nabakuran mula sa iyong sensitibong trabaho.

6. Gawing gumagana ang mga app sa sandboxed na Google Play

   Buksan ang GrapheneOS Apps app sa profile kung saan mo gustong gumamit ng app, pagkatapos ay i-install ang Google Play services. Ini-install nito ang parehong Play services at ang Play Store. I-install ang app sa parehong profile: hindi maaaring magbigay ng serbisyo ang sandboxed na Play sa isang app sa ibang profile. Panatilihing naka-update ang Play services, ang Play Store, at ang app sa pamamagitan ng Apps app at Play Store.

   Kung bumubukas ang isang app ngunit hindi gumagana ang sign-in, notifications, maps, purchases, o background refresh, suriin ang mga ito bago bigyan ito ng mas malawak na access:

   • Profile: kumpirmahin na ang app at ang sandboxed na Google Play ay naka-install sa parehong user profile.
   • Battery: sa settings ng Google Play services app, payagan itong tumakbo nang walang battery optimisation para makapaghatid ito ng background notifications. Gawin din ito sa app kung kailangan pa nito.
   • Mga pahintulot ng app: paganahin lamang ang pahintulot na kailangan ng nabigong feature — karaniwan ay Notifications, Location, Nearby devices, Camera, o Files. Magsimula nang makitid, subukan, pagkatapos ay magdagdag ng isa pa lamang kung kinakailangan.
   • Location: bigyan ang app ng pahintulot sa location kung kailangan nito ang location. Karaniwang sapat na ang default na location rerouting ng GrapheneOS; baguhin lamang ang mga setting ng Google location kung talagang nabibigo ang ordinaryong paggamit ng location.
   • Mga update at restart: i-update ang lahat ng tatlong bahagi, pilitin isara at buksang muli ang app, pagkatapos ay i-reinstall ito kung natigil ito dahil sa isang update.

   Kaunting bilang ng mga app ang tumatanggi sa GrapheneOS dahil hinihingi nila ang isang partikular na device-integrity verdict. Iyon ay paghihigpit ng gumawa ng app, hindi nawawalang pahintulot; walang setting ang dapat pahinain para lamang lampasan ito.

7. I-set up ang mga profile

   Ang magkakahiwalay na user profile ay may magkakahiwalay na encryption key. Isang praktikal na paghahati:

   • Owner, wala kundi setup. Bihira mo itong gamitin.
   • Personal — ordinaryong buhay, Play Services kung kailangan mo ang mga ito, banking, maps.
   • Work — dokumentasyon, Signal, camera, ang archive. Walang Google.

   Ang profile na hindi ka naka-log in ay at rest at naka-encrypt. Maaari mo ring i-configure ang mga profile na awtomatikong tapusin ang kanilang session kapag lumipat ka palayo.

8. I-audit ang mga permiso app sa app

   Bawat app na iyong ini-install: kailangan ba nito ang internet? Mga sensor? Tunay na storage, o isang scope na may tatlong file sa loob? Ipagpalagay na hindi bilang default at i-on ang mga bagay kapag may nakikitang nasira. Tumatagal ito ng dalawampung minuto nang isang beses at permanente ang bayad.

9. I-verify na tunay ang install

   I-install ang GrapheneOS Auditor app at ipares ito sa pangalawang device, o gamitin ang opisyal na attest service. Kriptograpikong kinukumpirma nito na ang iyong telepono ay tumatakbo ng tunay, hindi binagong GrapheneOS na may naka-lock na bootloader, at patuloy itong makakapag-verify sa paglipas ng panahon, na kung paano mo matutukoy ang pakikialam pagkatapos na mawala ang telepono sa iyong paningin.

06Ano ang hindi nito pinoprotektahan ka

Ang pagiging malinaw tungkol dito ang nagpapaging kapani-paniwala sa natitirang bahagi ng gabay.

• Alam ng network na umiiral ka. Nakikita pa rin ng iyong carrier kung aling mga tower ang kinokonektahan mo. Ganyan gumagana ang cellular. Ang pag-iwan lang ng telepono ang makakatugon dito.
• Ang ipinapadala mo ay lumalabas pa rin. Ang pag-post sa isang platform, o pag-message sa isang taong kompromiso ang sariling telepono, ay hindi pinoprotektahan ng iyong operating system.
• Hindi nagagalaw ang metadata sa iyong mga file. Ang video na kinunan mo ay may dalang GPS at mga detalye ng device maliban kung aalisin mo ang mga ito.
• Paggipit. Walang software ang makakalaban sa taong kayang pigilan ka hanggang ma-unlock mo ito.
• Firmware at baseband. Ang cellular modem ay may sariling proprietary code. Iniisolate ito ng GrapheneOS hangga't pinapayagan ng Android; hindi nito ito mapapalitan.
• Ikaw. Ang paggamit muli ng username, pag-log in sa personal na account mula sa work profile, o pag-post ng larawan na may makikilalang bintana ay sisirain ang lahat ng ito. Karamihan ng tao ay nakikilala sa pamamagitan ng mga gawi, hindi ng mga exploit.

07Mga tanong na talagang itinatanong ng mga tao

08Mga pinagmulan at karagdagang babasahin

• GrapheneOS — opisyal na site grapheneos.org
• Buong listahan ng feature at hardening grapheneos.org/features
• Opisyal na web installer grapheneos.org/install/web
• Mga sinusuportahang device at petsa ng end-of-life, tingnan bago bumili grapheneos.org/faq#device-support
• Dokumentasyon ng Duress PIN grapheneos.org/usage#duress
• Amnesty International Security Lab — forensic methodology ng Pegasus amnesty.org · background sa banta ng mercenary-spyware
• The Citizen Lab — patuloy na pananaliksik sa targeted surveillance citizenlab.ca

Huling sinuri: 25 Setyembre 2026