GrapheneOS: телефон, який не свідчить проти вас

Більшість порад щодо приватності просять вас змінити налаштування. Ця порада просить замінити операційну систему на вашому телефоні. Це справжня вимога, тому цей посібник приділяє стільки ж часу тому, від чого ви відмовляєтеся, скільки й тому, що отримуєте, і прямо каже вам, коли відповідь — не варто й братися.

01Що це насправді виправляє

Легко перелічити функції. Корисніше почати з чотирьох способів, у які телефон наражає людей на неприємності, і подивитися, чим відповідають на кожен із них.

Загроза: у вас забирають телефон

На контрольно-пропускному пункті, під час обшуку, на кордоні. Інструменти судової екстракції, що продаються поліції та спецслужбам по всьому світу, найкраще працюють проти телефону, який увімкнений і був розблокований принаймні один раз після завантаження — у цьому стані значна частина ваших даних уже розшифрована в пам'яті, а операційна система має багато відкритих для атаки поверхонь. Телефон, який було перезавантажено і ще не розблоковано, є значно складнішою ціллю: ключів шифрування там просто немає.

GrapheneOS протидіє цьому безпосередньо:

• Автоматичне перезавантаження. Якщо телефон не розблоковано протягом заданого періоду, він сам перезавантажується назад у цей надійно зашифрований стан до розблокування. Налаштовується, і його можна встановити навіть на десять хвилин. Телефон, конфіскований уранці й доставлений до лабораторії після обіду, прибуває «холодним».
• PIN-код примусу. Ви встановлюєте другий PIN-код або пароль. Його введення виглядає як звичайна спроба розблокування, а натомість незворотно стирає пристрій — розділ даних і eSIM — шляхом знищення ключів. Це працює з екрана блокування і звідусіль, де пристрій запитує ваш обліковий дані.
• Керування портом USB. Порт можна обмежити лише заряджанням або повністю вимкнути, поки пристрій заблоковано. Інструменти судової екстракції зазвичай підключаються через USB.
• Перемішування PIN-коду та відсутність пасток із відкатом на відбиток пальця. Розташування клавіш можна рандомізувати, щоб той, хто підглядає через плече, або камера на стелі не могли дізнатися ваш PIN-код, а обробка невдалих спроб є суворішою, ніж у стандартному Android.

Загроза: застосунки на вашому власному телефоні

У стандартному Android застосунок, який може читати ваше сховище, може прочитати все з нього. Застосунок із дозволом на контакти забирає весь ваш соціальний граф. І кожен встановлений застосунок автоматично має доступ до інтернету — в Android ніколи не було дозволу, щоб це заборонити.

• Дозвіл на мережу. GrapheneOS додає такий. Ви можете встановити застосунок і просто не дозволяти йому спілкуватися з інтернетом — застосунок камери, читач PDF, очищувач метаданих, офлайн-карту. Цей єдиний перемикач знищує більшість телеметрії одразу.
• Дозвіл на сенсори. Блокує акселерометр, гіроскоп, компас, барометр та інші сенсори, які Android надає взагалі без жодного дозволу. Цих сенсорів достатньо, щоб створити цифровий відбиток пристрою і, за опублікованими дослідженнями, визначити набір тексту та переміщення.
• Області сховища. Замість того щоб відмовити застосунку в доступі до сховища й дивитися, як він ламається, ви кажете йому, що сховище порожнє, а потім надаєте окремі файли чи теки. Застосунок вважає, що має повний доступ, а бачить лише те, що ви обрали.
• Області контактів. Той самий прийом для ваших контактів. Застосунку для обміну повідомленнями можна показати рівно трьох людей замість усієї адресної книги.

Загроза: сам Google

На стандартному телефоні Android Google Play Services працює з широким привілейованим доступом, вбудованим в операційну систему. Його неможливо по-справжньому видалити, обмежити чи перевірити, і він є ціллю для законного доступу — Google отримує та відповідає на запити щодо геозон і акаунтів.

GrapheneOS постачається взагалі без коду Google. Якщо вам потрібен Play Store, ви можете встановити ізольований Google Play: звичайні застосунки Google, що працюють як нормальний непривілейований застосунок у будь-якому обраному вами профілі, підпорядковані кожному з наведених вище дозволів, включно з перемикачем мережі. Більшість застосунків, яким потрібні Play Services, просто працюють. Google отримує те саме, що й будь-який інший застосунок: те, що ви йому дозволили.

Загроза: хтось атакує телефон віддалено

Наймане шпигунське програмне забезпечення, інструменти класу Pegasus/Predator, неодноразово використовувалося проти журналістів і правозахисників у цьому регіоні. Жоден телефон не має імунітету. Але ці ланцюжки експлойтів створені й протестовані проти стокових операційних систем, і GrapheneOS змінює ґрунт під ними: посилений розподілювач пам'яті, посилене ядро та libc, суворіші компіляторні засоби захисту й агресивне скорочення поверхні атаки. Кілька задокументованих ланцюжків експлойтів зазнали невдачі проти нього випадково, просто тому що припущення, на які покладався експлойт, більше не відповідали дійсності.

02Чому лише Pixel, і який саме купувати

Вимога щодо Pixel дратує людей, і це не фаворитизм. Вона випливає з пункту про перевірене завантаження вище. Google Pixel — це практично єдині широкодоступні телефони, які дозволяють сторонній операційній системі повторно заблокувати завантажувач власним ключем і зберегти повне перевірене завантаження та апаратно підкріплену атестацію. Вони також мають виділений захищений елемент і отримують тривалу, передбачувану підтримку прошивки, а прошивка — це той єдиний шар, який жоден проєкт ОС не може виправити за вас.

Купівля без створення паперового сліду

Якщо ваша модель загроз включає когось, хто встановлює, що ви володієте захищеним телефоном, покупка є слабким місцем, а не пристрій.

• Готівка, особисто, з рук — найчистіший варіант. Перевірте статус IMEI у чорному списку перед оплатою.
• Не купуйте пристрої, заблоковані на оператора або брендовані оператором, деякі варіанти від операторів взагалі не можна розблокувати для встановлення.
• Купуйте телефон і SIM-карту в різних місцях, ідеально — у різні дні.
• Цілком новий запечатаний телефон від великого ритейлера, оплачений готівкою, також підходить і знімає будь-яке занепокоєння щодо того, що з ним робив попередній власник.

03Чим ви жертвуєте

Кожен посібник, який пропускає цей розділ, щось вам продає. Ось справжній список.

04Встановлення

Офіційний вебінсталятор робить усе це з браузера. Це найлегше встановлення кастомної ОС із наявних, і в такий спосіб дуже важко остаточно зламати Pixel — невдале встановлення можна відновити, почавши спочатку.

1. Відкрийте офіційну інструкцію перед собою

   Відкрийте grapheneos.org/install/web і дотримуйтеся її разом із цією сторінкою. Офіційний посібник є авторитетним і постійно оновлюється; цей пояснює логіку та рішення, які інсталятор не ухвалює за вас. Введіть адресу вручну, не переходьте на неї через пошукову систему, де схожі домени купують рекламу.

2. Використовуйте браузер на основі Chromium на комп'ютері

   Інсталятору потрібен WebUSB, тобто Chrome, Edge, Vanadium або подібний. Firefox і Safari не працюватимуть. Використовуйте якісний кабель USB-C, ідеально підійде той, що йшов у комплекті з телефоном. Більшість збоїв під час встановлення, про які повідомляють люди, спричинені поганим кабелем або ненадійним хабом, тому підключайте безпосередньо до комп'ютера.

3. Увімкніть параметри розробника та розблокуйте завантажувач

   На телефоні: Налаштування → Про телефон → торкніться Номер збірки сім разів. Потім Налаштування → Система → Параметри розробника → увімкніть Розблокування OEM та Налагодження USB.

   Якщо розблокування OEM неактивне

   Телефон заблокований оператором або занадто новий для цього акаунта. Підключіть його до інтернету й залиште на деякий час або вирішіть питання блокування оператора. Не намагайтеся змусити це — Pixel, заблокований оператором, може взагалі не піддаватися встановленню, саме тому поради щодо купівлі вище радять їх уникати.

4. Запустіть вебінсталятор

   Пройдіть сторінку по порядку: розблокуйте завантажувач, завантажте випуск, прошийте його. Браузер попросить вас вибрати пристрій — виберіть Pixel, коли з'явиться діалогове вікно. Увесь етап прошивання зазвичай триває від десяти до п'ятнадцяти хвилин за нормального з'єднання. Не від'єднуйте його.

5. Заблокуйте завантажувач назад, не пропускайте цей крок

   Останній крок інсталятора. Якщо його пропустити, ваш телефон назавжди залишиться вразливим для будь-кого з фізичним доступом, і ви втратите одну з головних причин взагалі використовувати GrapheneOS. Інсталятор не дозволить заблокувати зламане встановлення, тож якщо команда виконується успішно, у вас усе гаразд.

6. Підтвердьте стан завантаження

   Під час першого завантаження ви маєте побачити жовте повідомлення про перевірене завантаження з власним ключем підпису GrapheneOS, а потім майстер налаштування. Жовтий із ключем GrapheneOS — це правильно й очікувано. Помаранчевий означає, що завантажувач усе ще розблоковано — поверніться й заблокуйте його.

05Перша година: налаштування, які мають значення

Встановлення — це більша частина роботи, але стандартні налаштування навмисно помірні, щоб звичайні люди не втратили доступ до власних телефонів. Ось зміни, які варто зробити негайно.

1. Встановіть справжню парольну фразу, а не 4-значний PIN-код

   Це найцінніша річ на цій сторінці. Увесь інший захист зрештою спирається на ваш обліковий дані. Шість випадкових слів або PIN-код щонайменше з восьми цифр. Увімкніть перемішування PIN-коду, поки ви там.

2. Увімкніть автоматичне перезавантаження та скоротіть його

   Налаштування → Безпека. Виберіть проміжок, який відповідає вашому життю. Якщо ви там, де вилучення є реальним ризиком, кілька годин або менше. Компроміс у тому, що після перезавантаження будильники та сповіщення не надходять, доки ви не розблокуєте, і це саме те, що потрібно.

3. Обмежте USB-порт, коли пристрій заблоковано

   Налаштування → Безпека → USB. Щонайменше лише заряджання, коли заблоковано; повністю вимкнено, якщо ви можете з цим жити.

4. Вимкнути 2G

   Застарілий 2G має зламане шифрування, а IMSI-перехоплювачі працюють, змушуючи ваш телефон перейти на нього. GrapheneOS дозволяє вам відмовитися. Також є режим лише LTE. Вимкніть 2G, якщо ви не перебуваєте в місці, де справді немає іншого покриття.

5. Вирішіть щодо Google, перш ніж щось встановлювати

   Якщо ви можете обійтися без Play Store, то зробіть це — отримуйте застосунки з F-Droid, з Accrescent або безпосередньо від розробників, і насолоджуйтеся телефоном без жодного коду Google на ньому. Якщо вам потрібні Play Services, встановіть ізольований Google Play з вбудованого репозиторію Apps, але розмістіть його в додатковому профілі користувача, а не в основному, щоб він був відокремлений від вашої конфіденційної роботи.

6. Зробіть так, щоб застосунки працювали із пісочницею Google Play

   Відкрийте застосунок GrapheneOS Apps у профілі, де ви хочете використовувати застосунок, а потім установіть Google Play services. Він установлює і Play services, і Play Store. Установіть застосунок у тому самому профілі: пісочниця Play не може надавати послуги застосунку в іншому профілі. Підтримуйте Play services, Play Store і застосунок оновленими через застосунок Apps і Play Store.

   Якщо застосунок відкривається, але вхід, сповіщення, карти, покупки або фонове оновлення не працюють, перевірте це, перш ніж надавати йому ширший доступ:

   • Профіль: переконайтеся, що застосунок і пісочниця Google Play установлені в тому самому профілі користувача.
   • Батарея: у налаштуваннях застосунку Google Play services дозвольте йому працювати без оптимізації батареї, щоб він міг доставляти фонові сповіщення. Зробіть те саме для застосунку, лише якщо йому це все ще потрібно.
   • Дозволи застосунку: увімкніть лише той дозвіл, який потрібен для функції, що не працює — зазвичай це Сповіщення, Місцезнаходження, Пристрої поблизу, Камера або Файли. Почніть із вузького набору, перевірте, а потім додайте інший лише за потреби.
   • Місцезнаходження: надайте застосунку дозвіл на місцезнаходження, якщо йому потрібне місцезнаходження. Типове перенаправлення місцезнаходження в GrapheneOS зазвичай достатнє; змінюйте налаштування місцезнаходження Google лише якщо звичайне використання місцезнаходження справді не працює.
   • Оновлення та перезапуск: оновіть усі три компоненти, примусово закрийте й знову відкрийте застосунок, а потім перевстановіть його, якщо оновлення залишило його в завислому стані.

   Невелика кількість застосунків відхиляє GrapheneOS, бо вони вимагають конкретного вердикту цілісності пристрою. Це обмеження виробника застосунку, а не відсутній дозвіл; не слід послаблювати жодне налаштування лише для того, щоб його обійти.

7. Налаштуйте профілі

   Окремі профілі користувачів мають окремі ключі шифрування. Практичний поділ:

   • Власник — нічого, крім налаштування. Ви рідко ним користуєтеся.
   • Особистий — звичайне життя, Play Services, якщо вони вам потрібні, банківські застосунки, карти.
   • Робочий — документація, Signal, камера, архів. Без Google.

   Профіль, у який ви не ввійшли, перебуває в стані спокою та зашифрований. Ви також можете налаштувати профілі так, щоб вони автоматично завершували сеанс, коли ви перемикаєтеся.

8. Перевірте дозволи для кожного застосунку

   Для кожного застосунку, який ви встановлюєте: чи потрібен йому інтернет? Датчики? Реальне сховище чи область із трьома файлами в ній? За замовчуванням припускайте, що ні, і вмикайте щось, коли щось помітно ламається. Це займає двадцять хвилин один раз і окупається назавжди.

9. Перевірте, чи встановлення справжнє

   Встановіть застосунок GrapheneOS Auditor і спаруйте його з другим пристроєм або скористайтеся офіційним сервісом атестації. Він криптографічно підтверджує, що ваш телефон працює на справжній, незміненій версії GrapheneOS із заблокованим завантажувачем, і може продовжувати перевіряти це з часом — саме так ви виявите втручання після того, як телефон побував поза вашим наглядом.

06Від чого це вас не захищає

Саме чітке визнання цього робить решту посібника надійною.

• Мережа знає, що ви існуєте. Ваш оператор усе ще бачить, до яких веж ви підключаєтеся. Так працює стільниковий зв'язок. Виправити це можна лише залишивши телефон удома.
• Те, що ви надсилаєте, все одно виходить назовні. Публікація на платформі або надсилання повідомлення комусь, чий власний телефон скомпрометовано, не захищається вашою операційною системою.
• Метадані у ваших файлах залишаються недоторканими. Відео, яке ви знімаєте, усе ще містить GPS та відомості про пристрій, якщо ви їх не видалите.
• Примус. Жодне програмне забезпечення не чинить опір тому, хто може вас затримати, доки ви його не розблокуєте.
• Прошивка та базовий модуль. Стільниковий модем працює на власному пропрієтарному коді. GrapheneOS ізолює його настільки, наскільки це дозволяє Android; він не може його замінити.
• Ви. Повторне використання імені користувача, вхід в особистий акаунт із робочого профілю або публікація фото з упізнаваним вікном на ньому зведуть нанівець усе це. Більшість людей ідентифікують через звички, а не через експлойти.

07Питання, які люди насправді ставлять

08Джерела та додаткова література

• GrapheneOS — офіційний сайт grapheneos.org
• Повний перелік функцій та посилень grapheneos.org/features
• Офіційний вебінсталятор grapheneos.org/install/web
• Підтримувані пристрої та дати закінчення підтримки, перевірте перед покупкою grapheneos.org/faq#device-support
• Документація щодо PIN-коду примусу grapheneos.org/usage#duress
• Amnesty International Security Lab — криміналістична методологія Pegasus amnesty.org · довідкова інформація про загрозу найманого шпигунського програмного забезпечення
• The Citizen Lab — поточні дослідження цільового стеження citizenlab.ca

Останній перегляд: 25 вересня 2026