В цялата тази статия ще видите Как работи пясъчникът на Google Play в GrapheneOS?Как да организирате потребителски профили, какви настройки използват други напреднали потребители, как да проверявате APK файлове в множество профили и до каква степен има смисъл да говорим за поверителност, ако продължавате да използвате приложения, силно зависими от Google и Meta. Ще намерите и Пълно ръководство за разбиране и използване на GrapheneOS с практичен подход и без да се изпускат от поглед важни технически детайли.
Какво е GrapheneOS и защо е важно за сигурността?
GrapheneOS е операционна система, базирана на AOSP. (Android без Google), предназначен да увеличи максимално сигурността и поверителността на телефоните Pixel. Това не е просто „Android без Google“: той включва смекчаване на ниво ядро, памет и система което значително усложнява използването на уязвимости и получаването на постоянен достъп до устройството; освен това позволява прилагането на Контроли и съображения относно двоични блобове които засягат най-ниското ниво на системата.
Проектът се фокусира върху предлагането трудна среда за нападателите: проверено зареждане с чип Titan M, подсилен разпределител на памет, подсилен пясъчник на приложенията, разширени контроли на разрешенията, криптирани резервни копия и агресивно блокиране на вектори на атака като NFC или Bluetooth, когато екранът е изключен. Всичко това се допълва в минималистичен дизайн: Само основните приложения са предварително инсталирани, без свръхкомпютър, без услуги на Google и с интерфейс, практически идентичен с AOSP.
Какво е да използваш GrapheneOS ежедневно?
Когато включите Pixel с GrapheneOS за първи път, ще откриете много чисто и почти спартанско преживяванеROM-ът включва само няколко основни приложения: Настройки, Файлове, Аудитор, Калкулатор, Календар, Камера, Контакти, Галерия, Съобщения, PDF четец, Часовник, Телефон и браузъра Vanadium, който е... Chromium, подобрен по отношение на поверителността и сигурността.
Интерфейсът е основно този на AOSP без излишни украшения или слоевеПрост стартер, без крещящи тапети (черен фон по подразбиране), без джаджи, асистенти или предложения от трети страни за влизане в Google. Това отсъствие не е случайно, а е част от философията на проекта: Вие решавате какво да инсталирате и какви разрешения да предоставитеи е препоръчително да се прегледа настройките за поверителност от първото начало.
Инсталиране на GrapheneOS на Pixel: по-малко сложно, отколкото изглежда
Противно на това, което много хора мислят, Инсталирайте GrapheneOS на съвместим Pixel. Не е необходимо да сте експерт по флашване на ROM-ове. Проектът предлага... официален уеб инсталатор който работи в съвременен браузър и насочва процеса стъпка по стъпка.
Стандартният поток се състои от отключване на буутлоудъра От Pixel свържете телефона към компютъра чрез USB и използвайте уеб инсталатора, който се занимава с изпращането на необходимите изображения и команди. След като приключи, Буутлоудърът е заключен отново. за да се гарантира проверка на зареждането. За около 15-30 минути можете да имате скорошен Pixel (от серията Pixel 5 нататък) с GrapheneOS, възползвайки се от чипа за сигурност Titan M, без да разчитате на официалния фърмуер на Google.
Живот без услугите на Google: алтернативни магазини и екосистема от приложения
Както е произведено, GrapheneOS не включва Play Store или Google Play ServicesАко искате да използвате само безплатен софтуер и да сведете до минимум проследяването, можете да използвате хранилища като F-Droid За инсталиране на приложения с отворен код: Signal за съобщения, Bitwarden за пароли, Organic Maps за карти без проследяване, Nextcloud като частен облак и др. Има и алтернативи с отворен код на приложенията на Google които покриват много общи нужди.
За да получат достъп до приложения, които са налични само в Google Play, много потребители прибягват до Магазин Aurora, алтернативен клиент, който изтегля APK файлове директно от Play Store, без да влизате с вашия Google акаунтAurora може да използва анонимни акаунти, генерирани от услугата, въпреки че това не винаги е толкова стабилно или удобно, колкото официалния магазин, а някои приложения (особено платените или тези с взискателни DRM) могат да причинят проблеми.
Google Play Sandbox в GrapheneOS: какво точно е това
Отличителният подход на GrapheneOS е, че предлага опцията за използване на Google Play в режим „sandbox“без да го интегрирате като привилегирована част от системата. На конвенционален Android, Play Services и подобни работи като системни приложения със специални разрешения, подписан със сертификати от самата платформа и с достъп до много мощни вътрешни API.
В GrapheneOS, от друга страна, Услугите за Google Play, Google Play Store и Google Services Framework се инсталират като обикновени потребителски приложения, със собствен UID в диапазона на приложението, без системен подпис и подчинени на същия модел на разрешения и строга пясъчник като останалите приложения. Те нямат UID 0 (root) или UID 1000 (system)и следователно не се ползват със системни привилегии или директен достъп до вътрешни ресурси.
Как работи изолацията на Google Play вътрешно
Когато инсталирате компонентите на Google от Магазин за приложения на GrapheneOSвсеки от тях получава своя собствена числова идентичност (UID). Услугите за Google Play и рамката за услуги на Google споделят UID на приложение в рамките на потребителския диапазон (напр. 10xxx), което им позволява да комуникират помежду си, без да нарушават цялостната изолация.
La Play Store има свой собствен отделен UIDСъщо така попада в обхвата на обикновените приложения и е подписано със сертификати на Google, а не със системни сертификати на GrapheneOS. Това гарантира, че въпреки че са официални сертификати на Google, не може да се представя за системни компонентиОсвен това, по отношение на SELinux, те не работят с привилегировани контексти като "platform:privapp", а с стандартни контексти на приложенията (например, „default:targetSdkVersion=34:complete“), което подсилва идеята, че те са просто още приложения в пясъчника.
Слой за съвместимост: караме всичко да работи, без да даваме суперсили
За да се гарантира правилното функциониране на приложенията, които разчитат на Google Play, GrapheneOS включва специфичен слой за съвместимостТози слой не предоставя допълнителни разрешения на услугите на Google, а по-скоро адаптира системата, така че Google Play да може да работи с нормални ограничения от приложение без привилегии.
Благодарение на тази съвместимост, Повечето приложения очакват да намерят Play Services (Банкиране, съобщения, социални медии и приложения за плащане, защитени с DRM) функционират сякаш са на класическа Android система, въпреки че услугите на Google са силно ограничени. Все още им липсват UID и системни подписи, но необходимите API са достъпни по контролиран начин, за да се избегне нарушаване на потребителското изживяване.
Практическа дилема: Има ли смисъл да използвам GrapheneOS, ако ще продължа да използвам Gmail и WhatsApp?
Много често задаван въпрос е дали Използването на GrapheneOS губи смисъл, когато основните ви приложения са Gmail, WhatsApp, Instagram и др.Вярно е, че тези приложения включват значително излагане на данни към Google и Meta, но това не означава, че инсталирането на GrapheneOS е безполезно в този контекст и си струва да се обмисли дали Струва ли си да инсталирате GrapheneOS на мобилния си телефон? според вашите приоритети.
Какви промени са повърхност на атака и ниво на контрол върху устройствотоДори ако използвате Gmail и WhatsApp в среда на GrapheneOS, останалата част от системата остава подсилена: по-добри мерки за намаляване на експлойтите, много по-прецизни разрешения, проверено зареждане, изолация между профили, възможност за отказ на достъп до сензори, блокиране на мрежата за определени приложения и др. Не елиминирате телеметрията от тези приложения, но силно ограничавате това, което те могат да виждат и правят зад затворени врати..
Потребителски профили: ключът към разделянето на вашия дигитален живот
Една от най-мощните характеристики на GrapheneOS е използването на напълно изолирани потребителски профилиВсеки профил има собствено пространство за приложения и данни, така че приложение, инсталирано в профил Той нито съществува, нито вижда нещо в другитеТова е жизненоважно, когато искате да държите Google и ненадеждните приложения в собствения им малък ъгъл; освен това е ефективен начин да използвате мобилното си устройство. няма акаунт в Google на основния профил.
Типична конфигурация, препоръчана от напреднали потребители, би била нещо подобно: Чист основен профил (Собственик), без Googleс най-чувствителните ви приложения (банкиране, основни съобщения, работа); a вторичен профил „Google“ с услугите за Google Play в пясъчната кутия и приложенията, които зависят от тях; и, по избор, Допълнителни профили за много специфични приложения (тестове, експериментални приложения и др.). Тази структура намалява възможността за смесване на чувствителни данни с високоагресивни приложения за проследяване.
Реални конфигурации на потребителите на GrapheneOS
Някои потребители споделят много подробни настройки, които илюстрират как да се извлече максимума от системата. Една доста крайна, но много поучителна схема включва Използвайте профила на собственика като „профил на администратор“ и вторични профили за ежедневна употреба.
При този подход, Профилът на собственика пренасочва целия трафик през Orbot (Tor)., има инсталиран Google Play Store с анонимен акаунт, създаден без телефонен номерИзползвайте алтернативни магазини като Obtainium и Accrescent, за да получавате приложения директно от разработчиците. Проверете всички приложения, като използвате инструменти като App Verifier. И след като бъдат инсталирани и прегледани, те се деактивират в профила на собственика и се преместват в други потребителски профили за ежедневна употреба.
След това те се създават профили, разделени според нивото на доверие в приложениятаЕдиният е посветен на софтуер с отворен код и съобразен с поверителността, с трафик, тунелиран през MullvadVPN, и друг профил за по-малко надеждни приложения (банкиране, WhatsApp и др.), също използващ VPN. Целта на това агресивно разделяне на части е, че Проблемно приложение в един профил не може да има достъп до данни или приложения от другполезна стратегия за смекчаване на заплахи, като например Шпионски софтуер, насочен към Android.
Опасно ли е да имате WhatsApp заедно с вашия мениджър на пароли и имейл?
Един от въпросите, които възникват при този тип конфигурация, е дали Препоръчително е да имате WhatsApp в същия профил като вашия мениджър на пароли или имейл.От гледна точка на строгата сигурност, идеалният вариант би бил да бъдат разделени: колкото по-малко пространство споделят, толкова по-добре. Разрешенията и системата за пясъчник на GrapheneOS обаче... Това силно ограничава възможностите на WhatsApp ако управлявате добре разрешенията.
Основният риск не е, че WhatsApp директно чете базата ви данни с пароли (не може), а всичко, което споделяте с това приложение, и свързаните с него метаданниКонтакти, модели на употреба, архивиране в облака (които също губят интеграцията си с Google Drive в GrapheneOS) и т.н. Въпреки това, споделянето на профила ви с мениджър на пароли или имейл приложение не означава автоматично катастрофа; това просто означава, че ако искате максимална изолация, Най-мъдрият начин на действие е да се използват отделни профили за общи съобщения и за силно чувствителни задачи.
Телефонни обаждания и SMS съобщения в „ненадеждни“ профили: какво да имате предвид
Друг чувствителен момент е активиране на обаждания и SMS-и в профили, считани за по-малко надеждникато например този, който хоства банкови приложения и WhatsApp. Стига да контролирате разрешенията и да поддържате системата актуална, това не е катастрофална уязвимост, но разширява повърхността за атака: злонамерен SMS, фишинг обаждания или връзки, получени чрез съобщения Те се управляват от този профил.
Ако вашият модел на заплаха е висок (например, обработка на силно чувствителна информация или целенасочени рискове от шпионаж), можете да изберете Ограничаване на SMS и телефонни разговори до профил с ограничена употреба и минимизирайте инсталираното там. За повечето напреднали потребители е достатъчно да използват здравия разум, да проверяват разрешенията и да избягват инсталирането на ненужни файлове в профила, където получавате критична комуникация.
Проверка на APK и приложение, когато има няколко потребители
GrapheneOS предлага механизми за проверете целостта на системата и приложениятаНо когато използвате множество профили, възниква въпросът как да одитирате всичко. Важно е да разберете, че Всеки потребител има свой собствен екземпляр на приложениятаАко инсталирате едно и също приложение в два профила, вътрешно те се считат за отделни инсталации, всяка със собствени данни и настройки.
За да проверите какво е инсталирано и неговата легитимност, можете да използвате мениджър на приложения за всеки профилпреглед на разрешенията и подробностите. Повече технически потребители прибягват до инструменти като App Manager (в аналитични среди с временен root достъп, например KernelSU), за да проверете SELinux подписи, UID и контексти от всички приложения. Анализът от реалния свят показа, че приложенията на Google в пясъчник са подписани от Google Inc. с обичайните им сертификатии че системните сертификати на GrapheneOS са независими, което потвърждава, че Google Play не работи като системен компонент.
Инсталирайте и конфигурирайте пясъчника на Google Play стъпка по стъпка
Ако имате нужда от Play Store за банкиране, работа или определени платени покупки, можете Инсталиране на пясъчната среда на Google Play в определен профил следвайки разумна последователност, за да се избегнат проблеми.
1. Създайте потребителски профил, посветен на Google
От Настройки > Система > Няколко потребители можете Добавяне на нов потребител с описателно имеНапример „Google“ или „Play“. Когато го стартирате за първи път, ще преминете през кратък съветник за настройка. Препоръката е да Поддържайте този профил възможно най-минималистиченсамо приложенията, които наистина изискват Play Services, без да се репликира цялата ви екосистема от основния профил.
2. Инсталирайте компонентите на Google от GrapheneOS App Store
В този профил отворете Интегриран магазин за приложения GrapheneOS и намерете компонентите: Google Play Services, Google Services Framework и Google Play Store. Най-разумното нещо, което можете да направите, е Инсталирайте ги в този ред За да избегнете вътрешни грешки, свързани със зависимостите, след всяка инсталация внимателно прегледайте заявените разрешения и вземете решение. какво ще дадеш и какво ще отречеш От първия момент.
3. Настройте разрешенията, сензорите и фоновата активност
Едно от предимствата на пясъчника е, че можете да бъдете доста стриктни с разрешенията: отказване на постоянен достъп до местоположението и да го предоставя само когато конкретно приложение се нуждае от него, да отменя достъпа до контакти, ако не е от съществено значение, да блокира микрофона и камерата, когато не се използват и т.н. Освен това, GrapheneOS позволява контрол на фоновата активност и достъпа до мрежата приложение по приложение, което намалява както ненужната телеметрия, така и разхода на батерия.
4. Изберете или създайте акаунта в Google, който ще използвате
Ако поверителността е ваш приоритет, много потребители препоръчват Използвайте отделен акаунт в Google, който не е тясно свързан с основната ви самоличност.Често срещана практика е създаването на акаунт чрез VPN, вторичен телефонен номер (когато е необходимо) и, ако се планират покупки, виртуални или предплатени карти, в зависимост от условията на доставчика. Полезно е да знаете как да направите това, когато е възможно.
След като имате акаунта, Влизайте в Play Store само с профила „Google“Всички покупки, абонаменти и лицензи ще бъдат свързани с този конкретен акаунт и профил. Други профили дори няма да знаят за съществуването на този акаунт, което помага за ограничаване на изтичането на данни.
Използване на пясъчник в реалния свят: платени приложения, известия и съвместимост
На практика много потребители на GrapheneOS се нуждаят само от Google Play за няколко платени или много специфични приложения които не можете да намерите на F-Droid или като директни APK файлове. Говорим например за висококачествени медийни плейъри, специализирани Jellyfin клиенти, професионални приложения, лицензирани от Play Store и др.
Типичният поток е Стартирайте профила „Google“ само когато ще се инсталират или актуализират приложенияЗапазете там само приложенията, които зависят от Play Services, и конфигурирайте внимателно автоматичните актуализации. По този начин, Времето, през което услугите на Google са активни, е сведено до минимум. на устройството и е по-добре да контролирате кои промени във версията влизат в сила.
По отношение на съвместимостта, повечето приложения, които използват Firebase Cloud Messaging (FCM) за push известия Те продължават да функционират правилно в пясъчника, благодарение на слоя за съвместимост с GrapheneOS. Ако обаче сте твърде агресивни в ограничаването на разрешенията, блокирането на достъпа до мрежата или прекратяването на фоновите процеси, някои известия може да се забавят или да не се получат в екстремни случаи.
Сравнение с други ROM-ове, фокусирани върху поверителността
В рамките на пейзажа на Android ROM-овете, GrapheneOS е позициониран на нивото на максимална сигурност и защита.Други алтернативи, като CalyxOS, LineageOS или /e/OS, предлагат различен баланс между поверителност, съвместимост с устройства и лекота на използване.
CalyxOS също се фокусира върху поверителносттаРаботи на Pixel и някои други устройства и обикновено включва microG, за да емулира някои от по-малко известните услуги на Google. LineageOS, междувременно, Много по-гъвкав е по отношение на хардуерната съвместимостВъпреки това, не достига нивото на втвърдяване на GrapheneOS. /e/OS се фокусира върху собствената си екосистема от облачни услуги и по-лесно за ползване изживяване, жертвайки някои усъвършенствани слоеве за сигурност в полза на удобството; друга алтернатива, фокусирана върху поверителността, е Вола ОС.
Ограничения, трудности и целеви тип потребител
Не всичко е предимство: GrapheneOS официално поддържа само Pixel устройства.Така че, ако устройството ви използва други марки, ще трябва да помислите за мигриране или намиране на друг ROM. Също така, някои приложения с DRM или много строги проверки на целостта (някои банкови приложения, HD стрийминг услуги, корпоративни инструменти) може да не работят, въпреки че съвместимостта се подобрява с времето.
Има и начална крива на обучениеРазбирането на потребителските профили, детайлното управление на разрешенията, свикването с алтернативни магазини за приложения и приемането, че преживяването не е толкова „plug and play“, колкото при стандартните Android или iOS, са част от процеса. Поддръжката разчита предимно на общността, документацията и техническите форуми, което може да е недостатък за тези, които не желаят да експериментират малко.
В крайна сметка GrapheneOS е по-подходящ за потребители и екипи, които ценят Поверителността и сигурността като стратегически приоритетТова са потребители, които наистина искат контрол над това, което правят телефоните им, и са готови да приемат известни трудности и компромиси. Дори ако продължите да използвате Gmail, WhatsApp или Instagram, възможността да ги капсулирате в пясъчник с ограничени разрешения, разделени на профили и поддържани от стабилна система, прави реална разлика в сравнение със стандартна конфигурация на Android или iOS по подразбиране. Споделете информацията, така че повече потребители да знаят за темата.