Kroz cijeli ovaj članak vidjet ćete Kako Google Play sandbox funkcioniše u GrapheneOS-u?Kako organizirati korisničke profile, koje postavke koriste drugi napredni korisnici, kako provjeriti APK-ove na više profila i u kojoj mjeri ima smisla govoriti o privatnosti ako nastavite koristiti aplikacije koje se uveliko oslanjaju na Google i Meta. Također ćete pronaći Kompletan vodič za razumijevanje i korištenje GrapheneOS-a s praktičnim pristupom i bez gubitka iz vida važnih tehničkih detalja.
Šta je GrapheneOS i zašto je važan za sigurnost?
GrapheneOS je operativni sistem zasnovan na AOSP-u. (Android bez Googlea) dizajniran za maksimiziranje sigurnosti i privatnosti na Pixel telefonima. To nije samo "Android bez Googlea": on uključuje ublažavanja na nivou jezgra, memorije i sistema što uveliko otežava iskorištavanje ranjivosti i dobijanje trajnog pristupa uređaju; nadalje, omogućava primjenu Kontrole i razmatranja u vezi s binarnim blobovima koji utiču na najniži nivo sistema.
Projekat se fokusira na ponudu teško okruženje za napadače: verifikovano pokretanje sa Titan M čipom, ojačani alokator memorije, ojačani sandbox aplikacije, napredne kontrole dozvola, šifrovane sigurnosne kopije i agresivno blokiranje vektora napada poput NFC-a ili Bluetootha kada je ekran isključen. Sve ovo doprinosi minimalističkom dizajnu: Samo osnovne aplikacije dolaze unaprijed instalirane, bez bloatware-a, bez Google servisa i sa interfejsom praktično identičnim AOSP-u.
Kakav je osjećaj koristiti GrapheneOS na dnevnoj bazi?
Kada prvi put uključite Pixel sa GrapheneOS-om, otkrit ćete vrlo čisto i gotovo spartansko iskustvoROM uključuje samo nekoliko osnovnih aplikacija: Postavke, Datoteke, Auditor, Kalkulator, Kalendar, Kamera, Kontakti, Galerija, Poruke, PDF čitač, Sat, Telefon i Vanadium preglednik, koji je... Chromium poboljšan u pogledu privatnosti i sigurnosti.
Interfejs je u osnovi onaj od AOSP bez ukrasa ili dodatnih slojevaJednostavan pokretač, bez blještavih pozadina (crna pozadina po defaultu), bez widgeta trećih strana, asistenata ili prijedloga za prijavu na Google. Ovo odsustvo nije slučajno, već je dio filozofije projekta: Vi odlučujete šta ćete instalirati i koje dozvole ćete datii preporučljivo je pregledati postavke privatnosti od prvog početka.
Instaliranje GrapheneOS-a na Pixel: manje komplicirano nego što se čini
Suprotno onome što mnogi misle, Instalirajte GrapheneOS na kompatibilni Pixel. Ne zahtijeva da budete stručnjak za flešovanje ROM-ova. Projekat nudi... zvanični web instalater koji se pokreće u modernom pregledniku i vodi proces korak po korak.
Standardni tok se sastoji od otključaj bootloader Sa Pixela, povežite telefon sa računarom putem USB-a i koristite web instalacijski program, koji se brine o slanju potrebnih slika i naredbi. Kada završi, Bootloader je ponovo zaključan. kako bi se osigurala provjera pokretanja. Za otprilike 15-30 minuta možete imati noviji Pixel (od Pixel 5 serije nadalje) s pokrenutim GrapheneOS-om, koristeći prednosti sigurnosnog čipa Titan M bez oslanjanja na službeni Googleov firmver.
Život bez Google usluga: alternativne trgovine i ekosistem aplikacija
Kao proizvedeno, GrapheneOS ne uključuje Play Store ili Google Play uslugeAko želite koristiti samo besplatni softver i smanjiti praćenje, možete koristiti repozitorije poput F-Droid Za instaliranje aplikacija otvorenog koda: Signal za razmjenu poruka, Bitwarden za lozinke, Organic Maps za mape bez praćenja, Nextcloud kao privatni oblak itd. Postoje i alternative otvorenog koda za Google aplikacije koji pokrivaju mnoge uobičajene potrebe.
Da bi pristupili aplikacijama koje su dostupne samo na Google Playu, mnogi korisnici pribjegavaju Prodavnica Aurora, alternativni klijent koji preuzima APK-ove direktno iz Play Store-a, bez prijave s vašim Google računomAurora može koristiti anonimne račune koje generira servis, iako to nije uvijek stabilno ili praktično kao službena trgovina, a neke aplikacije (posebno plaćene ili one sa zahtjevnim DRM-om) mogu uzrokovati probleme.
Google Play Sandbox u GrapheneOS-u: šta je to tačno
Prepoznatljiv pristup GrapheneOS-a je taj što nudi opcija korištenja Google Playa u sandbox načinu radabez integriranja kao privilegiranog dijela sistema. Na konvencionalnom Androidu, Play servisi i slično rade kao sistemske aplikacije sa posebnim dozvolama, potpisan certifikatima sa same platforme i sa pristupom veoma moćnim internim API-jima.
S druge strane, u GrapheneOS-u, Google Play usluge, Google Play trgovina i Google Services Framework se instaliraju kao i obične korisničke aplikacije, sa vlastitim UID-om u rasponu aplikacija, bez sistemskog potpisa i podložni istom modelu dozvola i strogom sandboxu kao i ostale aplikacije. Nemaju UID 0 (root) ili UID 1000 (system)i stoga nemaju sistemske privilegije niti direktan pristup internim resursima.
Kako izolacija Google Playa funkcioniše interno
Kada instalirate Google komponente iz GrapheneOS App Storesvaki dobija svoj vlastiti numerički identitet (UID). Google Play usluge i Google Services Framework dijele UID aplikacije unutar korisničkog raspona (npr. 10xxx), omogućavajući im međusobnu komunikaciju bez narušavanja ukupne izolacije.
La Play Store ima svoj vlastiti UIDTakođer spada u kategoriju uobičajenih aplikacija i potpisan je Google certifikatima, a ne GrapheneOS sistemskim certifikatima. Ovo osigurava da, iako su to službeni Google certifikati, ne može oponašati sistemske komponenteNadalje, što se tiče SELinuxa, oni se ne pokreću s privilegiranim kontekstima poput "platform:privapp", već s standardni konteksti aplikacije (na primjer, "default:targetSdkVersion=34:complete"), što pojačava ideju da su to samo još neke aplikacije unutar sandboxa.
Sloj kompatibilnosti: omogućavanje da sve funkcioniše bez davanja supermoći
Kako bi se osiguralo da aplikacije koje se oslanjaju na Google Play ispravno funkcionišu, GrapheneOS uključuje određeni sloj kompatibilnostiOvaj sloj ne daje dodatne dozvole Googleovim uslugama, već prilagođava sistem tako da Google Play može raditi unutar uobičajenih ograničenja iz aplikacije bez privilegija.
Zahvaljujući ovoj kompatibilnosti, Većina aplikacija očekuje da pronađe Play usluge (Aplikacije za bankarstvo, razmjenu poruka, društvene mreže i DRM-zaštićeno plaćanje) funkcionišu kao da su na klasičnom Android sistemu, iako su Google usluge uveliko ograničene. I dalje im nedostaju UID-ovi i sistemski potpisi, ali su potrebni API-ji izloženi na kontroliran način kako bi se izbjeglo ometanje korisničkog iskustva.
Praktična dilema: Ima li smisla koristiti GrapheneOS ako ću nastaviti koristiti Gmail i WhatsApp?
Vrlo često pitanje je da li Korištenje GrapheneOS-a gubi svoju svrhu kada su vam glavne aplikacije Gmail, WhatsApp, Instagram itd.Istina je da ove aplikacije uključuju znatno izlaganje podataka Googleu i Meta servisima, ali to ne znači da je instaliranje GrapheneOS-a beskorisno u tom kontekstu i vrijedi razmotriti da li Da li se isplati instalirati GrapheneOS na mobilni telefon? prema vašim prioritetima.
Šta se mijenja je površina napada i nivo kontrole nad uređajemČak i ako koristite Gmail i WhatsApp u GrapheneOS okruženju, ostatak sistema ostaje ojačan: bolja ublažavanja zloupotreba, mnogo preciznije dozvole, verifikovano pokretanje, izolacija između profila, mogućnost odbijanja pristupa senzorima, blokiranje mreže za određene aplikacije itd. Ne eliminišete telemetriju iz tih aplikacija, ali ozbiljno ograničavate ono što mogu vidjeti i raditi iza zatvorenih vrata..
Korisnički profili: ključ za podjelu vašeg digitalnog života na odjeljke
Jedna od najmoćnijih karakteristika GrapheneOS-a je upotreba potpuno izolirani korisnički profiliSvaki profil ima svoj prostor za aplikacije i podatke, tako da aplikacija instalirana na profilu On niti postoji niti išta vidi u drugimaOvo je ključno kada želite da Google i nepouzdane aplikacije držite u svom malom kutku; štaviše, to je efikasan način korištenja mobilnog uređaja. nema google nalog na glavnom profilu.
Tipična konfiguracija koju preporučuju napredni korisnici bila bi nešto poput ove: Čist glavni profil (Vlasnik), bez Google-as vašim najosjetljivijim aplikacijama (bankarstvo, glavne poruke, posao); a sekundarni profil «Google» s Google Play uslugama u sandboxu i aplikacijama koje ovise o njima; i, opcionalno, Dodatni profili za vrlo specifične upotrebe (testovi, eksperimentalne aplikacije, itd.). Ova struktura smanjuje mogućnost miješanja osjetljivih podataka s vrlo agresivnim aplikacijama za praćenje.
Konfiguracije korisnika GrapheneOS-a u stvarnom svijetu
Neki korisnici dijele vrlo detaljna podešavanja koja ilustruju kako izvući maksimum iz sistema. Jedna prilično ekstremna, ali vrlo poučna shema uključuje Koristite profil vlasnika kao "profil administratora" i sekundarne profile za svakodnevnu upotrebu.
U tom pristupu, Vlasnički profil usmjerava sav promet kroz Orbot (Tor)., ima instaliranu Google Play trgovinu sa anonimni račun kreiran bez telefonskog brojaKoristite alternativne trgovine poput Obtainium i Accrescent da biste dobili aplikacije direktno od programera, Provjerite sve aplikacije pomoću alata kao što je App Verifier. A nakon što se instaliraju i pregledaju, onemogućava ih u Vlasniku i prebacuje ih na druge korisničke profile za svakodnevnu upotrebu.
Zatim se stvaraju profili odvojeni prema nivou povjerenja u aplikacijeJedan posvećen softveru otvorenog koda i softveru koji vodi računa o privatnosti, s prometom tuneliranim kroz MullvadVPN, i drugi profil za manje pouzdane aplikacije (bankarstvo, WhatsApp, itd.), koji također koristi VPN. Cilj ove agresivne kompartmentalizacije je da Problematična aplikacija na jednom profilu ne može pristupiti podacima ili aplikacijama s drugogkorisna strategija za ublažavanje prijetnji kao što su Špijunski softver usmjeren na Android.
Je li opasno imati WhatsApp pored upravitelja lozinki i e-pošte?
Jedno od pitanja koje se postavlja kod ove vrste konfiguracije je da li Preporučljivo je da imate WhatsApp na istom profilu kao i vaš upravitelj lozinki ili e-poštu.Sa stanovišta ozbiljne sigurnosti, idealno bi bilo da se odvoje: što manje prostora dijele, to bolje. Međutim, GrapheneOS-ove dozvole i sandbox sistem... To ozbiljno ograničava ono što WhatsApp može da uradi ako dobro upravljate dozvolama.
Glavni rizik nije to što WhatsApp direktno čita vašu bazu podataka lozinki (ne može), već sve što dijelite s tom aplikacijom i povezani metapodaciKontakti, obrasci korištenja, sigurnosne kopije u oblaku (koje također gube integraciju s Google Driveom u GrapheneOS-u) itd. Uprkos tome, dijeljenje vašeg profila s upraviteljem lozinki ili aplikacijom za e-poštu ne znači automatski katastrofu; to jednostavno znači da ako želite maksimalnu izolaciju, Najpametnije rješenje je korištenje odvojenih profila za opšte poruke i za veoma osjetljive zadatke.
Telefonski pozivi i SMS poruke u "nepouzdanim" profilima: šta treba imati na umu
Još jedna osjetljiva tačka je aktiviranje poziva i SMS-ova na profilima koji se smatraju manje pouzdanimkao što je onaj koji hostira bankarske aplikacije i WhatsApp. Sve dok kontrolišete dozvole i održavate sistem ažurnim, to nije katastrofalna ranjivost, ali proširuje površinu napada: zlonamjerni SMS, phishing pozivi ili linkovi primljeni putem poruka Njima se upravlja iz tog profila.
Ako je vaš model prijetnje visok (na primjer, rukovanje vrlo osjetljivim informacijama ili ciljani rizici špijunaže), možete se odlučiti za Ograničite SMS i telefonske pozive na profil ograničene upotrebe i minimizirajte ono što tamo instalirate. Za većinu naprednih korisnika dovoljno je koristiti zdrav razum, provjeriti dozvole i izbjegavati instaliranje neželjenih datoteka u profilu gdje primate kritičnu komunikaciju.
Verifikacija APK-a i aplikacije kada postoji više korisnika
GrapheneOS nudi mehanizme za provjeriti integritet sistema i aplikacijaAli kada koristite više profila, postavlja se pitanje kako sve revidirati. Važno je razumjeti da Svaki korisnik ima svoju instancu aplikacijeAko instalirate istu aplikaciju na dva profila, interno se one smatraju odvojenim instalacijama, svaka sa svojim podacima i postavkama.
Da biste provjerili šta je instalirano i njegovu legitimnost, možete koristiti upravitelj aplikacija za svaki profilpregled dozvola i detalja. Više tehničkih korisnika pribjegava alatima poput App Managera (u analitičkim okruženjima s privremenim root pristupom, na primjer KernelSU) kako bi pregledati SELinux potpise, UID-ove i kontekste svih aplikacija. Analiza iz stvarnog svijeta pokazala je da su Google aplikacije u sandbox okruženjima potpisano od strane Google Inc. sa njihovim uobičajenim certifikatimai da su GrapheneOS sistemski certifikati nezavisni, što potvrđuje da Google Play ne radi kao sistemska komponenta.
Instalirajte i konfigurirajte Google Play sandbox korak po korak
Ako vam je Play Store potreban za bankarstvo, posao ili određene plaćene kupovine, možete Instalirajte Google Play sandbox u određeni profil slijedeći razuman redoslijed kako bi se izbjegli problemi.
1. Kreirajte korisnički profil posvećen Googleu
Iz Postavke > Sistem > Više korisnika, možete Dodajte novog korisnika s opisnim imenomNa primjer, "Google" ili "Play". Kada ga prvi put pokrenete, proći ćete kroz kratki čarobnjak za podešavanje. Preporuka je da Neka ovaj profil bude što minimalističkijisamo aplikacije koje zaista zahtijevaju Play usluge, bez repliciranja cijelog ekosistema iz glavnog profila.
2. Instalirajte Google komponente iz GrapheneOS App Store-a
U tom profilu otvorite Integrisana GrapheneOS prodavnica aplikacija i pronađite komponente: Google Play Services, Google Services Framework i Google Play Store. Najrazumnije je Instalirajte ih ovim redoslijedom Da biste izbjegli interne greške zavisnosti, nakon svake instalacije pažljivo pregledajte tražene dozvole i donesite odluku. šta ćeš odobriti, a šta ćeš uskratiti Od prvog trenutka.
3. Podesite dozvole, senzore i aktivnosti u pozadini
Jedna od prednosti sandboxa je ta što možete biti prilično strogi s dozvolama: zabraniti stalni pristup lokaciji i odobriti ga samo kada ga određena aplikacija treba, opozvati pristup kontaktima ako nije neophodan, blokirati mikrofon i kameru kada se ne koriste itd. Nadalje, GrapheneOS omogućava kontrolišite aktivnosti u pozadini i pristup mreži aplikaciju po aplikaciju, što smanjuje i nepotrebnu telemetriju i potrošnju baterije.
4. Odaberite ili kreirajte Google račun koji ćete koristiti
Ako vam je privatnost prioritet, mnogi korisnici preporučuju Koristite zaseban Google račun koji nije usko povezan s vašim primarnim identitetom.Uobičajena praksa je kreiranje računa korištenjem VPN-a, sekundarnog telefonskog broja (kada je potrebno) i, ako se planiraju kupovine, virtualnih ili prepaid kartica, ovisno o uvjetima i odredbama pružatelja usluga. Korisno je znati kako to učiniti, kada je to moguće.
Kada imate račun, Prijavite se u Play Store samo unutar "Google" profilaSve kupovine, pretplate i licence bit će povezane s tim određenim računom i profilom. Drugi profili neće ni znati da taj račun postoji, što pomaže u ograničavanju izloženosti podataka.
Upotreba sandboxa u stvarnom svijetu: plaćene aplikacije, obavještenja i kompatibilnost
U praksi, mnogim korisnicima GrapheneOS-a potreban je samo Google Play. za nekoliko plaćenih ili vrlo specifičnih aplikacija koje ne možete pronaći na F-Droidu ili kao direktne APK-ove. Govorimo, na primjer, o visoko uglađenim media playerima, namjenskim Jellyfin klijentima, profesionalnim aplikacijama licenciranim iz Play Store-a itd.
Tipičan tok je Pokrenite "Google" profil samo kada će se aplikacije instalirati ili ažuriratiZadržite samo aplikacije koje zavise od Play usluga i pažljivo konfigurirajte automatska ažuriranja. Na taj način, Vrijeme tokom kojeg su Google usluge aktivne je minimizirano. na uređaju, i bolje je kontrolisati koje promjene verzija dolaze do izražaja.
Što se tiče kompatibilnosti, većina aplikacija koje koriste Firebase Cloud Messaging (FCM) za push obavještenja Oni nastavljaju ispravno funkcionirati unutar sandboxa, zahvaljujući sloju kompatibilnosti s GrapheneOS-om. Međutim, ako ste previše agresivni u ograničavanju dozvola, blokiranju pristupa mreži ili zaustavljanju pozadinskih procesa, neke obavijesti mogu kasniti ili u ekstremnim slučajevima propasti.
Poređenje s drugim ROM-ovima usmjerenim na privatnost
Unutar pejzaža Android ROM-ova, GrapheneOS je pozicioniran na ekstremnoj razini maksimalne sigurnosti i zaštite.Druge alternative, kao što su CalyxOS, LineageOS ili /e/OS, nude različite ravnoteže između privatnosti, kompatibilnosti uređaja i jednostavnosti korištenja.
CalyxOS se također fokusira na privatnostRadi na Pixelu i nekim drugim uređajima i obično uključuje microG kako bi emulirao neke od manje istaknutih Googleovih usluga. LineageOS, u međuvremenu, Mnogo je fleksibilniji u pogledu kompatibilnosti hardvera.Međutim, ne dostiže nivo ojačanja GrapheneOS-a. /e/OS se fokusira na vlastiti ekosistem cloud usluga i korisničko iskustvo, žrtvujući neke napredne sigurnosne slojeve u korist praktičnosti; druga alternativa usmjerena na privatnost je Volla OS.
Ograničenja, prepreke i ciljni tip korisnika
Nije sve prednost: GrapheneOS službeno podržava samo Pixel uređaje.Dakle, ako vaš uređaj koristi druge marke, morat ćete razmisliti o migraciji ili pronalaženju drugog ROM-a. Također, neke aplikacije sa DRM ili vrlo stroge validacije integriteta (određene bankarske aplikacije, HD streaming servisi, korporativni alati) možda neće raditi, iako se kompatibilnost s vremenom poboljšava.
Tu je i početna krivulja učenjaRazumijevanje korisničkih profila, detaljno upravljanje dozvolama, navikavanje na alternativne trgovine aplikacija i prihvatanje činjenice da iskustvo nije tako "plug and play" kao na standardnom Androidu ili iOS-u, sve su to dijelovi procesa. Podrška se prvenstveno oslanja na zajednicu, dokumentaciju i tehničke forume, što može biti nedostatak za one koji nisu voljni malo eksperimentirati.
U konačnici, GrapheneOS je bolji izbor za korisnike i timove koji cijene Privatnost i sigurnost kao strateški prioritetTo su korisnici koji zaista žele kontrolu nad onim što njihovi telefoni rade i spremni su prihvatiti određene probleme i kompromise. Čak i ako nastavite koristiti Gmail, WhatsApp ili Instagram, mogućnost da ih zatvorite u sandbox s ograničenim dozvolama, podijeljene u profile i podržane robusnim sistemom, čini pravu razliku u poređenju sa standardnom Android ili zadanom iOS konfiguracijom. Podijelite informacije tako da više korisnika zna o ovoj temi.