Configurarea sandbox-ului Google Play pe GrapheneOS Poate părea puțin intimidant la început, mai ales dacă folosești Android sau iOS clasic și vrei să maximizezi securitatea fără a renunța la aplicații precum Outlook, Teams, WhatsApp sau aplicația bancară. Adevărul este că, dacă știi cum să gestionezi profilurile de utilizator, permisiunile și serviciile Google, poți să-ți securizezi telefonul foarte bine, bucurându-te în același timp de o utilizare confortabilă de zi cu zi.
Ideea centrală atunci când utilizați GrapheneOS Tu decizi măsura în care Google îți accesează telefonul: de la a nu avea nicio urmă a acestuia, până la limitarea acestuia la un profil izolat cu Magazinul Play în modul sandbox. Pe parcursul acestui articol, vei vedea cum funcționează această izolare intern, cum să creezi profiluri pentru viața profesională și personală și cum să instalezi și să configurezi Google Play cu privilegii minime. urmând setări de securitate bune pe Android și ce modele folosesc alți utilizatori pentru a menține suprafața de atac și urmărirea la minimum.
Ce este GrapheneOS și de ce este diferit?
GrapheneOS este un ROM bazat pe AOSP (Android open-source de la Google) conceput special pentru securitate și confidențialitate. Este un proiect non-profit, open-source, care acceptă doar dispozitivele Google Pixel, deoarece profită la maximum de hardware-ul lor de securitate (cum ar fi cipul Titan M) și de lanțul de bootare verificat.
Spre deosebire de Android-ul standard sau multe ROM-uri personalizateNu există servicii Google preinstalate, nu există niveluri suplimentare de personalizare și nu există bloatware. Sistemul se concentrează pe consolidarea kernelului, consolidarea sandbox-ului aplicației, îmbunătățirea gestionării memoriei împotriva exploit-urilor și criptare. copii de rezervă pentru Android și controlează complet conexiunile precum NFC sau Bluetooth atunci când telefonul este blocat.
Această filozofie o face o opțiune foarte interesantă Pentru profilurile care gestionează date sensibile (fondatori, echipe de securitate, startup-uri fintech/healthtech, avocați, jurnaliști) sau pentru oricine dorește să reducă drastic urmărirea, continuând să utilizeze aplicații Android.
Interfață de bază și experiență fără Google
La pornirea unui Pixel care tocmai a fost flashat cu GrapheneOS Vei găsi o interfață foarte similară cu cea a Android-ului pur de la AOSP, dar și mai minimalistă: o imagine de fundal neagră, un launcher simplu și doar 13 aplicații preinstalate, toate funcționale și fără brizbrizuri inutile.
Printre aplicațiile preinstalate Acestea includ Setări, Fișiere, Auditor, Calculator, Calendar, Cameră, Contacte, Galerie, Mesaje, Cititor PDF, Ceas, Telefon și browserul Vanadium, care este o versiune îmbunătățită a Chromium, cu mai multe protecții de confidențialitate și securitate decât browserul obișnuit de pe alte dispozitive Android.
Aplicația Auditor joacă un rol cheie Pentru că vă permite să verificați dacă sistemul și dispozitivul au fost modificate. Este util pentru verificarea integrității, asigurarea că nu există modificări neobișnuite ale memoriei ROM și confirmarea faptului că mediul rămâne de încredere - foarte util dacă vă faceți griji că cineva v-ar fi putut modifica telefonul.
În această configurație de bază, Google nu apare nicăieri.Nu veți vedea asistentul, asistentul de backup Drive sau sugestii de conectare. Depinde de dvs. dacă doriți să trăiți complet fără Google (folosind F-Droid, Aurora Store, APK-uri directe etc.) sau dacă preferați să utilizați integrarea opțională Google Play în modul sandbox.
Ce este sandbox-ul Google Play în GrapheneOS?
Abordarea disruptivă a GrapheneOS asupra Google Play Motivul este că componentele Google (Google Play Services, Google Play Store și Google Services Framework) rulează ca aplicații normale, fără privilegii de sistem. Nu fac parte din firmware și nu au permisiunile extinse pe care le posedă pe un sistem Android standard.
Pe un Pixel cu ROM-ul oficial GoogleServiciile Play și aplicațiile similare sunt aplicații de sistem cu UID-uri speciale, semnate cu certificate de sistem și cu acces la API-uri privilegiate pe care alte aplicații nu le au. Ele funcționează efectiv ca un „mini sistem de operare” în cadrul sistemului în sine.
În GrapheneOS, se întâmplă opusul.Când instalați Google Play din Magazinul oficial de aplicații GrapheneOS, fiecare componentă primește un UID tipic pentru aplicație (în intervalul 10xxx). Serviciile Google Play și Google Services Framework partajează un UID pentru aplicație, astfel încât să poată comunica între ele, iar Magazinul Play are propriul UID separat, întotdeauna în intervalul aplicațiilor standard.
Aceasta înseamnă că nicio componentă Google nu rulează cu UID-ul 0 sau UID-ul 1000.Valorile rezervate pentru root (care nu sunt utilizate în versiunile oficiale) și procesele de sistem foarte specifice nu sunt etichetate cu contexte SELinux privilegiate: în loc de „platform:privapp”, se utilizează contexte standard ale aplicațiilor, forțând aceste aplicații să respecte același nivel de izolare ca și altele.
Așadar, aplicațiile care depind de Google funcționează ca pe un dispozitiv Android obișnuit.Sistemul include un strat de compatibilitate care traduce așteptările Play Services în mediul sandbox. Acest strat nu acordă Google nicio permisiune suplimentară; acesta pur și simplu mediază pentru a permite funcționarea anumitor API-uri, menținând principiul privilegiilor minime.
Avantajele și dezavantajele sandbox-ului Google Play
Principalul avantaj al acestui model Avantajul este că poți instala Google Play doar unde ai nevoie, cu permisiuni controlate cu precizie. Dacă mâine decizi că nu mai vrei să depinzi de Google, dezinstalezi Play Services, Play Store și Framework-ul exact ca pe orice altă aplicație, fără a atinge ROM-ul de bază.
În utilizarea zilnică, aproape toate aplicațiile depind de Google Play. (inclusiv aplicații bancare, aplicații pentru întreprinderi, aplicații de mesagerie care utilizează Firebase Cloud Messaging pentru notificări etc.) percep că serviciile Google sunt disponibile și se comportă ca pe un sistem Android obișnuit. În unele cazuri foarte specifice, o aplicație poate solicita permisiuni de sistem care nu există în acest mediu și poate eșua, dar acest lucru devine din ce în ce mai puțin frecvent.
Dezavantajul este că trebuie să dedici timp la început. Pentru a înțelege ce permisiuni acordați, cum este gestionată execuția în fundal și cum afectează acest lucru notificările și sincronizarea. Dacă restricționați prea mult permisiunile pentru rețea sau activitatea în fundal, este posibil ca unele notificări push să fie întârziate sau, în cazuri extreme, să nu ajungă deloc.
În ceea ce privește intimitatea realistăSandbox-ul reduce semnificativ vizibilitatea Google asupra dispozitivului dvs.: acesta vede doar ce se întâmplă în profilul în care ați instalat serviciile sale și în perimetrul permisiunilor acordate. Cu toate acestea, atâta timp cât utilizați Magazin Play, achizițiile, licențele și datele de telemetrie de bază vor exista în continuare; scopul este de a minimiza daunele, nu de a elimina complet Google dacă aveți nevoie de el pentru serviciu.
Profiluri de utilizator: cum să organizezi munca, viața personală și Google
Unul dintre pilonii GrapheneOS este utilizarea intensivă a profilurilor de utilizator.Android acceptă deja multi-user, dar aici este folosit la maximum pentru a compartimenta funcțiile: fiecare utilizator are propriul set de aplicații, date și setări, izolat de restul.
O structură destul de comună printre utilizatorii avansați Implică un profil principal (Proprietar) foarte curat și unul sau mai multe profiluri secundare pentru activități specifice. De exemplu, un profil axat pe Google Play și altul în întregime pentru testarea personală sau aplicații mai puțin fiabile.
Pentru cineva care va folosi Pixel-ul în principal pentru serviciu (cu Outlook, Teams sau alte instrumente corporative care sunt de obicei legate de serviciile Google), este logic să definim ceva de genul:
- Profil principal (Proprietar)fără servicii Google, cu aplicații de serviciu care nu necesită servicii Play, mesagerie esențială, aplicații bancare și orice element extrem de sensibil.
- Profil secundar «Google»cu Google Play într-un mediu cu nisip și doar aplicațiile care necesită Magazin Play sau API-urile Google pentru a funcționa corect.
- Profilul personal de testare: să experimentezi cu GrapheneOS ca înlocuitor real pentru iPhone sau alt dispozitiv Android, cu aplicații precum Signal, Proton, Bitwarden, WhatsApp, rețele sociale etc., cu sau fără Google, în funcție de toleranța ta.
Marele avantaj al separării în acest fel este că reduceți riscurile încrucișateDacă acordați prea multe permisiuni sau instalați o aplicație discutabilă în profilul dvs. „Google”, acea decizie nu va afecta profilul dvs. principal, unde păstrați cele mai sensibile informații. Iar dacă profilul dvs. de testare scapă de sub control, îl puteți șterge oricând complet fără a afecta restul.
De asemenea, este posibilă inversarea logicii și folosiți profilul principal ca singurul disponibil cu Google Play, rezervând profilurile secundare pentru utilizare ultra-privată. Cu toate acestea, păstrarea profilului Proprietar separat de Google este de obicei mai convenabilă dacă doriți cel mai curat sistem posibil.
Instalarea și introducerea GrapheneOS
Instalează GrapheneOS pe un Pixel modern (cum ar fi un Pixel 9) Este mult mai ușor decât era flasharea ROM-urilor cu ani în urmă. Proiectul oferă un program de instalare web oficial care rulează din browserul computerului, cu instrucțiuni vizuale pas cu pas.
Fluxul tipic de instalare este foarte simpluPentru a debloca bootloader-ul Pixel, conectați dispozitivul prin USB, rulați programul de instalare web, așteptați ca acesta să instaleze imaginile și, în final, blocați din nou bootloader-ul pentru a menține lanțul de bootare verificat. În aproximativ 15-30 de minute, puteți trece de la un Pixel din fabrică la unul cu GrapheneOS complet funcțional.
Odată instalate, actualizările ajung prin propriul serviciu OTA (Over-the-Air).Deci nu trebuie să descarci manual versiuni noi sau să repeți procesul cu fiecare patch de securitate. Sistemul rulează ca orice Android modern, dar cu canalul de actualizare GrapheneOS.
Configurați profilul „Google” cu Play sandbox
Pentru a profita de sandbox fără a vă contamina profilul principalCel mai înțelept lucru de făcut este să creezi un profil de utilizator dedicat Google Play. Acest lucru îți permite să activezi și să dezactivezi acel spațiu după cum este necesar și chiar să împiedici încărcarea acestuia dacă bateria este descărcată sau nu dorești să ruleze nicio aplicație Google.
1. Creați un nou cont de utilizator Google
Din Setări > Sistem > Utilizatori multipli (Numele meniului poate varia ușor în funcție de versiune.) Adăugați un utilizator nou. Dați-i ceva descriptiv, cum ar fi „Google” sau „Magazin Play”, pentru a evita confuziile ulterioare.
Când pornești profilul respectiv pentru prima datăVei finaliza configurarea inițială: limbă, conexiune etc. Încearcă să păstrezi acest profil cât mai minimalist posibil: include doar aplicațiile care au nevoie cu adevărat de Serviciile Play. Acest lucru reduce dezordinea, permisiunile inutile și consumul de resurse.
2. Instalați Google Play din GrapheneOS App Store
În cadrul profilului „Google”, deschideți GrapheneOS App Store.care servește atât la actualizarea componentelor sistemului, cât și la instalarea de elemente opționale, inclusiv servicii Google într-un sandbox.
Instalați componentele în această ordine recomandată. Pentru a evita erorile de dependență:
- Servicii Google Play
- Cadrul serviciilor Google
- Magazinul Google Play
După fiecare instalare, verificați ce permisiuni sunt necesare. Și nu acceptați pe pilot automat. Rețineți că GrapheneOS vă permite să refuzați lucruri care în alte sisteme ar părea obligatorii, cum ar fi accesul continuu la locație sau citirea contactelor, iar multe aplicații vor continua să funcționeze normal.
3. Ajustați permisiunile, rețeaua și senzorii
Unul dintre punctele forte ale sandbox-ului este controlul extrem al permisiunilor.Din managerul de aplicații, puteți limita foarte precis acțiunile fiecărei componente Google și fiecărei aplicații pe care o instalați în cadrul profilului și puteți afla cum să Configurați DNS-ul pe Android.
Câteva practici comune sunt:
- Acordă acces la locație doar „în timp ce folosești aplicația”, niciodată în fundal continuu, cu excepția cazului în care este strict inevitabil.
- Restricționează accesul la contacte, SMS-uri și calendar dacă vrei să utilizezi Magazin Play doar pentru a instala aplicații și nu pentru a sincroniza datele personale.
- Dezactivați permisiunile pentru microfon și cameră pentru Serviciile Google Play și Magazinul Play, permițându-le doar aplicațiilor care au nevoie de ele.
- Folosește controalele GrapheneOS pentru a întrerupe accesul la rețea pentru anumite aplicații atunci când nu au nevoie de el.
Toate acestea reduc cantitatea de date la care pot accesa serviciile Google. și reduce zona disponibilă pentru urmărire, menținând în același timp compatibilitatea cu majoritatea aplicațiilor din ecosistemul Play.
4. Alegeți contul Google pe care îl utilizați
Dacă vii cu o mentalitate bazată pe confidențialitateProbabil că nu vrei să-ți conectezi contul principal de acum ani (plin de achiziții și date personale) la acest profil. Mulți oameni aleg să-și creeze un cont Google specific, mai ușor de utilizat, folosit doar pentru Magazin Play și, cel mult, pentru câteva abonamente.
Când își creează acel cont, unii oameni folosesc un VPN. Pentru a ascunde adresa IP de origine, puteți utiliza un număr de telefon secundar pentru verificare și carduri preplătite sau virtuale pentru achiziții, respectând întotdeauna termenii și condițiile legale de utilizare. Scopul este de a limita legătura dintre identitatea dvs. principală și această instanță Google.
Odată ce ai contul golitConectați-vă doar la profilul „Google”. Tot ce cumpărați, instalați sau configurați va fi restricționat la acel utilizator și nu va fi amestecat cu celelalte profiluri de pe dispozitiv.
Exemple de utilizare: serviciu, aplicații de plată și mesagerie
Într-un mediu de lucru în care aveți nevoie de Outlook, Teams sau alte aplicații corporative Întrucât aplicațiile se bazează de obicei pe serviciile Play, cel mai bine este să le instalați direct în profilul „Google”. Acest lucru asigură compatibilitatea cu notificările push (FCM) și alte servicii interne Microsoft sau ale companiei.
Dacă doriți și să redați conținut multimedia sau să utilizați aplicații plătite foarte specifice (de exemplu, playere avansate precum Symphonium Music, Cast Player sau alte instrumente cu DRM sau licențe legate de Google Play), le veți plasa și în acest profil, astfel încât verificarea licenței și API-urile Google să funcționeze.
Cu ajutorul mesageriei și al rețelelor sociale, poți juca mai mult cu compartimentarea.Signal, WhatsApp, Telegram, X, Instagram și aplicații similare funcționează de obicei fără serviciile Google Play, deși în cazuri precum WhatsApp se pierde backup-ul automat pe Google Drive. Mulți utilizatori preferă să aibă aceste aplicații pe profilul personal fără Google Play, acceptând compromisuri minore în schimbul confidențialității.
Un model de utilizare foarte prudent este de obiceiDeschide profilul „Google” doar atunci când trebuie să instalezi, să actualizezi sau să utilizezi activ o aplicație care depinde de aceste servicii și ține-l închis în restul timpului. În acest fel, reduci la minimum traficul și activitatea asociate cu Google.
Verificarea fișierelor APK și a aplicațiilor pe mai multe profiluri
Când începeți să gestionați mai multe profiluri de utilizatorAcest lucru ridică întrebarea cum să verifici ce aplicații sunt instalate pe fiecare dispozitiv și cum să le verifici integritatea, mai ales dacă descarci direct fișiere APK sau folosești magazine alternative.
Este important să înțelegem că fiecare utilizator are propria instanță a fiecărei aplicații.Faptul că instalați aceeași aplicație în două profiluri nu înseamnă că acestea au exact aceeași bază de date sau configurație în comun: sunt izolate prin design, iar acest lucru complică oarecum auditul general.
Cele mai rezonabile opțiuni fără a roota dispozitivul sunet:
- Verifică manual, profil cu profil, lista de aplicații din Setări > Aplicații, verificând permisiunile una câte una.
- Bazează-te pe surse de instalare de încredere (GrapheneOS App Store, F-Droid, Aurora Store bine configurat, site-uri web oficiale ale dezvoltatorilor) și, dacă ești foarte meticulos, compară hash-urile sau semnăturile APK cu versiunile originale.
- În medii de analiză avansate, utilizați instrumente precum App Manager pe un dispozitiv cu acces root temporar (de exemplu, prin KernelSU în afara versiunilor oficiale) pentru a inspecta semnăturile, UID-urile și contextele SELinux ale fiecărei aplicații.
Audituri efectuate de utilizatori tehnici cu acest tip de instrument Aceștia au confirmat că aplicațiile Google din sandbox sunt semnate de Google Inc. cu certificatele lor obișnuite, că UID-ul lor este păstrat în intervalul aplicațiilor utilizatorilor și că certificatele de sistem GrapheneOS sunt independente, împiedicând o aplicație Google să se dea drept o componentă a sistemului.
GrapheneOS în mediul startup și profesional
Dincolo de utilizatorul individual preocupat de confidențialitateGrapheneOS se integrează foarte bine în echipele de startup-uri, în special în sectoarele cu reglementări stricte privind datele sau care gestionează proprietate intelectuală valoroasă.
În organizații distribuite sau la distanțăUn profil corporativ poate fi standardizat cu setări de permisiuni stricte, criptare puternică și fără servicii Google în contul de proprietar, în timp ce profilurile secundare sunt destinate aplicațiilor client, mesageriei sau testării produselor, menținând totul destul de controlat.
Fondatorii și echipele de produs îl folosesc și ei Acest lucru vă permite să testați cum se comportă aplicațiile dvs. într-un mediu în care serviciile Google sunt opționale. Acest lucru ajută la detectarea dependențelor inutile de serviciile Play și îmbunătățește compatibilitatea cu alte sisteme Android mai open-source.
Este important, totuși, să recunoaștem unele limitări.Compatibilitate exclusivă cu dispozitivele Pixel recente, dificultăți cu aplicațiile cu DRM foarte strict (cum ar fi anumite bănci, streaming HD sau aplicații cu verificări agresive ale integrității) și o curbă de învățare puțin mai abruptă pentru cei care nu au părăsit niciodată ecosistemul Google/Apple.
Alternative și profilul ideal al utilizatorului
În spectrul confidențialității și utilizării, GrapheneOS se poziționează în principal la capătul securității.Alte ROM-uri precum CalyxOS, LineageOS, Divestos, ROM-ul ușor /e/OS sunt opțiuni intermediare cu compromisuri diferite: mai multă personalizare, mai multă compatibilitate cu dispozitivele, dar o consolidare mai puțin profundă a securității datelor.
CalyxOS, de exemplu, este orientat și către Pixel. Dar include microG pentru a imita serviciile Google cu mai puțină urmărire, ceea ce îl face mai ușor de utilizat pentru cei care nu doresc să se ocupe de reglajele fine ale GrapheneOS. LineageOS se concentrează pe suport larg pentru dispozitive și personalizare, sacrificând o parte din protecția de securitate.
GrapheneOS are mai mult sens dacă prețuiești foarte mult securitatea și controlul tehnicEști dispus să folosești un Pixel ca bază și înțelegi că experiența nu va fi la fel de axată pe confortul absolut ca pe un Pixel standard sau un iPhone, mai ales în ceea ce privește integrarea cu servicii proprietare.
Având în vedere toate cele de mai sus, configurația sandbox-ului Google Play în GrapheneOS Devine un instrument foarte puternic: poți menține un profil principal fără nicio urmă de Google, poți configura un profil izolat în Magazinul Play pentru puținele aplicații care au nevoie de el, poți verifica ce instalezi pentru fiecare utilizator și poți ajusta permisiunile până la detaliu, obținând un echilibru interesant între funcționalitatea modernă și un nivel de confidențialitate și securitate greu de egalat în alte medii mobile. Distribuiți acest ghid și mai mulți utilizatori vor afla despre noua funcție.
