Настройване на пясъчника на Google Play на GrapheneOS В началото може да ви се стори малко обезсърчително, особено ако използвате класически Android или iOS и искате да увеличите максимално сигурността, без да се отказвате от приложения като Outlook, Teams, WhatsApp или банковото си приложение. Истината е, че ако знаете как да управлявате потребителски профили, разрешения и услуги на Google, можете да направите телефона си много сигурен, като същевременно се наслаждавате на комфортна ежедневна употреба.
Централната идея при използването на GrapheneOS Вие решавате до каква степен Google ще осъществява достъп до телефона ви: от това да няма никаква следа от него до ограничаването му до изолиран профил с Play Store в режим „sandbox“. В тази статия ще видите как работи тази изолация вътрешно, как да създавате профили за работа и личен живот и как да инсталирате и конфигурирате Google Play с минимални привилегии. спазване на добри настройки за сигурност на Android и какви модели използват другите потребители, за да сведат до минимум повърхността за атака и проследяването.
Какво е GrapheneOS и защо е различно?
GrapheneOS е ROM, базиран на AOSP. (Android с отворен код на Google), проектиран специално за сигурност и поверителност. Това е проект с отворен код с нестопанска цел, който поддържа само устройства Google Pixel, защото се възползва максимално от техния хардуер за сигурност (като чипа Titan M) и проверената верига за зареждане.
За разлика от стандартния Android или много персонализирани ROM-овеНяма предварително инсталирани услуги на Google, няма допълнителни нива на персонализиране и няма bloatware. Системата се фокусира върху втвърдяване на ядрото, укрепване на пясъчната кутия на приложението, подобряване на управлението на паметта срещу експлойти и криптиране. резервни копия за Android и напълно да контролирате връзки като NFC или Bluetooth, когато телефонът е заключен.
Тази философия го прави много интересен вариант За профили, които обработват чувствителни данни (основатели, екипи по сигурността, финтех/здравни стартиращи компании, адвокати, журналисти) или за всеки, който иска драстично да намали проследяването, като същевременно използва приложения за Android.
Основен интерфейс и работа без Google
При включване на Pixel, който току-що е бил флашнат с GrapheneOS Ще намерите интерфейс, много подобен на чистия Android на AOSP, но още по-минималистичен: черен тапет, опростен стартер и само 13 предварително инсталирани приложения, всички функционални и без излишни екстри.
Сред приложенията, които са предварително инсталирани Те включват Настройки, Файлове, Одитор, Калкулатор, Календар, Камера, Контакти, Галерия, Съобщения, PDF четец, Часовник, Телефон и браузъра Vanadium, който е подсилен Chromium с повече защити за поверителност и сигурност от типичния браузър на други Android устройства.
Приложението Auditor играе ключова роля Защото ви позволява да проверите дали системата и устройството са били подправени. Полезно е за проверка на целостта, гарантиране, че няма необичайни промени в ROM паметта и потвърждаване, че средата остава надеждна – много полезно, ако се притеснявате, че някой може да е манипулирал телефона ви.
В тази основна конфигурация Google не се появява никъде.Няма да виждате асистента, асистента за архивиране в Drive, нито предложения за влизане. От вас зависи дали искате да живеете напълно без Google (използвайки F-Droid, Aurora Store, директни APK файлове и др.) или предпочитате да използвате опционалната интеграция с Google Play в режим „sandbox“.
Какво представлява пясъчникът на Google Play в GrapheneOS?
Революционният подход на GrapheneOS към Google Play Причината е, че компонентите на Google (Google Play Services, Google Play Store и Google Services Framework) работят като нормални приложения без системни привилегии. Те не са част от фърмуера и нямат дълбоките разрешения, които притежават на стандартна Android система.
На Pixel с официалния ROM на GooglePlay Services и подобни приложения са системни приложения със специални UID, подписани със системни сертификати и с достъп до привилегировани API, които други приложения нямат. Те ефективно функционират като „мини операционна система“ в самата система.
В GrapheneOS се случва обратнотоКогато инсталирате Google Play от официалния магазин за приложения на GrapheneOS, всеки компонент получава типичен UID на потребителското приложение (в диапазона 10xxx). Услугите на Google Play и Google Services Framework споделят UID на приложението, за да могат да комуникират помежду си, а Play Store има свой собствен отделен UID, винаги в диапазона на стандартните приложения.
Това означава, че никой компонент на Google не работи с UID 0 или UID 1000.Стойностите, запазени за root (не се използват в официалните компилации) и много специфични системни процеси, също не са маркирани с привилегировани SELinux контексти: вместо „platform:privapp“ се използват стандартни контексти на приложенията, което принуждава тези приложения да спазват същото ниво на изолация като другите.
Така че приложенията, които зависят от Google, да работят като на нормално устройство с Android.Системата включва слой за съвместимост, който преобразува очакванията на Play Services в пясъчната среда. Този слой не предоставя на Google никакви допълнителни разрешения; той просто посредничи, за да позволи на определени API да функционират, поддържайки принципа на най-малките привилегии.
Предимства и недостатъци на пясъчникa на Google Play
Основното предимство на този модел Предимството е, че можете да инсталирате Google Play само там, където ви е необходим, с прецизно контролирани разрешения. Ако утре решите, че вече не искате да разчитате на Google, деинсталирате Play Services, Play Store и Framework, точно както бихте направили всяко друго приложение, без да докосвате базовия ROM.
При ежедневна употреба почти всички приложения зависят от Google Play. (включително банкови, корпоративни приложения, приложения за съобщения, които използват Firebase Cloud Messaging за известия и др.) възприемат, че услугите на Google са налични и се държат както биха се държали в обикновена система с Android. В някои много специфични случаи дадено приложение може да поиска системни разрешения, които не съществуват в тази среда, и да се провали, но това става все по-рядко срещано.
Недостатъкът е, че в началото трябва да отделите време. За да разберете какви разрешения предоставяте, как се управлява изпълнението във фонов режим и как това се отразява на известията и синхронизацията. Ако ограничите твърде много разрешенията за мрежата или фоновата активност, някои push известия може да се забавят или в екстремни случаи изобщо да не пристигнат.
Относно реалистичната поверителностПясъчникът значително намалява видимостта на Google във вашето устройство: той вижда само какво се случва в профила, където сте инсталирали услугите му, и в рамките на предоставените разрешения. Въпреки това, докато използвате Play Store, покупките, лицензите и основната телеметрия ще продължат да съществуват; целта е да се сведе до минимум вредата, а не да се елиминира напълно Google, ако ви е необходим за работа.
Потребителски профили: как да организираме работата, личния живот и Google
Един от стълбовете на GrapheneOS е интензивното използване на потребителски профили.Android вече поддържа многопотребителски режим, но тук той се използва максимално, за да се разделят функциите: всеки потребител има свой собствен набор от приложения, данни и настройки, изолирани от останалите.
Доста често срещана структура сред напредналите потребители Това включва наличието на много изчистен основен профил (Собственик) и един или повече вторични профили за специфични дейности. Например, един профил, фокусиран върху Google Play, а друг изцяло за лично тестване или по-малко надеждни приложения.
За някой, който ще използва Pixel предимно за работа (с Outlook, Teams или други корпоративни инструменти, които обикновено са свързани с услугите на Google), има смисъл да се дефинира нещо подобно:
- Основен профил (Собственик)без услуги на Google, със служебни приложения, които не изискват Play Services, важни съобщения, банкови приложения и всичко, което е силно чувствително.
- Вторичен профил „Google“с Google Play в пясъчник и само приложенията, които изискват Play Store или Google API, за да функционират правилно.
- Личен тестов профил: да експериментирате с GrapheneOS като реален заместител на вашия iPhone или друг Android, с приложения като Signal, Proton, Bitwarden, WhatsApp, социални мрежи и др., със или без Google в зависимост от вашата толерантност.
Голямото предимство на разделянето по този начин е, че намалявате кръстосаните рискове.Ако предоставите твърде много разрешения или инсталирате съмнително приложение в профила си в „Google“, това решение няма да повлияе на основния ви профил, където съхранявате най-чувствителната си информация. И ако тестовият ви профил излезе извън контрол, винаги можете да го изтриете изцяло, без да засягате останалата част.
Възможно е също така да се обърне логиката и използвайте основния профил като единствен в Google Play, запазвайки вторичните профили за ултра-лична употреба. Въпреки това, запазването на профила на собственика извън Google обикновено е по-удобно, ако искате възможно най-чистата система.
Инсталиране и започване на работа с GrapheneOS
Инсталирайте GrapheneOS на модерен Pixel (като Pixel 9) Много по-лесно е, отколкото беше флашването на ROM-ове преди години. Проектът предлага официален уеб инсталатор, който се стартира от браузъра на вашия компютър, с визуални инструкции стъпка по стъпка.
Типичният процес на инсталиране е много лесенЗа да отключите буутлоудъра на Pixel, свържете устройството чрез USB, стартирайте уеб инсталатора, изчакайте да се заредят образите и накрая заключете отново буутлоудъра, за да се поддържа проверената верига за зареждане. За около 15-30 минути можете да преминете от фабричен Pixel към такъв с напълно функционална GrapheneOS.
След като бъдат инсталирани, актуализациите пристигат чрез собствена OTA (Over-the-Air) услуга.Така че не е нужно ръчно да изтегляте нови версии или да повтаряте процеса с всяка корекция за сигурност. Системата работи като всеки съвременен Android, но с канала за актуализации GrapheneOS.
Конфигуриране на профила „Google“ с пясъчник на Play
За да се възползвате от пясъчника, без да замърсявате основния си профилНай-разумното нещо, което можете да направите, е да създадете потребителски профил, посветен на Google Play. Това ви позволява да включвате и изключвате това пространство, когато е необходимо, и дори да предотвратявате зареждането му, ако батерията ви е изтощена или не искате да работят приложения на Google.
1. Създайте нов потребителски акаунт в Google
От Настройки > Система > Няколко потребители (Името на менюто може леко да се различава в зависимост от версията.) Добавете нов потребител. Дайте му нещо описателно, като например „Google“ или „Play Store“, за да избегнете объркване по-късно.
Когато за първи път стартирате този профилЩе завършите първоначалната настройка: език, връзка и т.н. Опитайте се да поддържате този профил възможно най-минималистичен: включете само приложенията, които наистина се нуждаят от Play Services. Това намалява претрупването, ненужните разрешения и консумацията на ресурси.
2. Инсталирайте Google Play от GrapheneOS App Store
В този профил в „Google“ отворете GrapheneOS App Store.който служи както за актуализиране на системните компоненти, така и за инсталиране на допълнителни елементи, включително услуги на Google в пясъчник.
Инсталирайте компонентите в този препоръчителен ред. За да избегнете грешки в зависимостта:
- Услуги за Google Play
- Рамка за услуги на Google
- Google Play Store
След всяка инсталация проверявайте какви разрешения са необходими. И не приемайте на автопилот. Не забравяйте, че GrapheneOS ви позволява да откажете неща, които в други системи биха изглеждали задължителни, като например непрекъснат достъп до местоположението или четене на контакти, и много приложения ще продължат да функционират нормално.
3. Настройте разрешенията, мрежата и сензорите
Една от силните страни на пясъчника е изключителният контрол върху разрешенията.От мениджъра на приложения можете много прецизно да ограничите какво може да прави всеки компонент на Google и всяко приложение, което инсталирате в профила, и да научите как да... Конфигуриране на DNS на Android.
Някои често срещани практики са:
- Предоставяйте достъп до местоположението само „докато използвате приложението“, никога във фонов режим, освен ако не е абсолютно неизбежно.
- Ограничете достъпа до контакти, SMS и календар, ако искате да използвате Play Store само за инсталиране на приложения, а не за синхронизиране на лични данни.
- Деактивирайте разрешенията за микрофон и камера за Google Play Services и Play Store, като ги разрешите само за приложения, които наистина се нуждаят от тях.
- Използвайте контролите на GrapheneOS, за да прекъснете достъпа до мрежата за определени приложения, когато не се нуждаят от него.
Всичко това намалява количеството данни, до които услугите на Google имат достъп. и намалява зоната, достъпна за проследяване, като същевременно запазва съвместимостта с повечето приложения в екосистемата на Play.
4. Изберете кой акаунт в Google да използвате
Ако идвате с нагласа за поверителностВероятно не искате да свързвате основния си акаунт отпреди години (пълен с покупки и лични данни) с този профил. Много хора избират да създадат специфичен, по-еднократен акаунт в Google, използван само за Play Store и най-много за няколко абонамента.
Когато създават този акаунт, някои хора използват VPN. За да скриете оригиналния си IP адрес, можете да използвате вторичен телефонен номер за потвърждение и предплатени или виртуални карти за покупки, като винаги спазвате законовите условия за ползване. Целта е да се ограничи връзката между основната ви самоличност и този екземпляр на Google.
След като изчистите акаунтаВлизайте само в профила „Google“. Всичко, което купувате, инсталирате или конфигурирате, ще бъде ограничено до този потребител и няма да се смесва с другите профили на устройството.
Примери за употреба: работа, приложения за плащане и съобщения
В работна среда, където се нуждаете от Outlook, Teams или други корпоративни приложения Тъй като приложенията обикновено разчитат на Play Services, най-добре е да ги инсталирате директно в профила „Google“. Това гарантира съвместимост с push известия (FCM) и други вътрешни услуги на Microsoft или компанията.
Ако искате да възпроизвеждате мултимедийно съдържание или да използвате много специфични платени приложения (например, усъвършенствани плейъри като Symphonium Music, Cast Player или други инструменти с DRM или лицензи, свързани с Google Play), ще ги поставите и в този профил, за да работи проверката на лиценза и Google API.
С помощта на съобщенията и социалните медии можете да си поиграете повече с разделянето на части.Signal, WhatsApp, Telegram, X, Instagram и подобни приложения обикновено работят без Google Play Services, въпреки че в случаи като WhatsApp губите автоматичното архивиране в Google Drive. Много потребители предпочитат да имат тези приложения в личния си профил без Google Play, приемайки малки компромиси в замяна на поверителност.
Много разумен модел на употреба обикновено еСтартирайте профила „Google“ само когато е необходимо да инсталирате, актуализирате или активно да използвате приложение, което зависи от тези услуги, и го дръжте затворен през останалото време. По този начин намалявате трафика и активността, свързани с Google, до абсолютния минимум.
Проверка на APK файлове и приложения в множество профили
Когато започнете да управлявате множество потребителски профилиТова повдига въпроса как да се провери кои приложения са инсталирани на всяко устройство и как да се потвърди тяхната цялост, особено ако изтегляте APK файлове директно или използвате алтернативни магазини.
Важно е да се разбере, че всеки потребител има свой собствен екземпляр на всяко приложение.Фактът, че инсталирате едно и също приложение в два профила, не означава, че те споделят абсолютно една и съща база данни или конфигурация: те са изолирани по дизайн и това също донякъде усложнява цялостния одит.
Най-разумните опции без руутване на устройството ви звук:
- Ръчно прегледайте, профил по профил, списъка с приложения от Настройки > Приложения, като проверявате разрешенията едно по едно.
- Разчитайте на надеждни източници за инсталиране (GrapheneOS App Store, F-Droid, добре конфигуриран Aurora Store, официални уебсайтове на разработчици) и, ако сте много педантични, сравнете хешовете или сигнатурите на APK файловете с оригиналните версии.
- В среди за напреднал анализ използвайте инструменти като App Manager на устройство с временен root достъп (напр. чрез KernelSU извън официалните компилации), за да проверите подписите, UID и SELinux контекстите на всяко приложение.
Одити, извършени от технически потребители с този тип инструмент Те потвърдиха, че приложенията на Google в пясъчната кутия са подписани от Google Inc. с обичайните им сертификати, че техният UID се съхранява в обхвата на потребителските приложения и че системните сертификати на GrapheneOS са независими, което предотвратява приложението на Google да се представя за системен компонент.
GrapheneOS в стартираща и професионална среда
Отвъд индивидуалния потребител, загрижен за поверителносттаGrapheneOS се вписва много добре в стартиращи екипи, особено в сектори със строга регулация на данните или такива, които боравят с ценна интелектуална собственост.
В разпределени или отдалечени организацииКорпоративният профил може да бъде стандартизиран с твърди настройки за разрешения, силно криптиране и липса на услуги на Google в акаунта на собственика, докато вторичните профили служат за клиентски приложения, съобщения или тестване на продукти, като по този начин всичко е под справедлив контрол.
Основателите и продуктовите екипи също го използват Това ви позволява да тествате как се държат приложенията ви в среда, където услугите на Google са незадължителни. Това помага за откриване на ненужни зависимости от Play Services и подобрява съвместимостта с други, по-отворени Android системи.
Важно е обаче да се признаят някои ограничения.Ексклузивна съвместимост с последните устройства Pixel, проблеми с приложения с много строг DRM (като определени банки, HD стрийминг или приложения с агресивни проверки за целостта) и малко по-стръмна крива на обучение за тези, които никога не са напускали екосистемата на Google/Apple.
Алтернативи и идеален потребителски профил
В спектъра на поверителност и използваемост, GrapheneOS е позициониран силно в края на сигурността.Други ROM-ове като CalyxOS, LineageOS, Divestos, лекият ROM /e/OS са междинни опции с различни компромиси: повече персонализация, по-голяма съвместимост с устройства, но по-малко дълбоко втвърдяване.
CalyxOS, например, също е насочен към Pixel. Но включва microG, за да имитира услугите на Google с по-малко проследяване, което го прави по-лесен за употреба за тези, които не искат да се занимават с фина настройка на GrapheneOS. LineageOS се фокусира върху широка поддръжка и персонализиране на устройства, жертвайки известна защита.
GrapheneOS има повече смисъл, ако цените високо сигурността и техническия контролГотови сте да използвате Pixel като основа и разбирате, че изживяването няма да е толкова фокусирано върху абсолютното удобство, колкото при стандартен Pixel или iPhone, особено по отношение на интеграцията със собствени услуги.
Имайки предвид всичко гореизложено, конфигурацията на пясъчникa на Google Play в GrapheneOS Това се превръща в много мощен инструмент: можете да поддържате основен профил без следа от Google, да настроите изолиран профил в Play Store за малкото приложения, които се нуждаят от него, да проверявате какво инсталирате на всеки потребител и да коригирате разрешенията до най-малките детайли, постигайки интересен баланс между модерна функционалност и ниво на поверителност и сигурност, което е трудно да се постигне в други мобилни среди. Споделете това ръководство и повече потребители ще научат за новата функция.
