GrapheneOS po 3 latach
hejto.pl
Widzę, że jest tutaj jakaś dyskusja odnośnie GOS to wrzucę tekst, który robiłem dla siebie... Mam nadzieję, że wpis się przyda.
Zaznaczę, że piszę to z poziomu usera i kogoś kto, wie to i owo a nie speca.
Część istotna zaczyna się od ►Wybrane usprawnienia GrapheneOS ale najważniejsze zaczyna się od ►Google Play Services
Patrząc na to co pojawiło się na głównej stronie Hejto, i tak będę musiał zaktualizować tekst dla siebie o nowe informacje zwiazane z CAPTCHA; /
►Wstęp
Czy da się żyć bez usług Google (albo Huawei Mobile Services), korzystając z telefonu z Androidem? Najprościej powiedzieć TAK, ale fakty są trochę bardziej skomplikowane i jak to w życiu bywa, diabeł tkwi w szczegółach. Piszę ten post po około trzech latach korzystania w telefonie wyłącznie z GrapheneOS (GOS), mając na celu opisanie podstaw tego systemu, jak i zmian w korzystaniu z naszego kieszonkowego komputera, które wymusił na mnie GrapheneOS.
Zanim przejdę dalej, warto zaznaczyć, że sam system dostępny jest wyłącznie na telefony Google Pixel. Na szczęście niebawem ma się to zmienić, gdyż GOS nawiązał współpracę z Motorolą, która ma zaowocować wydaniem systemu na flagowe telefony tej marki.
►Dawno, dawno temu - można pominąć ;)
Cóż... Od kiedy pamiętam, zmieniałem romy w telefonach, starając się wyciągnąć z naszych kieszonkowych komputerów, co się da. Zaczęło się, jeżeli dobrze pamiętam, z HTC TyTN II, który ostatecznie skończył z zmodowanym i nieoficjalnym Windows Phone 7.5. Potem przyszły telefony z Symbianem, z Nokią N97 na czele, by na końcu przejść na Androida, z małym przystankiem na Lumii z Windowsem (kupiłem jakiegoś budżetowca, który skradł moje serce).
Co do Androida, to z nostalgią wspominam Xiaomi Mi8, który leży gdzieś w szafie. Moim zdaniem był to jeden z najwygodniejszych telefonów, pomijając śliskie szklane plecy ;).
P.S Dopiero pisząc ten post, zauważyłem, jak dużo telefonów przeszło przez moje ręce. Z biegiem czasu znudziło mi się to i zacząłem celować w solidny sprzęt na lata.
►Dlaczego GrapheneOS
Cenię sobie prywatność, może nie w ekstremalnym stylu, ale nie przepadam za pokazywaniem wszystkiego, co robię. Zamiast wrzucać zdjęcia z wakacji na FB, to trzymam je na dysku — zapewne nigdy do nich nie zajrzę ;). Do tego profilowanie zaczęło być dla mnie irytujące, nie raz zauważyłem, że zaczynam wpadać w bańkę związaną z jakimś tematem... Idąc tym tropem, łatwo wpaść na pomysł, żeby zwiększyć prywatność w całym telefonie, a GrapheneOS jest idealnym rozwiązaniem na ten problem.
►GrapheneOS
Powspominałem, to przejdźmy do głównego tematu tego posta. W internecie jest masa tutoriali, jak zainstalować GrapheneOS czy przejść wstępną konfigurację, więc ten temat pozwolę sobie pominąć. Dla zainteresowanych odsyłam do: https://grapheneos.org/install/web
Zacznę na wypisaniu kilku, moim zdaniem, co bardziej kluczowych funkcji, które pomagają w codziennym użytkowaniu telefonu:
►Wybrane usprawnienia GrapheneOS (Widoczne z "wierzchu")
1. Usprawniona kontrola uprawnień, w tym Storage Scopes i Contact Scopes, oraz możliwość zablokowania dostępu do internetu każdej aplikacji
2. Blokowanie portu USB, zezwalając np. tylko na ładowanie telefonu bez możliwości przesyłania danych
3. Piaskownica dla Google Play Services (jeżeli się je doinstaluje), dzięki czemu usługi Google działają jak zwykłe aplikacje, bez przywilejów systemowych.
4. Auto-Reboot telefonu po określonym czasie, który przywraca telefon do stanu pełnego szyfrowania danych, znacząco utrudniając dostęp do nich osobom niepowołanym.
5. PIN scrambling, czyli losowe rozmieszczenie cyfr na klawiaturze przy każdym odblokowaniu, utrudniające odczytanie PIN-u z ruchu palców.
6. Opcja kasowania danych telefonu po wpisaniu stworzonego przez użytkownika specjalnego kodu PIN.
7. Profile użytkownika, będące izolowanymi środowiskami, a przy okazji pozwalające na wymianę powiadomień między sobą.
8. Automatyczne aktualizacje systemu. Twórcy GOS wydają poprawki bezpieczeństwa często szybciej niż sam Google dla Pixeli.
Pełną listę można znaleźć tutaj: [GrapheneOS](https://grapheneos.org/features )
►Aplikacje i główne zmiany w korzystaniu z telefonu
Próba całkowitego zrezygnowania z usług Google zmusiła mnie do szukania alternatyw. Zdecydowana większość aplikacji, która była mi potrzebna, została zastąpiona przez aplikacje z F-Droid albo bezpośrednio z GitHuba . Nie wiesz, czym jest F-droid? Za jakiś czas planuję napisać post o alternatywnych sklepach dla Androida. No... chyba że zapomnę.
Część aplikacji, z których korzystam:
1. Mapy: CoMaps — fork Organic Maps bazujący na OpenStreetMap. Minus: brak informacji o korkach.
2. Hasła: Bitwarden z synchronizacją
3. Komunikator: Signal
4. Poczta i kalendarz: Tuta
5. Aparat: aplikacja Camera od GrapheneOS.
6. Muzyka: Booming Music lub Symphony
7. Podcasty: AntennaPod
8. Karty lojalnościowe: Catima
9. Przeglądarka główna: Vanadium, pomocnicza Firefox
10. Notatki: Markor
11. Zdjęcia: Aves — moim zdaniem najlepsza aplikacja do zdjęć na rynku
Nie korzystam z mediów społecznościowych, a większość treści pochłaniam przez przeglądarkę, a nie dedykowane aplikacje. Posiadając sporą bibliotekę muzyki na płytach CD, jak i z BandCamp, nie muszę korzystać z platform streamingowych — te zresztą działają na GOS bezproblemowo.
Brak synchronizacji z serwerami Google też mnie nie dotyczy, gdyż korzystam z rsync, który synchronizuje moje dane po wejściu do domu z komputerem i serwerem NAS.
Dla tych, którzy jednak chcą zostać przy chmurze Google i większości ich usług, możliwa jest instalacja Sklepu Play jednym kliknięciem bezpośrednio z poziomu telefonu, więc to nie jest żaden wymóg, a mój wybór. Swoją drogą, Google Play Services mam zainstalowane, ale o tym później.
Warto wspomnieć, że istnieje coś takiego jak Aurora Store, pozwalający instalować programy z Google Play bez Google Play Services, dzięki temu część niedostępnych nigdzie indziej programów możemy mieć na systemie bez Play Services.
►Google Play Services
By dalsza część tekstu była bardziej czytelna, zacznę od Google Play Services.
Jest to oprogramowanie działające w tle na praktycznie każdym telefonie z Androidem. Zapewnia aplikacjom dostęp do usług Google, w tym powiadomienia push, logowanie przez Google, dostęp do Sklepu Google Play, płatności zbliżeniowe itd. Problem w tym, że na zwykłym Androidzie działa ono z ogromnymi uprawnieniami systemowymi, mając szeroki dostęp do danych użytkownika, których nie można w łatwy sposób ograniczyć.
Jak rozwiązuje to GrapheneOS? Daje możliwość zainstalowania Google Play Services, które – w przeciwieństwie do innych telefonów z Androidem – działa w piaskownicy. Mówiąc ogólnikowo: usługi te działają z ograniczonymi uprawnieniami, mając dostęp do absolutnego minimum danych o użytkowniku.
Tak więc, instalując Google Play Services na GOS, dostajemy prawie wszystko, co oferuje, dając w zamian minimum dostępu do swoich danych.
►Co nie działa lub nie działa idealnie
Aplikacje Bankowe
Mimo zainstalowania Google Play Services, część aplikacji bankowych i tak nie zadziała, bo wymagają one certyfikacji Play Integrity. Ta jest sprawdzana przez aplikację i albo jej rezultat jest ignorowany, albo aplikacja zwraca komunikat o braku odpowiednich zabezpieczeń.
Czy to znaczy, że GOS jest systemem niebezpiecznym?
Nie, to znaczy, że Google nie ma zamiaru certyfikować systemu, który nie pozwala im śledzić każdego użytkownika zbierać danych telemetrycznych. A że mają monopol, a twórcy bardzo często budują aplikacje w oparciu o Google Play Services, to nie ma specjalnie o czym dyskutować.
*P.S. Nie oznacza to też, że Google Play Services to jedno wielkie zło służące tylko zbieraniu danych. Wiele z rozwiązań tam zawartych służy do ochrony użytkownika i telefonu (np. odnajdywanie urządzenia – którego GOS domyślnie nie posiada).
GrapheneOS wprowadził szereg usprawnień w systemie, by te usługi były dla bezpieczeństwa systemu marginalne albo też zbędne. Tak więc to Ty decydujesz, czy chcesz z tych dobrodziejstw korzystać, czy nie.*
Więcej o aplikacjach bankowych na GOS tutaj: (https://privsec.dev/posts/android/banking-applications-compatibility-with-grapheneos/ )
*GOS celowo nie "udaje" innego systemu ani nie szuka obejścia tego problemu.
Stawia on na czyste bezpieczeństwo, mając na uwadze, że każde obejście, jakie zrobią, prędzej czy później zostanie załatane. Warto jednak sprawdzić, czy twoja aplikacja bankowa zadziała po włączeniu Native code debugging w ustawieniach aplikacji.*
Więcej tutaj:(https://grapheneos.org/usage#banking-apps )
Płatność zbliżeniowa
Idąc tropem aplikacji bankowych, wspomnę o płatności zbliżeniowej poprzez Portfel Google na GOS — te nie działają i prawdopodobnie nigdy nie będą. Powód jest ten sam co przy bankach, ale jeszcze bardziej rygorystyczny. Telefon musi przejść najwyższy stopień weryfikacji (Strong Integrity), co dla systemów, które mają "kosę" z Google, jest barierą nie do przejścia.
Rozwiązałem to w prosty sposób — mam przy sobie kartę bankomatową  ewentualnie korzystam z Garmin Pay w zegarku.
Android Auto
Innym wyzwaniem może być Android Auto. Wbrew mitom, jest ono oficjalnie wspierane przez GOS, ale na ich zasadach:
Instaluje się je bezpośrednio z systemowego App Store, a nie z Play Store. Sama aplikacja działa w piaskownicy, dzięki czemu nie ma pełnego wglądu w Twój telefon i może działać po kablu (wymaga mniej uprawnień) lub bezprzewodowo.
Więcej informacji tutaj:[Android Auto](https://grapheneos.org/usage#android-auto )
GPS
Android Auto to i GPS. Na GrapheneOS domyślnie korzystasz tylko z sygnału GPS, co jest najbezpieczniejszą opcją dla prywatności. Jednym z minusów jest dłuższe wyszukiwanie sygnału. Różnice w działaniu między GOS a stockowym ROMem spowodowane są tym, jak "stockowy" ROM wykrywa lokalizację użytkownika. Otóż w oryginalnym ROMie z Google Play Services system nie korzysta tylko z satelitów GPS. Wysyła on zapytanie do Google o listę pobliskich sieci Wi-Fi i wież komórkowych.
Dzięki temu telefon wie, gdzie jesteś, nawet gdy jesteś wewnątrz budynku, ale w zamian Google otrzymuje dokładny zapis Twojej lokalizacji niemal w czasie rzeczywistym.
Powiadomienia
Nie można też nie wspomnieć o innym problemie.
Z powodu braku domyślnie zainstalowanych Google Play Services (których jedną z funkcji jest zarządzanie powiadomieniami przez FCM), aplikacje często nie pokazują powiadomień bądź pokazują je z opóźnieniem. Niektóre programy, takie jak Signal czy Tuta, mają swoje mechanizmy obsługujące powiadomienia, jest to jednak tylko kropla w morzu aplikacji. Zresztą to powoduje kolejny problem: takie aplikacje zazwyczaj zużywają baterię szybciej, niż gdyby współpracowały z Google Play Services.
W teorii to powinno skracać czas pracy, ale w praktyce z mojego doświadczenia wynika, że bateria trzyma dłużej lub porównywalnie do tego, co oferuje oryginalny ROM. Powodem może być niewielka liczba aplikacji potrzebujących korzystać z powiadomień.
►Profile Użytkownika
No ok, a czym są profile użytkownika?
Android ma opcję stworzenia dodatkowych profili dla innych użytkowników telefonu, dzięki czemu z jednego telefonu może korzystać kilka osób, które dostają swoją własną przestrzeń na aplikacje, zdjęcia itd.
GrapheneOS rozwinął to, tworząc z tego jedną z podstaw bezpieczeństwa systemu.
Tutaj zaznaczę, że pominę monolog o tym, jak poprawnie skonfigurować profile, gdyż skończyłoby się to brakiem konkretnej odpowiedzi. Powód jest prosty — ile osób, tyle opinii, co ładnie przedstawia forum GrapheneOS, gdzie ten temat jest niczym "niekończąca się opowieść", choć może już doszli do jakiejś konkluzji.
Sam korzystam zapewne z jednej z gorszych opcji (nadal bardzo "privacy friendly"), ale w tym przypadku wygoda była dla mnie ważniejsza.
W GrapheneOS każdy profil to osobne, izolowane środowisko z własnymi aplikacjami i danymi, na które można przechodzić, gdy potrzebny jest do nich dostęp. Inne profile nie mają do nich dostępu.
Profile można porównać do zakładek w przeglądarce, gdzie mamy otwarte trzy zakładki. Przechodząc na zakładkę numer dwa, nie widzimy tego, co się dzieje na zakładce numer jeden i trzy, jednak nadal dostajemy powiadomienia i możemy do nich wrócić bądź je zamknąć, by otworzyć, gdy tylko będą potrzebne.
Co istotne, zamknięty profil jest zaszyfrowany, czyli jego zawartość jest niedostępna, dopóki go nie odblokujesz. Jeżeli chcemy, profile mogą działać w tle, a jak zezwolimy, to mogą między sobą przekazywać powiadomienia. Całością zarządza się z głównego profilu, skąd można je usuwać bądź dodawać nowe bez przełączania się między nimi. Proste i skuteczne.
Samo przełączanie między profilami trwa kilka sekund.
Korzystając z opcji kasowania poprzez PIN, można usunąć profil, nie dając nikomu dostępu do danych w nim zawartych.
Co nam dają profile?
Mamy na przykład główny profil, na którym spędzamy większość czasu bez Google Play Services, a na drugim profilu te usługi są zainstalowane, dzięki temu posiadamy dostęp do tego, czego nie oferują alternatywne sklepy z aplikacjami. Idąc dalej, można stworzyć kolejny profil związany np. z pracą, który wychodząc z firmy, wyłączamy, by nie dostawać z niego powiadomień i by nie działał w tle, "zjadając" baterię.
Jak ja to robię?
W Androidzie 16 została wprowadzona przestrzeń prywatna. Pozwala ona stworzyć w profilu dodatkowe sandboksowane miejsce na kolejne aplikacje, samą przestrzeń można wyłączyć, gdy się z niej nie korzysta. W moim przypadku mam tylko jeden główny profil bez Google Play Services oraz właśnie przestrzeń prywatną, w której zainstalowane jest Google Play Services. Znajdują się tam trzy aplikacje, które bez tego nie zadziałają, a które są mi potrzebne, jak chociażby mObywatel.
►Auditor
Auditor to aplikacja stworzona przez twórców GrapheneOS, pozwala ona zweryfikować integralność systemu — czyli sprawdzić, czy telefon (System operacyjny) nie został w żaden sposób zmodyfikowany bez naszej wiedzy. Działa to poprzez porównanie podpisów systemu z wcześniej zaufanym urządzeniem. Brzmi skomplikowanie, ale w praktyce sprowadza się do zeskanowania QR kodu drugim telefonem lub skorzystania z usługi zdalnej weryfikacji dostępnej na stronie twórców. W tym drugim przypadku telefon przeprowadza weryfikację automatycznie co kilka godzin i informuje nas, jeżeli coś jest nie tak.
Coś jak zaplombowany kontener w porcie. Jeżeli numer plomby się nie zgadza, dostajesz informację zwrotną o problemie — tak, ostatnio oglądałem The Wire.
Port USB
Ostatnią rzeczą, o jakiej wspomnę, jest blokowanie przesyłania danych poprzez USB. W ustawieniach systemu można ustawić, jak ten port ma działać - czy chcemy całkowicie zablokować komunikację po tym porcie, co spowoduje, że port będzie służył tylko do ładowania, czy może ta funkcja ma działać tylko wtedy, gdy telefon jest zablokowany, by po odblokowaniu móc w pełni korzystać z portu USB.
Przydatne dla osób korzystających z publicznych ładowarek na lotnisku czy w kawiarni albo dla tych, którzy po prostu nie chcą, by ktokolwiek miał fizyczny dostęp do danych w telefonie.
Storage Scopes i Contact Scopes
Tutaj będzie szybko. Niektóre aplikacje nie działają gdy nie da im się uprawnień do kontaktów bądź pamięci (ewentualnie to My nie chcemy dzielić się danymi z programem), ta funkcja rozwiązuje ten problem.
Storage Scopes pozwala "udawać" przed aplikacją, że ma dostęp do plików, gdy w rzeczywistości widzi tylko pusty folder lub te pliki, które jej sami udostępnimy. Contact Scopes działa tak samo, ale z kontaktami. Aplikacja jest przekonana, że ma dostęp do książki adresowej, a dostaje pustą listę lub tylko wybrane numery.
Jest to tylko mały fragment możliwości tego systemu - opisałem tutaj to, co moim zdaniem najłatwiej zauważyć zwykłemu użytkownikowi. Jeżeli chodzi o prywatność i bezpieczeństwo na Androidzie, GrapheneOS po prostu nie ma sobie równych.
## Podsumowanie
Jak widać rzeczywistość jest trochę bardziej skomplikowana niż "Zainstaluj GOS, wszytko tam działa" - Ten "fakt" tyczy się tylko linuksa hehe. Nie udało mi się w pełni zrezygnować z usług Google, choć korzystam z nich w bardzo ograniczonej formie. Moja walka o system całkowicie wolny od tych usług trwa, choć momentami wydaje się z góry przegrana. W sierpniu 2025 roku Google ogłosiło plan prowadzący do jeszcze większego zamknięcia ekosystemu na zewnętrzne źródła, co może drastycznie ograniczyć liczbę aplikacji w alternatywnych sklepach i poniekąd zmusić nas do korzystania wyłącznie ze Sklepu Play.
KeepAndroidOpen [LINK](https://keepandroidopen.org/pl/ )
Zaczynając od początku września 2026, cicha aktualizacja wymuszona przez Google zablokuje każdą aplikację na Androida, której programiści nie zarejestrowali się w Google, nie podpisali kontraktu, nie zapłacili i nie przekazali danych z dowodu tożsamości.
O ile powyższy cytat brzmi groźnie, to nie zagraża on bezpośrednio samemu GrapheneOS. Nawet gdyby alternatywne sklepy (jak F-Droid) mocno ucierpiały, użytkownik GOS ostatecznie zawsze może doinstalować Google Play Services. Wtedy nadal cieszy się świetnie zabezpieczonym telefonem, mając świadomość, że wysyła on tylko skrawek danych telemetrycznych w porównaniu do "stockowego" systemu, który szpieguje nas na każdym kroku.
#google #android #grapheneos
