Как это устроено
GrapheneOS — это защищённый форк Android Open Source Project, который устанавливается на устройства Google Pixel из вкладки браузера через WebUSB — без аккаунта производителя и проприетарного инструмента прошивки. Затем инсталлятор заново блокирует загрузчик на собственные ключи подписи GrapheneOS, поэтому верифицированная загрузка остаётся неразрывной от начала до конца, а телефон удостоверяет подлинность собственной прошивки, а не прошивки Google.
На устройстве оказывается Android с вырезанным слоем Google: без Play Services, без Play Store, без запроса аккаунта при настройке. Приложениям, которым Google действительно нужен, доступен sandboxed Google Play — слой совместимости, устанавливающий официальные бинарные файлы Google как обычные непривилегированные приложения в пределах одного профиля. Они не получают системных привилегий, видят только то, что разрешено этим профилем, а вход в аккаунт Google остаётся необязательным.
Настоящий продукт — это защита под капотом: усиленный аллокатор памяти, аппаратная маркировка памяти на новых Pixel, до 32 дополнительных профилей, Storage Scopes и Contact Scopes, а также разрешения на доступ к сети и датчикам, которых нет в стандартном Android. Режим только LTE отключает код baseband-модуля для 2G, 3G и 5G. Устройство автоматически перезагружается в состояние до разблокировки после 18 часов бездействия, а PIN-код принуждения необратимо стирает его — включая eSIM.
KYC и приватность
Регистрации нет, email нет, номера телефона нет, аккаунта нет. Собственные слова проекта звучат прямо: «в GrapheneOS нет никакой аналитики или телеметрии», а единственное, что узнают его серверы, — это общая модель устройства и версия ОС, нужные для доставки обновления. Проверки подключения, сетевое время, загрузка альманаха GNSS и выдача ключей аттестации идут через серверы, которыми управляет GrapheneOS, а не Google. Серверные журналы удаляются через четыре-десять дней — немного, но не ноль.
Программа бесплатна. GrapheneOS Foundation — канадская федеральная некоммерческая организация, зарегистрированная в Торонто в марте 2023 года, — финансирует разработку за счёт пожертвований в Bitcoin, Monero, Ethereum, Litecoin и Zcash, а также через PayPal, Wise и GitHub Sponsors. Ничего из этого не требуется для работы ОС.
В марте 2026 года проект заявил, что не станет внедрять требования по проверке возраста на уровне ОС, которые сейчас появляются. Калифорнийский AB-1043 вступает в силу 1 января 2027 года и обязывает производителей ОС собирать дату рождения при настройке и передавать её магазинам приложений через API. GrapheneOS заявил, что останется «пригодным для использования кем угодно в любой точке мира без необходимости предоставлять личные данные, документы или аккаунт», и что «если устройства с GrapheneOS нельзя будет продавать в каком-то регионе из-за его законов — значит, так тому и быть».
Сильные стороны и ограничения
Гарантии здесь структурные, а не обещанные на словах. Верифицированная загрузка на ключах, которые контролирует пользователь, аппаратная аттестация через приложение Auditor и ОС, которой нечего логировать, — это не политики, которые новое руководство может тихо отменить. Защита — тоже не показуха: маркировка памяти выявила уязвимость Bluetooth LE, CVE-2024-23694, ещё до того, как её кто-либо искал. А в июле 2026 года PIN-код принуждения прошёл проверку самым неприятным из возможных способов: после того как во время пограничного досмотра в Атланте телефон путешественника стёр сам себя, в США последовало федеральное преследование. Функция сделала именно то, что обещано в документации.
Ограничения продиктованы железом и честно признаются. GrapheneOS работает только на Pixel и больше ни на чём, потому что почти никто другой не обеспечивает аттестацию и долгосрочные гарантии обновлений, которых требует его модель угроз; партнёрство с Motorola, объявленное в марте 2026 года, должно расширить список в 2027 году, но не сегодня. Опубликованного независимого аудита всей ОС в целом нет — код открыт, но ни одна независимая компания не подписала по нему отчёт, и именно этот разрыв отделяет данную оценку от оценки Tails. Управление проектом тоже было неспокойным: раскол с прежним спонсором в 2018 году и уход основателя в 2023 году на фоне травли получили широкую огласку, хотя ни то, ни другое ни разу не стоило пользователям ничего.
Вердикт
GrapheneOS — это уровень устройства, который остальная часть этого рейтинга молча подразумевает и редко получает: телефон, на котором работают кошельки Monero, SimpleX и Tor без аккаунта Google под ними. Берите его, если готовы жить с Pixel; пропустите, если сегодня вам нужен другой телефон или отчёт аудита, на который можно сослаться.
GrapheneOS обеспечивает самую сильную защиту приватности среди доступного массового аппаратного обеспечения телефонов — и это единственный случай в этом рейтинге, где отказ идентифицировать пользователей вот-вот проверят не политикой, а законом. Берите его, если готовы жить с Pixel и хотите ОС, которой нечего передавать; пропустите, если сегодня нужен другой телефон или отчёт аудита, на который можно сослаться. Оценка: A (9,3/10). Доверие: LEGIT.
