Ekosystem androidowych ROM-ów dla prywatności
Kiedy raz postanowisz potraktować prywatność telefonu poważnie, prędzej czy później natkniesz się na trzy nazwy: GrapheneOS, CalyxOS i DivestOS. Wszystkie trzy to systemy oparte na Androidzie, które usuwają trackery Google i wzmacniają bezpieczeństwo. Każdy ma jednak inną filozofię, innego docelowego użytkownika i inny zestaw kompromisów technicznych, które warto zrozumieć przed wyborem.
W tym porównaniu patrzymy na całą trójkę z perspektywy realnego, codziennego użytkowania na urządzeniach Pixel — jedynych, które obsługują wszystkie trzy — żebyś mógł zdecydować, który pasuje do Twojego profilu ryzyka, codziennych potrzeb i poziomu technicznego. Nie ma zwycięzcy absolutnego: jest system właściwy dla konkretnej osoby.
GrapheneOS: bezpieczeństwo bez kompromisów
GrapheneOS jest punktem odniesienia w bezpieczeństwie mobilnym. Rozwijany przez zespół prowadzony przez Daniela Micaya, ma podejście radykalne: przebudować Androida od jądra w górę, żeby wyeliminować każdy możliwy wektor ataku. Nie chodzi o dokładanie funkcji prywatności na wierzch Androida — chodzi o przeprojektowanie Androida tak, żeby bezpieczeństwo było fundamentem, a nie warstwą.
Wzmocniona izolacja aplikacji w GrapheneOS jest jego najbardziej wyróżniającą cechą. Każda aplikacja działa w znacznie bardziej restrykcyjnej klatce niż w jakimkolwiek innym Androidzie. Nawet gdyby złośliwej aplikacji udało się uruchomić, jej możliwość odczytania danych innych aplikacji albo sięgnięcia po czujniki jest drastycznie ograniczona. System nakłada dodatkowe ograniczenia na kod natywny, a uprawnienia przyznawane są na czas sesji i znikają automatycznie, gdy aplikacja przechodzi w tło.
Inne przewagi dostępne wyłącznie w GrapheneOS to blokada USB przy zablokowanym urządzeniu (tylko ładowanie, bez danych), tryb automatycznego restartu wykrywający fizyczną ingerencję oraz w pełni odizolowane profile służbowe z niezależnym szyfrowaniem. System pozwala też zainstalować Usługi Google Play w nieuprzywilejowanej piaskownicy, dzięki czemu zachowuje zgodność z aplikacjami bankowymi i usługowymi bez dawania im dostępu do rdzenia systemu.
Cena, którą płacisz: GrapheneOS działa wyłącznie na Google Pixel. Nie ma wsparcia dla innych producentów i jest to decyzja projektowa — Pixele są jedynymi urządzeniami z Androidem, które spełniają wymagania sprzętowe stawiane przez GrapheneOS (Titan M2, weryfikowalny bootloader, długoterminowe aktualizacje firmware'u).
CalyxOS: prywatność użyteczna dla każdego
CalyxOS wychodzi z innej filozofii: prywatność bez tarcia. Rozwijany przez Calyx Institute, organizację non-profit, ma dać Androida bez Google, z którego każdy skorzysta bez krzywej uczenia się. Jeśli GrapheneOS jest bunkrem, CalyxOS jest domem z dobrymi zamkami i wzmocnionymi oknami — ale takim, w którym da się wygodnie mieszkać.
Dużą zaletą CalyxOS jest wsparcie dla wielu urządzeń. Poza Pixelami działa na części modeli Fairphone i na starszych Pixelach, których GrapheneOS już nie obsługuje. Domyślnie dostarcza też MicroG — wolną implementację Usług Google Play — co sprawia, że większość aplikacji zależnych od powiadomień push i usług lokalizacji działa bez dodatkowej konfiguracji.
CalyxOS zawiera własne, dobrze zrobione aplikacje: Calyx VPN (oparty na Riseup), wolne Dialer i Kontakty oraz świetną integrację z Signalem, Torem i F-Droidem. Doświadczenie użytkownika jest dopracowane, a graficzny instalator sprawia, że migracja z fabrycznego Androida jest zaskakująco prosta.
Kompromisy: CalyxOS ma mniej rygorystyczną blokadę bootloadera niż GrapheneOS — pozwala na ponowne zablokowanie własnymi kluczami, ale proces jest mniej szczelny. Izolacja aplikacji nie jest tak agresywna, a MicroG, choć praktyczny, wprowadza dodatkową powierzchnię ataku, której GrapheneOS unika całkowicie. Dla użytkowników o podwyższonym modelu zagrożeń te różnice mają znaczenie.
DivestOS: radykalna wolność na skromnym sprzęcie
DivestOS jest duchowym spadkobiercą LineageOS w świecie prywatności. Rozwijany przez Taviego (znanego jako SkewedZeppelin), jest forkiem LineageOS, który usuwa każdy kawałek zamkniętego kodu, jaki się da, i nakłada łatki bezpieczeństwa na znacznie szerszą gamę urządzeń niż pozostałe dwa systemy razem wzięte.
Największą siłą DivestOS jest ogromne wsparcie sprzętowe: ponad 80 urządzeń kilkudziesięciu producentów dostaje comiesięczne aktualizacje. Obejmuje to stare telefony porzucone przez producentów lata temu — DivestOS daje im drugie życie z aktualnymi łatkami bezpieczeństwa. Jeśli masz w szufladzie stary telefon, prawdopodobnie uruchomi DivestOS.
DivestOS usuwa cały zamknięty kod, jaki się da: sterowniki, binarne bloby, usługi sieciowe. Zawiera Mulch WebView (fork Chromium bez Google), Hypatię (skaner złośliwego oprogramowania działający w czasie rzeczywistym) i Mull (Firefox bez telemetrii). Nie dostarcza ani Usług Google Play, ani MicroG — zgodność z aplikacjami, które ich potrzebują, jest bardzo ograniczona.
Wady: doświadczenie użytkownika jest bardziej spartańskie. Część funkcji sprzętowych może nie działać (NFC, niektóre czujniki), zależnie od urządzenia. Instalacja jest bardziej techniczna — wymaga wgrania recovery, formatowania partycji, a w niektórych przypadkach zmagania się z bootloaderami, których nie da się ponownie zablokować. DivestOS jest dla osób pewnych technicznie albo dla tych, którzy stawiają długowieczność sprzętu i wolność wyboru ponad wygodę.
Porównanie techniczne: pole po polu
Bezpieczeństwo jądra i izolacja aplikacji: GrapheneOS prowadzi z dużą przewagą. Jego jądro jest utwardzone konkretnymi łatkami, izolacja bardziej restrykcyjna, a model uprawnień na czas sesji nie ma odpowiednika w pozostałych dwóch. CalyxOS używa standardowego jądra Androida z pewnymi usprawnieniami. DivestOS nakłada łatki z projektu Linux Hardened, ale bez poziomu integracji GrapheneOS.
Blokada bootloadera: GrapheneOS wdraża pełny verified boot — bootloader jest zablokowany oficjalnymi kluczami i weryfikuje integralność systemu przy każdym uruchomieniu. Jeśli ktoś zmodyfikuje system, urządzenie nie wystartuje bez Twojego klucza. CalyxOS pozwala zablokować bootloader własnymi kluczami (dodatkowy krok, który wielu użytkowników pomija). DivestOS na większości urządzeń w ogóle nie może zablokować bootloadera, bo producenci na to nie pozwalają — to poważna luka wobec ataków fizycznych.
Aktualizacje bezpieczeństwa: GrapheneOS wypuszcza łatki w ciągu godzin od comiesięcznej publikacji Google. CalyxOS potrzebuje zwykle od 1 do 7 dni. DivestOS wydaje łatki co miesiąc zgodnie z harmonogramem, ale dokładny termin zależy od urządzenia. We wszystkich trzech przypadkach jest to nieskończenie lepiej niż w fabrycznym Androidzie, gdzie łatki potrafią przychodzić miesiącami albo wcale.
Zgodność aplikacji: GrapheneOS z Google Play w piaskownicy osiąga najlepszą zgodność — bankowość, streaming i aplikacje transportowe działają niemal bez wyjątku. CalyxOS z MicroG ma dobrą zgodność z aplikacjami wymagającymi powiadomień push, ale potrafi zawieść przy części aplikacji bankowych, które oznaczają MicroG jako „urządzenie z rootem”. DivestOS, bez Play Services i bez MicroG, ma zgodność najgorszą — wiele aplikacji po prostu nie działa.
Wsparcie sprzętowe: DivestOS wygrywa bezapelacyjnie z ponad 80 urządzeniami. CalyxOS obsługuje Pixele, Fairphone i garść dodatkowych modeli. GrapheneOS obsługuje wyłącznie Pixele — i tylko te modele, które nadal dostają aktualizacje firmware'u od Google.
Łatwość instalacji: CalyxOS oferuje najbardziej dopracowane doświadczenie z graficznym instalatorem działającym na różnych systemach. GrapheneOS instaluje się z poziomu przeglądarki przez WebUSB — zaskakująco prosto, ale wyłącznie w przeglądarkach opartych na Chromium. DivestOS wymaga wgrania recovery, czyli pewnej znajomości ADB i fastboot.
Który pasuje do Twojego profilu?
Maksymalne bezpieczeństwo, bez kompromisów: odpowiedzią jest GrapheneOS. Jeśli w Twoim modelu zagrożeń mieszczą się przeciwnicy z dużymi zasobami — agencje państwowe, celowane szpiegostwo przemysłowe, organy ścigania z narzędziami kryminalistycznymi — albo po prostu chcesz najlepszego bezpieczeństwa mobilnego, jakie istnieje, niezależnie od ceny urządzenia, GrapheneOS na aktualnym Pixelu jest jedyną opcją dającą realny spokój.
Solidna prywatność przy dobrej wygodzie: CalyxOS jest idealny dla specjalisty, który chce prywatności bez komplikacji. Prawnicy, dziennikarze na własną rękę, lekarze czy właściciele firm, którzy muszą chronić wrażliwe dane, ale nie są celem inwigilacji państwowej. Integracja z MicroG sprawia, że przejście ze zwykłego Androida jest niemal niezauważalne.
Napięty budżet albo stary sprzęt: Twoim systemem jest DivestOS. Jeśli masz telefon sprzed kilku lat, który nie dostaje już aktualizacji, DivestOS daje mu aktualne łatki bezpieczeństwa i drugie życie w pracy. To także wybór dla każdego, kto ceni wolność oprogramowania ponad wszystko i akceptuje wynikające z tego ograniczenia zgodności.
Dziennikarze, aktywiści i opozycjoniści: GrapheneOS, bez wahania. Blokada bootloadera z verified boot, automatyczny restart przy fizycznej ingerencji i czyszczenie po nieudanych próbach to zabezpieczenia, które potrafią zdecydować o różnicy między bezpieczeństwem a katastrofalnym wyciekiem. CalyxOS może wystarczyć do dziennikarstwa śledczego średniego szczebla. DivestOS nie jest polecany dla tego profilu, bo na większości urządzeń nie da się zablokować bootloadera.
Czego nie powiedzą Ci fora
W środowisku prywatności istnieje pewien plemienny podział. Znajdziesz zagorzałych obrońców każdego z systemów, którzy demonizują pozostałe dwa. Rzeczywistość jest taka, że wszystkie trzy projekty są poważne, wszystkie trzy robią kompetentni ludzie i wszystkie trzy poprawiają Twoją prywatność dramatycznie względem fabrycznego Androida.
Musisz natomiast wiedzieć, że żaden z tych systemów nie ochroni Cię przed Twoimi własnymi nawykami. Jeśli zainstalujesz GrapheneOS, a potem będziesz używał WhatsAppa na swój prawdziwy numer, dasz uprawnienia lokalizacji Mapom Google i zsynchronizujesz zdjęcia z Google Photos, wyrzuciłeś większość ochrony do kosza. System operacyjny jest jedną warstwą — najważniejszą — ale musi iść w parze z higieną cyfrową.
Warto też pamiętać, że DivestOS, obsługując urządzenia kilkudziesięciu producentów, dziedziczy podatności firmware'u każdego z nich. Łatka bezpieczeństwa Androida nie naprawi błędu w sterowniku WiFi Qualcomma, jeśli producent nigdy nie wyda aktualizacji firmware'u. Pixele — baza dla GrapheneOS i CalyxOS — dostają aktualizacje firmware'u bezpośrednio od Google przez co najmniej 5 lat.
Podsumowanie: nie ma złej decyzji, są tylko świadome
Każdy z tych trzech systemów operacyjnych jest ogromnym skokiem w prywatności względem Androida, z którym telefon wyszedł z fabryki. Decyzja sprowadza się do Twojego modelu zagrożeń, budżetu i tolerancji na tarcie techniczne.
W Securfy pracujemy głównie z GrapheneOS, bo uważamy, że model „bezpieczeństwo bez kompromisów” najlepiej chroni naszych klientów. Rozumiemy jednak, że potrzeby każdego są inne. Jeśli nie masz pewności, który system do Ciebie pasuje, napisz do nas — nasz zespół inżynierski doradzi bez zobowiązań i bez plemiennych sporów.
Każde urządzenie, które wysyłamy, ma system operacyjny zainstalowany, skonfigurowany i zweryfikowany. Wystarczy je włączyć i zacząć używać. Bez czterdziestokrokowych poradników, bez poleceń w terminalu, bez ryzyka trwałego uszkodzenia (zbrickowania) urządzenia. Prywatność nie powinna wymagać dyplomu z informatyki.
