Как установить и настроить GrapheneOS на Google Pixel: пошаговое руководство 2026

Установить GrapheneOS на поддерживаемый Google Pixel можно двумя способами: через веб-установщик в браузере с WebUSB или через командную строку с утилитой fastboot. Обычно это занимает 15–30 минут. Большинству пользователей подходит веб-установщик, а CLI нужен, когда WebUSB недоступен или требуется ручной контроль. Установка стирает все данные на телефоне, поэтому сначала сделайте резервную копию и работайте только со своим устройством.

Модель угроз: от чего защищает переход на GrapheneOS

Смартфон на стандартном Android может подвергаться атакам через уязвимости в веб-движках и приложениях, а также через вредоносные программы и физический доступ к устройству. Под угрозой находятся контакты, переписка, ключи шифрования, фотографии и местоположение.

GrapheneOS снижает риски за счёт усиленного распределителя памяти (hardened_malloc), изоляции процессов и ограничения привилегий сервисов Google. Эти меры усложняют эксплуатацию уязвимостей, но не гарантируют полной защиты. Система не защищает от уязвимостей модема (baseband), аппаратных закладок и от ввода пароля под принуждением. Если экран разблокирован, злоумышленник с физическим доступом видит то же, что и владелец. Кроме того, ОС не может запретить приложениям передавать данные, к которым вы сами дали им доступ.

Классификация актуальных векторов атак на мобильные ОС

В материале рассматриваются четыре класса угроз, для которых в GrapheneOS есть отдельные меры. Это описание возможностей защиты, а не статистика реальных атак.

• Повреждение памяти (Memory Corruption). Ошибки в браузерах и обработчиках медиафайлов позволяют атакующему выполнить свой код. Усиленный распределитель памяти и изоляция процессов усложняют такую эксплуатацию, но не исключают её.
• Избыточные привилегии сервисов Google. В GrapheneOS Google Play работает как обычное приложение без привилегий системного уровня, и вы управляете его разрешениями. Это не отменяет передачу данных самим сервисом, если вы выдали ему доступ.
• Физический доступ к заблокированному устройству. Автоматическая перезагрузка возвращает телефон в состояние «до первой разблокировки» (Before First Unlock, BFU), в котором данные защищены сильнее. Защита действует только для заблокированного устройства и зависит от пароля.
• Атаки через USB-периферию. Ограничение USB-C порта уменьшает риск подключения вредоносных устройств. Побочный эффект: новые аксессуары и диагностика при заблокированном экране могут не работать.

Какие устройства Pixel поддерживает GrapheneOS

Проект работает только на смартфонах Google Pixel: для него нужны Verified Boot с пользовательским ключом и аппаратные функции безопасности. На середину октября 2026 года поддерживаются Pixel 6, 6 Pro, 6a, 7, 7 Pro, 7a, 8, 8 Pro, 8a, Pixel Fold, Pixel Tablet, а также семейства Pixel 9 и Pixel 10. Модели, для которых Google прекращает поддержку, могут перейти в архивный статус, поэтому проверяйте актуальный список на официальном сайте.

Перед покупкой или установкой проверьте конкретную модель и возможность включить OEM unlocking. Метка «Unlocked» сама по себе этого не гарантирует. Варианты от операторов связи (например, Verizon) могут быть проблемными, но не стоит считать все такие устройства безусловно заблокированными. Если модель только вышла, проверьте на странице релизов, что поддержка для неё стала стабильной.

Что понадобится для установки

• Совместимый смартфон Pixel, заряженный минимум на 50–80%, и исправный кабель USB Type-C (лучше оригинальный).
• Компьютер с Linux, Windows, macOS или ChromeOS. Для надёжности подключайте телефон напрямую к порту компьютера, без переходников и концентраторов: они часто вызывают обрывы связи.
• Браузер с поддержкой WebUSB: Google Chrome, Chromium, Brave или Microsoft Edge. Firefox WebUSB не поддерживает.
• Для установки из командной строки: fastboot версии не ниже 35.0.1 и инструменты проверки подписи, перечисленные в актуальном CLI-руководстве (по плану используется OpenSSH).
• Резервная копия данных и выход из аккаунта Google на телефоне, чтобы не сработала защита от сброса (FRP).

Подготовка телефона: включаем OEM unlocking

Подключите телефон к интернету и обновите стоковую систему до последней версии: на стоковой ОС интернет нужен для активации OEM unlocking. Общие принципы защиты системы разобраны в материале про безопасность Android.

Откройте Настройки → О телефоне и нажмите 7 раз на пункт Номер сборки. Затем перейдите в Настройки → Система → Для разработчиков, включите Заводская разблокировка (OEM unlocking) и подтвердите PIN-код.

Способ 1: установка через браузер (WebUSB)

Веб-установщик — рекомендуемый способ: он исключает ручной ввод команд и хэшей. Выключите телефон и переведите его в режим Fastboot: зажмите Питание и Уменьшение громкости до появления экрана загрузчика.

Подключите телефон к компьютеру. В Linux заранее настройте правила udev для доступа к Android-устройствам по USB, как описано в официальном руководстве, иначе браузер получит отказ в доступе. В Windows при необходимости установите драйвер Google USB. Закройте другие программы, работающие с ADB.

Откройте страницу https://grapheneos.org/install/ и последовательно выполните шаги установщика: разблокировка загрузчика, загрузка релиза, прошивка и блокировка загрузчика. Каждое действие подтверждайте на самом телефоне клавишами громкости и питания. Не отключайте кабель до завершения операции.

Способ 2: установка через командную строку

CLI подходит, если WebUSB недоступен или вы хотите проверить каждый шаг вручную. Подробности — в официальном руководстве https://grapheneos.org/install/cli. Для общего знакомства с инструментами отладки Android полезен материал про безопасность приложений Android с помощью Drozer.

Сначала проверьте версию fastboot:

# Минимально допустимая версия: 35.0.1
fastboot --version

Скачайте архив прошивки и файл подписи для вашей модели только с официального сайта. Не путайте архивы разных моделей. Проверку подписи выполняйте точно по процедуре из CLI-руководства для выбранного релиза. Ключ подписи нужно получить из официального источника и сверить его отпечаток. Не прошивайте архив, пока проверка не завершилась успешно.

После успешной проверки выполните шаги из руководства:

# Разблокировка загрузчика (стирает все пользовательские данные)
fastboot flashing unlock

# Запуск скрипта прошивки из распакованного архива
./flash-all.sh

# Блокировка загрузчика — только после успешной прошивки образа для этой модели
# (блокировка тоже стирает данные)
fastboot flashing lock

Перед fastboot flashing lock убедитесь, что скрипт прошивки завершился без ошибок, а образ соответствует модели. При любой ошибке загрузчик не блокируйте и действуйте по официальной инструкции восстановления.

Проверка результата: верификация целостности

При первой загрузке на экране предупреждения отображается отпечаток ключа проверенной загрузки. Сверьте его с отпечатком из официальной документации GrapheneOS: значения должны полностью совпадать.

В Настройках → О телефоне проверьте номер сборки и сравните его с актуальным релизом на странице releases (на дату материала — 2026100600). В меню Для разработчиков убедитесь, что OEM unlocking снова отключён.

Для дополнительной проверки используйте приложение Auditor. Оно использует аппаратную аттестацию и помогает убедиться, что на устройстве работает подлинная, немодифицированная сборка.

Первая настройка параметров безопасности GrapheneOS

• Пароль разблокировки. Задайте длинный пароль вместо короткого PIN-кода. Биометрию можно включить для удобства, но она слабее надёжного пароля. Менеджер паролей не заменяет пароль разблокировки: он защищает остальные секреты, но не само устройство. О выборе пароля — в материале про пробелы в паролях.
• Профили пользователей. Разделите задачи по профилям: основной с минимальным набором приложений, рабочий, для соцсетей и банкинга.
• Ограничение USB-C порта. В настройках безопасности найдите параметр ограничения USB-C порта и включите вариант, блокирующий новые подключения при заблокированном экране. Точные название и путь зависят от версии ОС, сверьтесь с документацией GrapheneOS. Ограничение может мешать новым аксессуарам и диагностике.
• Автоперезагрузка. Включите параметр автоматической перезагрузки в настройках безопасности и выберите значение из доступных вариантов. После перезагрузки устройство возвращается в состояние BFU и требует повторной разблокировки, а длительные задачи прерываются. Проверьте настройку на своём телефоне.
• Сеть. Настройте DNS с шифрованием и профиль VPN с блокировкой соединений без VPN (Kill Switch).

Приложения Google и совместимость в песочнице

В GrapheneOS сервисы Google устанавливаются как обычные приложения, а не как системные: через механизм Sandboxed Google Play из встроенного каталога приложений. Они работают в стандартной песочнице Android без привилегий системного уровня, а их разрешениями (геопозиция, контакты, накопитель) управляете вы. Это не гарантирует отсутствие передачи данных самим Google Play, если вы выдали ему доступ. Чтобы не смешивать данные, устанавливайте Sandboxed Google Play во вторичный профиль.

Совместимость банковских приложений и бесконтактной оплаты зависит от конкретного приложения и от текущих требований Google к проверке целостности (Play Integrity). Работа Google Wallet не гарантируется, и категорично предсказать результат нельзя: проверьте актуальные требования на официальной странице developer.android.com/google/play/integrity, а до отказа от старого телефона проверьте нужные приложения. Заранее подготовьте физические карты.

Частые проблемы и диагностика ошибок

Если появляется ошибка waiting for device, чаще всего причина в соединении. Подключите кабель к другому порту компьютера (лучше напрямую, не через хаб и не к передней панели), замените кабель. В Windows проверьте драйвер Google USB.

Если телефон не загружается после установки или уходит в циклическую перезагрузку (bootloop), не повторяйте прошивку и не блокируйте загрузчик, пока не установлена причина. Войдите в режим Fastboot (Питание + Уменьшение громкости) и сверьтесь с официальной диагностикой и процедурой установки для вашей модели: https://grapheneos.org/install/. Гарантии восстановления нет, а блокировка загрузчика при неудачной установке способна усугубить ситуацию.

Чтобы вернуть стоковую систему, воспользуйтесь официальным веб-прошивальщиком Google flash.android.com и следуйте его инструкциям.

Обнаружение и реагирование: проверка с помощью Auditor

Для проверки целостности системы используйте приложение Auditor: оно опирается на аппаратную аттестацию и работает со вторым устройством. Единичная ошибка проверки сама по себе не доказывает атаку. Причиной могут быть проблемы связи, неверные параметры проверки или состояние устройства.

Если Auditor сообщает о сбое, не стирайте телефон сразу: так можно потерять полезные данные и следы инцидента. Сначала сохраните диагностические сведения, повторите проверку по документации Auditor и отдельно подтвердите состояние Verified Boot (отпечаток ключа при загрузке). Если подозрение на компрометацию остаётся, изолируйте устройство от сетей и действуйте по плану реагирования. Чистая переустановка официального релиза уместна после этого, но не поможет при аппаратной неисправности или ошибке конфигурации.

Ограничения и остаточные риски

GrapheneOS усиливает защиту, но не делает смартфон неуязвимым. Учитывайте следующее:

• Совместимость приложений. Программы, которые требуют сертификации Google (Play Integrity), могут не работать, в том числе Google Wallet. Результат зависит от приложения и актуальных требований Google.
• Модем. Прошивка сотового модема (baseband) остаётся закрытой и взаимодействует с сетью оператора напрямую.
• Приложения и разрешения. ОС не контролирует данные, которые вы сами разрешили передавать приложениям.
• Физический доступ. При разблокированном экране или вводе пароля под принуждением защита не помогает.

Что не вошло в материал

В руководстве не рассматривается самостоятельная сборка GrapheneOS из исходного кода: она требует отдельной инфраструктуры и рассчитана на разработчиков. Не описано и получение root-прав (например, через Magisk или KernelSU): это ослабляет модель безопасности, на которой построена система.

Материал подготовлен на основе официальной документации GrapheneOS и актуален на дату публикации. Все операции с перепрошивкой владелец выполняет на свой страх и риск, после резервного копирования и только на собственных устройствах.

Источник: официальная документация GrapheneOS