GrapheneOS 是一个基于 Android 开源项目（AOSP）的操作系统，由非营利组织 GrapheneOS Foundation 开发和维护的开源项目。其核心理念是注重个体的隐私和安全，通过增加许多底层改进和创新，使其比标准的 Android 系统更加安全和可靠。

GrapheneOS 可以被视为"去 Google 化"的 Android——它不包含任何预装的 Google 应用程序或服务，但同时保留了 Android 的强大功能和应用生态兼容性。

👨‍💻 项目历史与创始人

GrapheneOS 由一群安全研究人员和工程师开发，其创始人和主要开发者是 Daniel Micay。

📜 发展历程

🛠️ 核心组件与应用

GrapheneOS 默认不包含任何 Google 应用程序或服务，也不依赖于任何第三方的实现。它使用自己开发的或修改的应用程序和服务：

🌐 Vanadium 浏览器和 WebView

Vanadium 是基于 Chromium 的隐私和安全强化版浏览器，同时也为其他应用提供 WebView（网页内容渲染引擎）。

主要特性包括：

• 默认禁用 JavaScript JIT 编译，并支持按站点设置例外，大幅降低远程代码执行风险
• 启用硬件内存标记（MTE）以保护主内存分配器
• 支持 DrumBrake WebAssembly 解释器，在 JIT 禁用时仍可运行 WebAssembly
• 严格的站点隔离和源隔离，与桌面版 Chromium 同等级别
• 原生 Android 自动填充实现，无需依赖沙盒化的 Google Play 服务
• 基于 Chromium 的沙盒实现，提供目前最强的浏览器安全隔离

🔍 Auditor 设备验证工具

Auditor 应用使用硬件级安全功能来验证设备的身份，以及操作系统的真实性和完整性。它可以验证设备是否运行原版操作系统、引导加载程序是否已锁定，以及操作系统是否未被篡改。

Auditor 提供两种验证方式：

• 本地验证：通过 QR 码扫描进行设备间验证
• 远程验证：通过服务器提交认证数据样本，支持邮件警报

💾 Seedvault 加密备份

Seedvault 是一个开源的加密备份解决方案，允许用户将应用数据安全备份到外部存储或云服务，而无需依赖 Google 的备份服务。

🛡️ GrapheneOS 的主要特点和优势

GrapheneOS 的主要特点和优势是它在隐私和安全方面的强大功能。它从底层到应用层都部署了各种技术，以防止和抵御各种攻击和威胁。

🔒 核心安全功能

1. 强化的沙箱和权限模型

GrapheneOS 可以限制应用程序对系统和用户数据的访问，提供了远超标准 Android 的精细控制：

• 可撤销网络访问权限：可以完全撤销任何应用程序的网络访问权限，这是标准 Android 不提供的功能
• 可撤销传感器权限：可以控制应用对加速度计、陀螺仪等传感器的访问
• 联系人作用域（Contact Scopes）：允许用户选择应用可以访问哪些特定联系人，而非全部联系人
• 存储作用域（Storage Scopes）：允许用户选择应用可以访问哪些特定文件或文件夹，实现精细的文件访问控制

2. 强化的内存分配器与漏洞防护

GrapheneOS 采用自主研发的 hardened_malloc（强化内存分配器），这是目前移动平台上最强大的内存安全保护之一：

硬件内存标记（MTE - Memory Tagging Extension）：

• 在配备 ARMv8.5+ 或 ARMv9 CPU 的设备上（如 Pixel 8 及更新机型），GrapheneOS 启用同步硬件内存标记，以最激进的安全模式运行
• 提供对几乎所有线性内存损坏漏洞的概率性检测，性能开销几乎可以忽略
• 缓冲区溢出保护：即使在同一内存槽位内的溢出也能被检测和阻止
• 释放后使用（Use-After-Free）防护：指针和关联内存区域被"标记"，释放后标记会被修改，任何使用旧指针的尝试都会触发异常
• 实际使用中，用户报告完整 MTE 功能对电池的影响约为 5-15%

其他内存保护措施：

• 控制流完整性（CFI）
• ShadowCallStack 影子调用栈保护
• 指针认证（PAC）
• 分支强化（Branch Hardening）

这些保护措施使远程代码执行和权限提升攻击在当前硬件上变得极其困难，在许多情况下几乎不可行。

3. 强化的加密和身份验证

• 保护设备的启动过程和数据分区
• 支持硬件密钥和双因素身份验证
• 锁屏 PIN 码随机化选项：可以在每次解锁时随机排列数字位置，防止肩窥和屏幕油污分析攻击
• 胁迫密码（Duress Password）：这是一个极其重要的安全功能——当输入预设的胁迫 PIN 码或密码时，设备会立即不可逆地擦除所有数据（包括已安装的 eSIM）。擦除过程不需要重启且无法中断。这对于可能面临被迫解锁设备风险的用户尤为重要

4. 强化的设备物理安全

自动重启功能：

• 设备锁定后，如果在设定时间内未成功解锁，将自动重启以使数据处于静止状态（更强的加密保护）
• 默认时间为 18 小时，可设置为 10 分钟至 72 小时，或完全关闭
• 这可以有效防止取证工具对长时间锁定设备的攻击

USB-C 端口安全控制：

• 默认设置为"锁定时仅充电"，显著减少设备锁定时的攻击面
• 在硬件层面（通过配置 USB 控制器）和操作系统层面（内核）双重禁用数据线
• 同时禁用 USB-C 替代模式（包括 DisplayPort）
• 最高安全的"关闭"模式会同时禁用充电，完全消除 USB 控制器的攻击面
• 此功能远比 Android 标准 USB HAL 切换功能更安全

自动禁用无线连接：

• 支持自动禁用 WiFi 和蓝牙
• 每次连接默认随机化 WiFi MAC 地址，防止设备追踪

5. 强化的网络和防火墙

• 可以阻止恶意流量和跟踪
• 支持 DNS over HTTPS（加密 DNS 查询）
• 支持 VPN
• 禁用可选功能（如蓝牙和 NFC）时，这些功能完全不会在后台运行，彻底消除可能的攻击入口

6. 强化的更新和验证

• 保证系统的完整性和一致性
• 支持增量更新和远程验证
• 安全预览版更新：GrapheneOS 利用 Android 新的安全更新系统，可以提前约 3 个月获得安全补丁的早期访问权限。GrapheneOS 是首个利用此机制提前发布补丁的项目——甚至原版 Pixel OS 也尚未做到这一点
• 截至 2026 年初，GrapheneOS 的安全预览版已包含 2026 年 1 月至 6 月 Android 安全公告的所有补丁

📲 GrapheneOS 的应用程序支持和兼容性

GrapheneOS 可以兼容大多数 Android 应用程序，但由于它不包含 Google Play 服务或其他 Google 应用程序，某些依赖于这些服务的应用程序可能会出现问题或无法运行。

例如，某些应用程序可能会缺少位置和推送通知功能，或者需要登录 Google 账户才能使用。

🔧 解决方案

方案一：使用 F-Droid 应用商店

F-Droid 是一个免费和开源的应用程序仓库，提供了许多没有广告、跟踪或应用内购买的应用程序和游戏。这是寻找隐私友好型替代应用的最佳选择。

方案二：使用第三方应用商店

使用 Aurora Store 等第三方应用商店。这是一种绕过 Google Play 商店的好方法，可以匿名下载 Google Play 商店中的免费应用。

方案三：沙盒化的 Google Play 服务（推荐） ⭐

这是 GrapheneOS 最具创新性的功能之一，也是其与其他"去 Google 化"Android 系统的最大区别。

工作原理：

• 通过 GrapheneOS 应用商店安装官方 Google Play 服务和应用
• GrapheneOS 的兼容层（gmscompat）在沙盒化的 Play 服务周围建立隔离层，拦截系统调用
• Google Play 服务变成像其他任何应用一样的普通应用，没有任何特殊权限，更没有系统访问权限

安全优势：

• Google 无法访问设备标识符（如 IMEI）
• Google 无法逃离应用沙盒，不再拥有任何特殊权限
• 用户可以撤销 Google 应用的任何权限
• 需要用户明确同意才能访问个人资料数据或标准权限

功能完整性：

• 完整支持 Play 商店，包括应用内购买、Play Asset Delivery、Play Feature Delivery 和应用/内容许可证检查
• 默认情况下，使用 Google Play 定位的应用会被重定向到 GrapheneOS 自己的定位服务实现，无需授予 Google Play 任何权限
• 提供接近完整的应用生态兼容性，绝大多数 Play 服务功能都能完美运行

配置灵活性：

• 由于 Google Play 应用只是普通应用，你可以将它们安装在特定的用户配置文件或工作配置文件中
• 只有同一配置文件内的应用才能使用 Play 服务，实现完美的隔离

📱 GrapheneOS 的设备支持和安装方法

📋 支持的设备

GrapheneOS 目前只官方支持 Google Pixel 系列的设备，因为它们具有最先进的硬件安全功能，如 Titan M 安全芯片和 Verified Boot（验证启动）。

为什么只支持 Pixel 设备？

• Titan M 安全芯片作为信任根（Root of Trust）
• 完整的 Verified Boot 支持
• 允许用户解锁和重新锁定 bootloader
• 长期安全更新支持

当前支持的设备列表（2025-2026）

原稿中的设备列表已过时。 以下是最新的支持设备：

⚠️ 注意：第 8 代及更新的 Pixel 设备提供至少 7 年的支持保证（此前为 5 年），并支持硬件内存标记（MTE）安全功能。

🔮 未来设备支持计划

2025 年 10 月，GrapheneOS 宣布正在与一家"顶级 Android OEM 厂商"合作，计划在高通骁龙平台上支持 GrapheneOS。预计首批非 Pixel 设备将在 2026 年第四季度或 2027 年第一季度推出。

即将推出的非 Pixel 设备特点：

• 采用旗舰级骁龙处理器
• 相比 Google Tensor 芯片，提供更好的 CPU 和 GPU 性能
• 高质量无线连接
• eSIM 支持
• 优秀的图像处理能力

这将是 GrapheneOS 首次打破 Pixel 独占的局面，对于不想使用 Google 硬件但希望获得最高级别移动安全的用户来说是个好消息。

🔧 安装方法

要安装 GrapheneOS，你需要：

• 一台电脑
• USB 线
• GrapheneOS 的官方安装工具：
  • Web-based installer（网页安装器） - 推荐，更简单
  • Command-line installer（命令行安装器） - 适合高级用户

安装流程概述

1️⃣ 解锁设备的 bootloader
     ⬇️
2️⃣ 擦除设备数据
     ⬇️
3️⃣ 下载并验证 GrapheneOS 镜像
     ⬇️
4️⃣ 将镜像刷入设备
     ⬇️
5️⃣ 重新锁定 bootloader（关键步骤！）
     ⬇️
✅ 启用硬件加密和验证功能

📌 重要提示：重新锁定 bootloader 是确保设备安全的关键步骤，它启用了硬件加密和验证功能。安装 GrapheneOS 的详细步骤可以在 GrapheneOS 官方网站 上找到。

⚖️ GrapheneOS vs 其他操作系统

为了帮助你更好地理解 GrapheneOS 的定位，以下是与其他主流移动操作系统的比较：

⚠️ 重要安全事件与注意事项

2025 年，GrapheneOS 将其在法国的所有服务器迁出，并发表声明："法国对于开源隐私项目来说不是一个安全的国家。他们期望在加密和设备访问方面都留有后门。"

这一事件提醒我们：

• 选择隐私工具时，需要考虑其基础设施的地理位置
• GrapheneOS 团队对隐私和安全的承诺是认真的，愿意为此做出重大决策
• 隐私保护是一场持续的战斗，需要保持警惕

📝 小结

对于主权个人而言，GrapheneOS 是一个非常有价值的项目，它为用户提供了一个更加私密和安全的移动操作系统，同时不牺牲功能和性能。

GrapheneOS 的核心价值主张：

✅ 真正的隐私保护 - 默认无 Google 服务，无遥测，无追踪

✅ 最强的安全防护 - 从内核到应用层的全面强化，包括 MTE、hardened_malloc、CFI 等先进技术

✅ 不妥协的兼容性 - 通过创新的沙盒化 Google Play 服务，保留应用生态兼容性

✅ 透明与开源 - 完全开源，接受公众审计和安全研究

✅ 持续创新 - 定期更新，通常领先于其他平台获得安全补丁

这是目前最值得推荐的移动设备安全解决方案，特别适合：

• 对隐私有严格要求的个人用户
• 记者、活动人士、律师等高风险职业
• 企业高管和需要保护敏感信息的专业人士
• 任何希望夺回对自己数字生活控制权的人

🔗 相关资源