GrapheneOS — che cosa fa davvero meglio

GrapheneOS viene spesso venduto come «l’Android anonimo». Non lo è. È un sistema operativo che riduce in modo sistematico la superficie di attacco di un telefono Pixel e ti restituisce decisioni che Android normalmente prende al posto tuo. Ecco che cosa significa in concreto — e dove passano i limiti.

Contro che cosa si sta indurendo, in realtà?

Prima delle funzioni viene la domanda sul tuo modello di minaccia: da che cosa vuoi davvero proteggerti? Da un intermediario di dati che trasforma il tuo comportamento in denaro? Da qualcuno che mette le mani sul tuo telefono? Da un software malevolo che arriva in un file manipolato? GrapheneOS risponde a tutte e tre le cose — ma in misura diversa, e a nessuna per magia. Chi ci ragiona fino in fondo prende decisioni migliori di chi vuole soltanto essere «al sicuro».

Le fondamenta: trasformare gli errori di memoria in vicoli ciechi

La maggior parte degli attacchi seri ai telefoni si riduce alla stessa classe di difetti: gli errori di memoria — qualcosa che viene usato dopo essere stato liberato, oppure scritto oltre i propri limiti. È esattamente lì che GrapheneOS interviene.

• Un proprio allocatore di memoria irrobustito (hardened_malloc): i metadati dell’allocatore restano separati dai dati che descrivono, gli indirizzi vengono distribuiti con elevata entropia, la memoria liberata viene azzerata e riutilizzata solo dopo una quarantena. Canarini casuali fermano i classici sforamenti.
• Marcatura della memoria via hardware (MTE) sui dispositivi ARMv9, cioè Pixel 6 e successivi. Ogni blocco di memoria porta un’etichetta; se non corrisponde al momento dell’accesso, l’accesso viene interrotto. Così si individua un’intera classe di difetti a tempo di esecuzione — anche nel kernel.
• Protezione del flusso di controllo: CFI, BTI, PAC e ShadowCallStack rendono molto più faticoso trasformare un difetto trovato in un controllo effettivo del dispositivo.

L’effetto non ha nulla di spettacolare, ed è proprio lì il suo valore: un exploit che su un Android di fabbrica passa senza ostacoli finisce qui, spesso, in un arresto anomalo anziché in una presa di controllo.

Google Play — ammesso, ma privato dei privilegi

L’equivoco più diffuso: che GrapheneOS serva solo a chi è disposto a rinunciare a tutto. In realtà puoi installare i servizi Play — come una normale applicazione dentro l’isolamento, senza alcun diritto particolare. Su un Android di fabbrica i servizi Play sono parte privilegiata del sistema e vedono di conseguenza moltissimo. Qui sono un ospite come un altro: ricevono solo ciò che dai loro e possono essere rinchiusi in un solo profilo. Acquisti e store funzionano comunque; le richieste di posizione passano per impostazione predefinita dai server di GrapheneOS invece di andare direttamente a Google.

Due permessi che Android non ha

• Rete. Puoi togliere a un’applicazione l’accesso a internet per intero — in modo diretto e indiretto. L’applicazione vede allora semplicemente «nessuna rete» invece di un errore che continuerebbe a riprovare. Una calcolatrice, un editor di foto o uno scanner di documenti non hanno bisogno della rete.
• Sensori. Accelerometro, giroscopio, bussola, barometro — valori che Android consegna senza chiedere e dai quali si deduce sorprendentemente molto, fino agli schemi di spostamento e al riconoscimento del dispositivo. Qui è un interruttore.

A questo si aggiungono gli Storage Scopes e i Contact Scopes: invece di aprire a un’applicazione l’intera memoria o l’intera rubrica, le liberi esattamente i file o i contatti di cui ha bisogno. L’applicazione non nota alcuna differenza — crede di avere il permesso completo.

Profili al posto della fiducia

Android conosce i profili di lavoro; GrapheneOS ne fa un vero strumento di separazione: 31 profili più ospite invece dei soliti tre. Ogni profilo ha le proprie chiavi, le proprie applicazioni, i propri account. Con «Termina sessione» butti fuori dalla memoria le chiavi di decifratura di un profilo — i suoi dati tornano cifrati mentre il dispositivo continua a funzionare. Così non occorre più fidarsi di un’applicazione dubbia; la si mette via.

Quando il dispositivo finisce in altre mani

Un telefono bloccato non è per questo un telefono sicuro. Ciò che conta è se le chiavi sono ancora in memoria. GrapheneOS lo affronta di petto:

• Riavvio automatico dopo 18 ore di blocco (regolabile da 10 minuti a 72 ore). Dopo il riavvio i dati sono di nuovo completamente cifrati — lo stato in cui gli strumenti forensi ottengono di meno.
• PIN di coercizione: un secondo PIN che cancella il dispositivo in modo irreversibile — comprese le eSIM installate.
• USB solo per la ricarica finché il dispositivo è bloccato — impostazione predefinita, applicata sia a livello hardware sia di sistema. Chi vuole essere più severo può disattivare del tutto la porta.
• Tastierino mescolato: le cifre cambiano posizione, così uno sguardo alle spalle e le impronte sullo schermo non rivelano nulla.
• Impronta come secondo fattore: una passphrase lunga come protezione vera, l’impronta più un PIN breve per l’uso quotidiano. Sono possibili fino a 128 caratteri invece dei soliti 16.

Radio e rete

• Modalità solo LTE: disattiva 2G, 3G e 5G. Il 2G in particolare è un’eredità ingombrante: cifratura debole e vulnerabile alle false celle radio.
• Un indirizzo MAC nuovo a ogni connessione — impostazione predefinita, non un’opzione. È più severo di «un indirizzo casuale per rete», perché nemmeno le visite ripetute allo stesso bar si concatenano.
• Blocco delle fughe VPN: nessuna fuga DNS, niente che sgusci fuori via multicast mentre il tunnel è attivo.
• Posizione senza Google: il posizionamento tramite le reti vicine è facoltativo, tenuto in memoria e instradato attraverso i server di GrapheneOS. Anche i controlli di connettività, l’ora e i dati di almanacco satellitare passano di lì, e non da Google.

La vera differenza rispetto agli altri sistemi

Molti sistemi Android alternativi pretendono che tu lasci il bootloader sbloccato o che disattivi l’avvio verificato — scambiando così l’integrità con la riservatezza. GrapheneOS prende la strada opposta: viene firmato con chiavi proprie per ogni build, il bootloader viene richiuso e la verifica delle firme resta pienamente attiva. A ciò si aggiunge l’app Auditor, con cui un secondo dispositivo accoppiato verifica via hardware che firmware e sistema siano intatti. È il punto in cui «irrobustito» si separa da «soltanto diverso».

Perché solo Pixel

La critica più frequente è al tempo stesso la spiegazione: GrapheneOS supporta solo i dispositivi Pixel perché quasi da nessun’altra parte ci sono i presupposti — richiudere il bootloader con chiavi proprie, un elemento sicuro autonomo, la marcatura della memoria via hardware e aggiornamenti del firmware forniti per anni. Senza queste fondamenta, molto di quanto precede si potrebbe soltanto affermare, non imporre.

Che cosa GrapheneOS non può fare

Qui finisce la competenza del sistema operativo — ed è bene saperlo prima di adagiarsi in un falso senso di sicurezza:

• Non ti rende anonimo. Il tuo operatore continua a vedere dove il dispositivo è registrato e chi chiami. IMEI e IMSI arrivano alla rete, come da qualunque altro telefono — a deciderlo è il modem, non il sistema operativo.
• Non sostituisce la disciplina. Chi accede al proprio dispositivo irrobustito con lo stesso account che usa ovunque ha annullato da sé la separazione.
• Non garantisce la compatibilità delle app. Alcune app bancarie o della pubblica amministrazione controllano lo stato del dispositivo e si rifiutano di funzionare. Lo si può verificare prima, ma non promettere.
• Non ti protegge da te stesso. Un permesso concesso consapevolmente resta un permesso concesso.

A chi conviene

A chiunque voglia usare il telefono tutti i giorni e preferirebbe comunque che non tenesse, nel frattempo, il registro della propria vita. Costa meno fatica di quanto la fama lasci pensare: il sistema assomiglia ad Android, si usa come Android e la maggior parte delle app funziona. Il lavoro vero non è l’installazione, ma la decisione su quale app riceva quale profilo, quale rete e quali sensori. Sono esattamente le decisioni che un Android di fabbrica ti toglie di mano — ed è lì la differenza.

Configuriamo dispositivi Pixel con GrapheneOS — con separazione per profili, permessi ridotti all’essenziale e senza che arriviamo mai a conoscere i tuoi account. Se il dispositivo ce l’hai già, lavoriamo anche sul tuo. Dettagli nel configuratore.