GrapheneOS — o que faz realmente melhor

O GrapheneOS costuma ser vendido como «o Android anónimo». Não é. É um sistema operativo que reduz de forma sistemática a superfície de ataque de um telemóvel Pixel e devolve-lhe decisões que o Android normalmente toma por si. Eis o que isso significa na prática — e onde passam os limites.

Contra o que se está a endurecer, afinal?

Antes das funcionalidades vem a pergunta pelo seu modelo de ameaça: de que se quer realmente proteger? De um corretor de dados que transforma o seu comportamento em dinheiro? De alguém que lhe deita a mão ao telemóvel? De software malicioso que chega num ficheiro manipulado? O GrapheneOS responde às três coisas — mas em graus diferentes, e a nenhuma por magia. Quem pensa isto até ao fim toma melhores decisões do que quem apenas quer estar «seguro».

A base: transformar erros de memória em becos sem saída

A maioria dos ataques sérios a telemóveis resume-se à mesma classe de falha: os erros de memória — algo que é usado depois de libertado, ou escrito para além dos seus limites. É exactamente aí que o GrapheneOS actua.

• Um alocador de memória endurecido próprio (hardened_malloc): os metadados do alocador ficam separados dos dados que descrevem, os endereços são distribuídos com elevada entropia, a memória libertada é zerada e só é reutilizada após uma quarentena. Canários aleatórios travam os transbordos clássicos.
• Marcação de memória por hardware (MTE) em aparelhos ARMv9, ou seja, Pixel 6 e posteriores. Cada bloco de memória leva uma etiqueta; se não corresponder no acesso, o acesso é cortado. Assim se detecta toda uma classe de falhas em tempo de execução — também no núcleo.
• Protecção do fluxo de controlo: CFI, BTI, PAC e ShadowCallStack tornam bastante mais trabalhoso transformar uma falha encontrada num controlo efectivo do aparelho.

O efeito nada tem de espectacular, e é justamente aí que está o seu valor: um exploit que atravessa sem dificuldade um Android de origem acaba aqui, muitas vezes, num encerramento inesperado em vez de numa tomada de controlo.

Google Play — permitido, mas sem privilégios

O equívoco mais difundido: que o GrapheneOS só serve para quem esteja disposto a abdicar de tudo. Na verdade pode instalar os serviços Play — como uma aplicação normal dentro do isolamento, sem qualquer direito especial. Num Android de origem, os serviços Play são parte privilegiada do sistema e, por isso, vêem imenso. Aqui são um convidado como outro qualquer: recebem apenas o que lhes der e podem ficar fechados num único perfil. As compras e a loja continuam a funcionar; os pedidos de localização passam por predefinição pelos servidores do GrapheneOS em vez de irem directos à Google.

Duas permissões que o Android não tem

• Rede. Pode retirar a uma aplicação o acesso à Internet por completo — directa e indirectamente. A aplicação vê então simplesmente «sem rede» em vez de um erro que continuaria a repetir. Uma calculadora, um editor de fotografias ou um digitalizador de documentos não precisam de rede.
• Sensores. Acelerómetro, giroscópio, bússola, barómetro — valores que o Android entrega sem perguntar e dos quais se deduz surpreendentemente muito, até padrões de deslocação e reconhecimento do aparelho. Aqui é um interruptor.

A isto juntam-se os Storage Scopes e os Contact Scopes: em vez de abrir a uma aplicação todo o armazenamento ou toda a lista de contactos, liberta exactamente os ficheiros ou contactos de que ela precisa. A aplicação não nota diferença alguma — julga ter a permissão completa.

Perfis em vez de confiança

O Android conhece os perfis de trabalho; o GrapheneOS transforma-os numa verdadeira ferramenta de separação: 31 perfis mais convidado em vez dos três habituais. Cada perfil tem as suas próprias chaves, as suas próprias aplicações, as suas próprias contas. Com «Terminar sessão» expulsa da memória as chaves de desencriptação de um perfil — os seus dados voltam a ficar cifrados enquanto o aparelho continua a trabalhar. Deixa assim de ser preciso confiar numa aplicação duvidosa; basta arrumá-la.

Quando o aparelho cai noutras mãos

Um telemóvel bloqueado não é, por isso, um telemóvel seguro. O que conta é saber se as chaves ainda estão em memória. O GrapheneOS trata disso de frente:

• Reinício automático ao fim de 18 horas bloqueado (ajustável de 10 minutos a 72 horas). Depois do reinício, os dados voltam a estar totalmente cifrados — o estado em que as ferramentas forenses conseguem menos.
• PIN de coacção: um segundo PIN que apaga o aparelho de forma irreversível — incluindo os eSIM instalados.
• USB apenas para carregar enquanto o aparelho está bloqueado — predefinição, aplicada tanto no hardware como no sistema. Quem quiser mais rigor pode desactivar a porta por completo.
• Teclado numérico baralhado: os algarismos mudam de posição, de modo que um olhar por cima do ombro e as marcas dos dedos não revelam nada.
• Impressão digital como segundo factor: uma frase-passe longa como protecção real, a impressão digital mais um PIN curto para o dia-a-dia. São possíveis até 128 caracteres em vez dos 16 habituais.

Rádio e rede

• Modo apenas LTE: desliga 2G, 3G e 5G. O 2G em particular é um peso herdado: cifra fraca e vulnerável a antenas falsas.
• Um endereço MAC novo em cada ligação — por predefinição, não como opção. É mais rigoroso do que «um endereço aleatório por rede», porque também as visitas repetidas ao mesmo café não se encadeiam.
• Bloqueio de fugas de VPN: sem fugas de DNS, nada que escape por multidifusão enquanto o túnel estiver de pé.
• Localização sem a Google: o posicionamento pelas redes próximas é opcional, guardado em memória e encaminhado pelos servidores do GrapheneOS. As verificações de ligação, a hora e os dados de almanaque de satélites seguem igualmente por lá, e não para a Google.

A verdadeira diferença face a outros sistemas

Muitos sistemas Android alternativos exigem que deixe o carregador de arranque desbloqueado ou que desligue o arranque verificado — trocando assim integridade por privacidade. O GrapheneOS segue o caminho contrário: é assinado com chaves próprias para cada compilação, o carregador de arranque volta a ser bloqueado e a verificação de assinaturas mantém-se plenamente activa. A isso junta-se a aplicação Auditor, com a qual um segundo aparelho emparelhado verifica, por hardware, que o firmware e o sistema estão intactos. É aí que «endurecido» se separa de «apenas diferente».

Porquê só Pixel

A crítica mais frequente é ao mesmo tempo a explicação: o GrapheneOS só suporta aparelhos Pixel porque quase em mais lado nenhum estão reunidas as condições — voltar a bloquear o carregador de arranque com chaves próprias, um elemento seguro autónomo, marcação de memória por hardware e actualizações de firmware durante anos. Sem essas bases, boa parte do que ficou dito só poderia ser afirmada, não imposta.

O que o GrapheneOS não consegue fazer

É aqui que acaba a competência do sistema operativo — e convém sabê-lo antes de se instalar numa falsa sensação de segurança:

• Não o torna anónimo. O seu operador continua a ver onde o aparelho está registado e para quem liga. O IMEI e o IMSI seguem para a rede, tal como a partir de qualquer outro telemóvel — quem decide isso é o módem, não o sistema operativo.
• Não substitui a disciplina. Quem inicia sessão no aparelho endurecido com a mesma conta que usa em todo o lado desfez ele próprio a separação.
• Não garante compatibilidade com as aplicações. Algumas aplicações bancárias ou da administração verificam o estado do aparelho e recusam-se a funcionar. Isso pode testar-se antes, mas não prometer-se.
• Não o protege de si próprio. Uma permissão concedida conscientemente é uma permissão concedida.

A quem compensa

A todos os que querem usar o telemóvel no dia-a-dia e, mesmo assim, preferiam que ele não fosse mantendo o registo da sua vida. Dá menos trabalho do que a fama sugere: o sistema parece o Android, comporta-se como o Android e a maioria das aplicações funciona. O trabalho a sério não está na instalação, mas na decisão sobre que aplicação recebe que perfil, que rede e que sensores. São exactamente as decisões que um Android de origem lhe tira das mãos — e é aí que está a diferença.

Configuramos aparelhos Pixel com GrapheneOS — com separação por perfis, permissões reduzidas ao necessário e sem que cheguemos a conhecer as suas contas. Se já tem o aparelho, também trabalhamos com o seu. Detalhes no configurador.