GrapheneOS

GrapheneOS 是一款基于 Android 开源项目（AOSP）的开源移动操作系统。它围绕纵深防御、减少攻击面、更强的应用隔离以及用户对权限和连接的控制而设计。与传统的 Android 发行版不同，GrapheneOS 默认不包含 Google 应用或服务。用户可以通过系统应用商店选择安装沙盒化的 Google Play 实现，使依赖 Play 的应用能够运行，而无需授予这些服务在 Android 设备上通常拥有的特权系统级地位。 该项目始于 2016 年，当时名为 Android Hardening，主要由开发者 Daniel Micay 推动，专注于提高 Android 的安全性。它与早期的 CopperheadOS 项目有关，但在 Copperhead Limited 因软件许可和控制权发生争议后，Micay 于 2018 年离开公司。Android Hardening 随后更名为 GrapheneOS，并于 2019 年公开亮相，作为安全工作的延续。该项目独立于 Google，尽管最初专注于 Google Pixel 硬件，因为 Pixel 设备提供了硬件支持的安全功能以及足够开放的引导加载程序和固件支持模型。 GrapheneOS 将操作系统加固与面向用户的隐私控制相结合。其功能包括每应用网络权限、传感器控制、联系人和存储范围、随机化 Wi-Fi MAC 地址、可配置的 USB 数据限制、自动禁用蓝牙和 Wi-Fi、胁迫擦除、PIN 码打乱以及一段时间不活动后自动重启。后者旨在将设备从首次解锁后状态恢复到更受保护的首次解锁前状态，从内存中移除加密密钥并恢复硬件强制的解锁节流。 该项目开发了几个集成组件。Vanadium 是一个加固的基于 Chromium 的浏览器和 WebView 实现，具有额外的沙盒和漏洞缓解措施。Auditor 使用硬件支持的证明来帮助验证设备固件和操作系统软件的真实性和完整性。加固的内存分配、更强的编译器和控制流保护，以及在兼容设备上广泛使用 ARM 内存标记扩展构成了底层安全模型的一部分。GrapheneOS 还为选定的位置功能维护隐私保护的替代品或代理服务，并提供 Secure Camera 和 Secure PDF Viewer 等应用程序。 非营利组织 GrapheneOS 基金会于 2023 年 3 月由 Daniel Micay、Dmytro Mukhomor 和 Khalykbek Yelshibekov 在多伦多成立。该基金会为项目提供组织支持、基础设施、开发和筹款。它收到了包括 Vitalik Buterin 和 Jack Dorsey 在内的支持者的大量捐赠。GrapheneOS 没有遥测机制，因此其用户群只能通过更新服务器访问日志间接估计。该项目在 2026 年 4 月报告了约 40 万活跃用户，尽管该数字明确为估计值。 GrapheneOS 主要是一个软件项目，而不是传统的消费电子产品品牌。可以通过基于浏览器的 WebUSB 安装程序或命令行工具在受支持的计算机和 Android 设备上安装。截至 2026 年 3 月，官方兼容性仍仅限于 Google Pixel 设备。该基金会还宣布与 Motorola Mobility 合作，旨在支持未来满足 GrapheneOS 要求的设备，包括安全启动、硬件支持的密钥存储、更新寿命、无线隐私以及对 USB 和调试接口的控制。

GrapheneOS 起源于 2016 年的 Android Hardening，这是一个专注于通过更改底层系统组件、内存处理、应用沙盒和权限来提高 Android 安全性的项目。其主要开发者 Daniel Micay 曾共同创立并参与 CopperheadOS。在 2018 年 Copperhead Limited 发生涉及软件许可和控制权的争议后，Micay 独立继续这项工作。Android Hardening 更名为 GrapheneOS，并于 2019 年 4 月公开宣布，作为早期 CopperheadOS 工作的继承者。 该项目基于 Android 开源项目开发，而不是从头创建独立的移动平台。这种方法使其能够保持广泛的 Android 应用兼容性，同时改变信任模型并加强安全边界。默认安装中排除了 Google 服务，但 GrapheneOS 创建了一种沙盒化方法，将 Google Play 服务、Play 商店和依赖应用作为普通沙盒应用安装。这使该项目区别于主要依赖 microG 作为 Google Play 服务替代品的发行版。 GrapheneOS 最初专注于 Google Pixel 手机，因为该平台的引导加载程序、验证启动实现、安全元件、更新过程以及硬件支持的安全功能与项目的要求相对吻合。基金会的硬件标准包括防回滚的验证启动、使用自定义签名密钥的可重新锁定引导加载程序、StrongBox 支持、硬件密钥证明、安全解锁尝试节流、可控的 USB 接口、无线标识符随机化以及长期固件和驱动程序支持。这些要求限制了官方支持设备的范围，但对项目的安全声明至关重要。 2022 年 3 月，GrapheneOS 通过 Google Play 发布了 Secure Camera 和 Secure PDF Viewer，并扩展了对 Pixel 设备上 Android 12L 的支持。Secure Camera 旨在限制元数据暴露，而 Secure PDF Viewer 使用沙盒渲染环境来降低恶意文档带来的风险。其他主要组件包括 Vanadium（一个加固的 Chromium 浏览器和 WebView）和 Auditor（执行固件和操作系统完整性的硬件支持验证）。 2023 年 3 月，GrapheneOS 扩展了其组织结构，由 Micay、Dmytro Mukhomor 和 Khalykbek Yelshibekov 在多伦多成立了 GrapheneOS 基金会。该非营利组织支持工程、基础设施、发布和筹款。公开报道的捐赠者包括 Vitalik Buterin 和 Jack Dorsey。由于操作系统不收集遥测数据，基金会通过更新服务器访问模式而不是直接用户计数来估计使用情况。 安全工作继续围绕现代硬件功能发展。2023 年 11 月，GrapheneOS 在兼容的 Pixel 硬件上增加了对 ARM 内存标记扩展的支持。2024 年，团队报告称该功能帮助发现了 Android 蓝牙低功耗组件中的一个严重内存损坏漏洞，后来被跟踪为 CVE-2024-23694，并由 Google 修复。 2025 年 7 月，基金会宣布正在寻求一家主要的 Android OEM 合作伙伴，以生产满足其安全和支持标准的设备，包括未来的基于 Qualcomm 的硬件。2026 年 3 月，Motorola Mobility 被公开确认为合作伙伴。当时，Pixel 设备仍然是唯一官方兼容的硬件，而首批 Motorola 支持的设备预计最早要到 2026 年底或 2027 年初。因此，该项目仍然既是一个移动操作系统，也是一个更广泛的研究和工程努力，旨在使安全、保护隐私的 Android 硬件更广泛可用。

• 2026

  Motorola Mobility 合作伙伴关系披露

  [1]GrapheneOSen.wikipedia.org

  Motorola Mobility 被确定为计划中的未来 GrapheneOS 兼容设备的 OEM 合作伙伴。

• 2024

  在内存标记的帮助下识别 CVE-2024-23694

  [1]GrapheneOSen.wikipedia.org

  GrapheneOS 开发者报告使用硬件内存标记来帮助发现蓝牙低功耗内存损坏漏洞。

• 2023

  GrapheneOS 基金会成立

  [1]GrapheneOSen.wikipedia.org

  在多伦多成立了一个非营利组织，以支持项目的开发和运营。

• 2023

  添加 Android Auto 支持

  [1]GrapheneOSen.wikipedia.org

  Android Auto 可通过沙盒化的 Google Play 兼容层安装。

• 2022

  Secure Camera 和 Secure PDF Viewer 发布

  [1]GrapheneOSen.wikipedia.org

  项目发布两个面向安全的应用程序，并为 Pixel 设备添加 Android 12L 支持。

• 2019

  GrapheneOS 名称公布

  [1]GrapheneOSen.wikipedia.org

  Android Hardening 更名为 GrapheneOS，并作为 CopperheadOS 安全工作的延续。

• 2018

  Daniel Micay 离开 Copperhead Limited

  [1]GrapheneOSen.wikipedia.org

  由于许可和控制权争议，Micay 独立继续 Android 加固工作。

• 2016

  Android Hardening 开始

  [1]GrapheneOSen.wikipedia.org

  后来成为 GrapheneOS 的项目开始致力于加强 Android 安全性并减少其攻击面。

作为原生 Android 的独立、安全优先和隐私优先的替代品，强调纵深防御、对 Google 服务的最小默认信任、加固的应用隔离以及用户控制的权限。

• 移动操作系统 · 2016

  GrapheneOS

  核心产品是适用于受支持设备的免费、开源、基于 Android 的操作系统。它修改了 AOSP，具有加固的系统组件、更强的沙盒、扩展的权限控制、内存安全缓解、硬件支持的验证和隐私保护的默认设置。基础安装中不包含 Google 应用程序，而兼容用户可以选择添加沙盒化的 Google Play 组件。

• 网页浏览器和 WebView

  Vanadium

  Vanadium 是 GrapheneOS 的加固版 Chromium 衍生浏览器和 WebView 实现。它包含进程和站点隔离、自动更新、额外的编译器和漏洞缓解措施、跟踪器和广告拦截，以及默认禁用的 JavaScript JIT 配置，旨在减少攻击面。

• 安全和证明应用程序

  Auditor

  Auditor 使用硬件支持的证明来验证设备固件和操作系统软件的真实性和完整性。它还可以通过项目的证明服务执行定期远程检查，并在配置的期限内未发生验证时通知用户。

• 兼容层

  沙盒化 Google Play

  此可选软件包允许 Google Play 服务、Google Play 商店和依赖应用程序作为沙盒应用程序运行，而不是作为特权操作系统组件。用户可以控制其权限，并使用推送通知、支付、位置服务和 Android Auto 等功能。

• 隐私应用程序 · 2022

  Secure Camera

  Secure Camera 旨在实现更安全的图像捕获，并包括隐私导向的处理，例如自动删除选定的 EXIF 元数据。它作为 GrapheneOS 应用程序生态系统的一部分分发。

• 文档安全应用程序 · 2022

  Secure PDF Viewer

  Secure PDF Viewer 在加固的 WebView 内的沙盒 PDF.js 环境中打开文档，与广泛特权的文档查看器相比，减少了对潜在恶意 PDF 内容的暴露。

• 2025

  寻求官方 Android OEM 合作伙伴关系战略

  背景

  GrapheneOS 需要具有安全启动、强大的安全元件支持、可控接口和长期供应商维护的硬件。因此，官方兼容性集中在 Pixel 设备上。

  采取的行动

  基金会宣布与一家主要的 Android OEM 合作，设计满足其硬件和支持要求的旗舰设备。

  后续影响

  Motorola Mobility 于 2026 年 3 月被确定为合作伙伴；设备列表和商业可用性仍有待公布。

  来源

• 2023

  通过沙盒化 Google Play 实现 Android Auto 兼容性新品

  背景

  用户希望访问 Android Auto，同时保留 GrapheneOS 将 Google 服务视为沙盒应用程序的模型。

  采取的行动

  Android Auto 通过应用商店提供，并获得了有线和无线连接、音频路由和通话的细粒度兼容权限。

  后续影响

  用户可以使用 Android Auto，而无需将 Google Play 服务设为特权系统组件。

  来源

1. 1GrapheneOSen.wikipedia.org
2. 2GrapheneOS official websitegrapheneos.org
3. 3GrapheneOS features overviewgrapheneos.org
4. 4GrapheneOS installation guidegrapheneos.org
5. 5GrapheneOS security documentationgrapheneos.org