Sécurité GrapheneOS : Configurer le bac à sable Google Play

Tout au long de cet article, vous verrez Comment fonctionne le bac à sable de Google Play dans GrapheneOS ?Comment organiser les profils utilisateurs, quels paramètres utilisent les utilisateurs avancés, comment vérifier les APK sur plusieurs profils et dans quelle mesure il est pertinent d'aborder la question de la confidentialité lorsqu'on continue d'utiliser des applications fortement dépendantes de Google et de Meta. Vous trouverez également… Un guide complet pour comprendre et utiliser GrapheneOS avec une approche pratique et sans perdre de vue les détails techniques importants.

Qu'est-ce que GrapheneOS et pourquoi est-ce important pour la sécurité ?

GrapheneOS est un système d'exploitation basé sur AOSP (Android sans Google) conçu pour optimiser la sécurité et la confidentialité sur les téléphones Pixel. Il ne s'agit pas simplement d'« Android sans Google » : il intègre mesures d'atténuation au niveau du noyau, de la mémoire et du système ce qui complique considérablement l'exploitation des vulnérabilités et l'obtention d'un accès persistant à l'appareil ; de plus, cela permet l'application de Contrôles et considérations relatifs aux objets binaires qui affectent le niveau le plus bas du système.

Le projet se concentre sur l'offre un environnement difficile pour les attaquants: démarrage vérifié avec puce Titan M, allocateur de mémoire renforcé, sandbox d'applications renforcée, contrôles d'autorisation avancés, sauvegardes cryptées et un blocage strict des vecteurs d'attaque comme le NFC ou le Bluetooth lorsque l'écran est éteint. Tout cela contribue à un design minimaliste : Seules les applications essentielles sont préinstallées., sans logiciels superflus, sans services Google et avec une interface pratiquement identique à celle d'AOSP.

À quoi ressemble l'utilisation quotidienne de GrapheneOS ?

Lorsque vous allumez un Pixel avec GrapheneOS pour la première fois, vous constaterez que une expérience très propre et presque spartiateLa ROM ne comprend que quelques applications de base : Paramètres, Fichiers, Auditeur, Calculatrice, Calendrier, Appareil photo, Contacts, Galerie, Messages, Lecteur PDF, Horloge, Téléphone et le navigateur Vanadium. Un Chromium amélioré en termes de confidentialité et de sécurité.

L'interface est fondamentalement celle de AOSP sans fioritures ni couches supplémentairesUn lanceur d'applications simple, sans fonds d'écran tape-à-l'œil (fond noir par défaut), sans widgets tiers, assistants ni suggestions de connexion à Google. Cette absence n'est pas fortuite, mais fait partie intégrante de la philosophie du projet. Vous décidez de ce que vous installez et des autorisations que vous accordez.et il est conseillé de revoir le Paramètres de confidentialité dès le premier départ.

Installer GrapheneOS sur un Pixel : moins compliqué qu’il n’y paraît

Contrairement à ce que beaucoup de gens pensent, Installez GrapheneOS sur un Pixel compatible. Il n'est pas nécessaire d'être un expert en flashage de ROM. Le projet propose un installateur web officiel qui s'exécute dans un navigateur moderne et guide le processus étape par étape.

Le flux standard se compose de déverrouiller le chargeur de démarrage Depuis le Pixel, connectez le téléphone à l'ordinateur via USB et utilisez l'installateur web, qui se charge d'envoyer les images et les commandes nécessaires. Une fois l'opération terminée, Le chargeur de démarrage est à nouveau verrouillé. Pour garantir la vérification du démarrage. En 15 à 30 minutes environ, vous pouvez installer GrapheneOS sur un Pixel récent (à partir de la série Pixel 5), en tirant parti de la puce de sécurité Titan M, sans dépendre du firmware officiel de Google.

Vivre sans les services Google : boutiques d’applications alternatives et écosystème d’applications

Tel que fabriqué, GrapheneOS n'inclut pas le Play Store ni les services Google Play.Si vous souhaitez utiliser uniquement des logiciels libres et minimiser le suivi, vous pouvez utiliser des dépôts comme F-Droid Pour installer des applications open source : Signal pour la messagerie, Bitwarden pour les mots de passe, Organic Maps pour les cartes sans suivi, Nextcloud comme cloud privé, etc. alternatives open source aux applications Google qui couvrent de nombreux besoins communs.

Pour accéder aux applications disponibles uniquement sur Google Play, de nombreux utilisateurs ont recours à Aurora Store, un client alternatif qui télécharge les APK directement depuis le Play Store, sans vous connecter avec votre compte GoogleAurora peut utiliser des comptes anonymes générés par le service, bien que ce ne soit pas toujours aussi stable ou pratique que la boutique officielle, et certaines applications (en particulier les payantes ou celles dotées d'un système de gestion des droits numériques exigeant) peuvent poser problème.

Google Play Sandbox dans GrapheneOS : qu’est-ce que c’est exactement ?

L'approche distinctive de GrapheneOS est qu'elle offre l'option d'utiliser Google Play en mode sandboxsans l'intégrer comme une partie privilégiée du système. Sur un appareil Android classique, les services Google Play et autres services similaires fonctionnent comme applications système avec des autorisations spéciales, signés avec des certificats de la plateforme elle-même et avec un accès à des API internes très puissantes.

Dans GrapheneOS, en revanche, Google Play Services, Google Play Store et Google Services Framework sont installés comme des applications utilisateur normales., avec leur propre UID dans la plage d'applications, sans signature système et soumis au même modèle d'autorisations et au même environnement sandbox strict que le reste des applications. Ils ne possèdent pas l'UID 0 (racine) ni l'UID 1000 (système).et ne bénéficient donc pas de privilèges système ni d'accès direct aux ressources internes.

Comment fonctionne l'isolation de Google Play en interne

Lorsque vous installez les composants Google à partir de Boutique d'applications GrapheneOSchacun obtient sa propre identité numérique (UID). Google Play Services et Google Services Framework partagent un UID de l'application dans la plage d'utilisateurs (par exemple, 10xxx), leur permettant de communiquer entre eux sans rompre l'isolation globale.

La Le Play Store possède son propre UID distinctElle fait également partie des applications classiques et est signée avec des certificats Google, et non avec des certificats système GrapheneOS. Cela garantit que, même s'il s'agit de certificats Google officiels, ne peut pas imiter les composants du systèmeDe plus, en ce qui concerne SELinux, ils ne s'exécutent pas avec des contextes privilégiés comme « platform:privapp », mais avec contextes d'application standard (par exemple, « default:targetSdkVersion=34:complete »), ce qui renforce l'idée qu'il s'agit simplement d'applications supplémentaires au sein du bac à sable.

Couche de compatibilité : faire en sorte que tout fonctionne sans conférer de super-pouvoirs

Pour garantir le bon fonctionnement des applications qui dépendent de Google Play, GrapheneOS inclut une couche de compatibilité spécifiqueCette couche n'accorde pas d'autorisations supplémentaires aux services Google, mais plutôt adapte le système pour que Google Play puisse fonctionner dans les limites normales. depuis une application sans privilèges.

Grâce à cette compatibilité, La plupart des applications s'attendent à trouver les services Google Play. Les applications bancaires, de messagerie, de réseaux sociaux et de paiement protégées par DRM fonctionnent comme sur un système Android classique, bien que les services Google soient fortement restreints. Elles ne disposent toujours pas d'identifiants uniques (UID) ni de signatures système, mais les API nécessaires sont exposées de manière contrôlée afin de ne pas perturber l'expérience utilisateur.

Dilemme pratique : est-il judicieux d’utiliser GrapheneOS si je compte continuer à utiliser Gmail et WhatsApp ?

Une question très courante est de savoir si L'utilisation de GrapheneOS perd tout son intérêt lorsque vos applications principales sont Gmail, WhatsApp, Instagram, etc.Il est vrai que ces applications impliquent une exposition considérable des données à Google et Meta, mais cela ne signifie pas que l'installation de GrapheneOS soit inutile dans ce contexte, et il convient d'examiner si Est-ce que ça vaut la peine d'installer GrapheneOS sur son téléphone portable ? selon vos priorités.

Ce qui change, c'est le surface d'attaque et niveau de contrôle sur le dispositifMême si vous utilisez Gmail et WhatsApp dans un environnement GrapheneOS, le reste du système reste renforcé : meilleures protections contre les exploits, autorisations beaucoup plus précises, démarrage vérifié, isolation entre les profils, possibilité de refuser l’accès aux capteurs, blocage du réseau pour certaines applications, etc. Vous ne supprimez pas la télémétrie de ces applications, mais vous limitez considérablement ce qu'elles peuvent voir et faire en interne..

Profils d'utilisateurs : la clé pour compartimenter votre vie numérique

L'une des fonctionnalités les plus puissantes de GrapheneOS est l'utilisation de profils d'utilisateurs complètement isolésChaque profil dispose de son propre espace pour les applications et les données, donc une application installée sur un profil Il n'existe pas et ne voit rien chez les autres.C'est essentiel si vous voulez garder Google et les applications peu fiables à l'écart ; de plus, c'est un moyen efficace d'utiliser votre appareil mobile. pas de compte google sur le profil principal.

Une configuration typique recommandée par les utilisateurs avancés serait quelque chose comme ceci : Profil principal propre (Propriétaire), aucun compte Google.avec vos applications les plus sensibles (banque, messagerie principale, travail) ; profil secondaire « Google » avec les services Google Play dans l'environnement isolé et les applications qui en dépendent ; et, éventuellement, Des profils supplémentaires pour des usages très spécifiques (tests, applications expérimentales, etc.). Cette structure réduit le risque de mélange de données sensibles avec des applications de suivi très intrusives.

Configurations réelles des utilisateurs de GrapheneOS

Certains utilisateurs partagent des configurations très détaillées qui illustrent comment tirer le meilleur parti du système. Un schéma plutôt extrême, mais très instructif, comprend : Utilisez le profil Propriétaire comme « profil d'administrateur ». et des profils secondaires pour une utilisation quotidienne.

Dans cette approche, le Le profil du propriétaire achemine tout le trafic via Orbot (Tor)., possède le Google Play Store installé avec un Compte anonyme créé sans numéro de téléphoneUtilisez des plateformes alternatives comme Obtainium et Accrescent pour obtenir des applications directement auprès des développeurs. Vérifiez toutes les applications à l'aide d'outils comme App Verifier. Une fois installées et vérifiées, elles sont désactivées pour le propriétaire et transférées vers d'autres profils d'utilisateurs pour une utilisation quotidienne.

Puis ils sont créés profils séparés en fonction du niveau de confiance dans les applicationsL'un est dédié aux logiciels libres et respectueux de la vie privée, avec un trafic acheminé via MullvadVPN, et l'autre aux applications moins fiables (services bancaires, WhatsApp, etc.), utilisant également un VPN. L'objectif de cette compartimentation poussée est que Une application problématique sur un profil ne peut pas accéder aux données ou aux applications d'un autre profil.une stratégie utile pour atténuer les menaces telles que Logiciel espion ciblant Android.

La sécurité de GrapheneOS qu'Android n'a pas

Est-il dangereux d'avoir WhatsApp en plus de son gestionnaire de mots de passe et de sa messagerie électronique ?

L'une des questions qui se posent avec ce type de configuration est de savoir si Il est conseillé d'installer WhatsApp sur le même profil que votre gestionnaire de mots de passe ou votre messagerie électronique.Du point de vue de la sécurité pure et dure, l'idéal serait de les séparer : moins ils partagent d'espace, mieux c'est. Cependant, le système de permissions et de sandbox de GrapheneOS… Cela limite considérablement les possibilités de WhatsApp. si vous gérez bien les autorisations.

Le principal risque n'est pas que WhatsApp lise directement votre base de données de mots de passe (cela est impossible), mais tout ce que vous partagez avec cette application et les métadonnées associéesContacts, habitudes d'utilisation, sauvegardes cloud (qui perdent également leur intégration Google Drive dans GrapheneOS), etc. Pour autant, partager son profil avec un gestionnaire de mots de passe ou une application de messagerie n'est pas forcément synonyme de catastrophe ; cela signifie simplement que si vous souhaitez une isolation maximale, La solution la plus judicieuse consiste à utiliser des profils séparés pour la messagerie générale et pour les tâches hautement sensibles.

Appels et SMS provenant de profils « non fiables » : ce qu’il faut retenir

Un autre point sensible est activer les appels et les SMS sur les profils considérés comme moins fiablescomme celui qui héberge les applications bancaires et WhatsApp. Tant que vous contrôlez les autorisations et que vous maintenez le système à jour, il ne s'agit pas d'une vulnérabilité catastrophique, mais cela augmente la surface d'attaque. un SMS malveillant, des appels d'hameçonnage ou des liens reçus par messagerie Ils sont gérés à partir de ce profil.

Si votre niveau de menace est élevé (par exemple, en cas de traitement d'informations hautement sensibles ou de risques d'espionnage ciblé), vous pouvez opter pour Limiter les SMS et les appels téléphoniques à un profil d'utilisation restreint et limitez au maximum ce que vous y installez. Pour la plupart des utilisateurs avancés, il suffit d'utiliser son bon sens, de vérifier les permissions et d'éviter d'installer des fichiers inutiles dans le profil où sont reçues les communications importantes.

Vérification du fichier APK et de l'application en présence de plusieurs utilisateurs

GrapheneOS propose des mécanismes pour vérifier l'intégrité du système et des applicationsMais lorsque vous utilisez plusieurs profils, la question se pose de savoir comment tout auditer. Il est important de comprendre que Chaque utilisateur dispose de sa propre instance des applicationsSi vous installez la même application sur deux profils, en interne, il s'agit d'installations distinctes, chacune avec ses propres données et paramètres.

Pour vérifier ce qui est installé et sa légitimité, vous pouvez utiliser le gestionnaire d'applications pour chaque profilils examinent les autorisations et les détails. Les utilisateurs plus techniques ont recours à des outils comme App Manager (dans les environnements d'analyse avec accès root temporaire, par exemple KernelSU) pour inspecter les signatures, les UID et les contextes SELinux de toutes les applications. Une analyse en conditions réelles a montré que les applications Google dans des environnements sandbox sont signé par Google Inc. avec leurs certificats habituelset que les certificats système de GrapheneOS sont indépendants, confirmant ainsi que Google Play ne fonctionne pas en tant que composant système.

Installez et configurez le bac à sable Google Play étape par étape.

Si vous avez besoin du Play Store pour des opérations bancaires, le travail ou certains achats payants, vous pouvez Installer le sandbox Google Play dans un profil spécifique suivre une séquence raisonnable pour éviter les problèmes.

1. Créez un profil utilisateur dédié à Google.

Dans Paramètres > Système > Utilisateurs multiples, vous pouvez Ajouter un nouvel utilisateur avec un nom descriptifPar exemple, « Google » ou « Play ». Lors du premier lancement, vous suivrez un court assistant de configuration. Il est recommandé que Gardez ce profil aussi minimaliste que possible.: uniquement les applications qui nécessitent réellement les services Google Play, sans dupliquer l'intégralité de votre écosystème depuis votre profil principal.

2. Installez les composants Google depuis l'App Store de GrapheneOS.

Dans ce profil, ouvrez le Boutique d'applications GrapheneOS intégrée et localisez les composants : Google Play Services, Google Services Framework et Google Play Store. La chose la plus judicieuse à faire est : Installez-les dans cet ordre Pour éviter les erreurs de dépendance interne, après chaque installation, examinez attentivement les autorisations demandées et prenez une décision. Ce que vous allez accorder et ce que vous allez refuser dès le début.

3. Ajuster les autorisations, les capteurs et l'activité en arrière-plan

L'un des avantages du bac à sable est que vous pouvez être très strict en matière d'autorisations : refuser l'accès permanent au lieu et l'accorder uniquement lorsqu'une application spécifique en a besoin, révoquer l'accès aux contacts s'il n'est pas essentiel, bloquer le microphone et la caméra lorsqu'ils ne sont pas utilisés, etc. De plus, GrapheneOS permet contrôler l'activité en arrière-plan et l'accès au réseau application par application, ce qui réduit à la fois la télémétrie inutile et la consommation de batterie.

4. Choisissez ou créez le compte Google que vous utiliserez.

Si la confidentialité est votre priorité, de nombreux utilisateurs recommandent Utilisez un compte Google distinct qui ne soit pas étroitement lié à votre identité principale.Il est courant de créer le compte via un VPN, un numéro de téléphone secondaire (le cas échéant) et, si des achats sont prévus, des cartes virtuelles ou prépayées, selon les conditions générales du fournisseur. Savoir comment procéder est utile, lorsque c'est possible.

Une fois que vous avez le compte, Connectez-vous au Play Store uniquement depuis votre profil « Google ».Tous les achats, abonnements et licences seront associés à ce compte et à ce profil spécifiques. Les autres profils n'auront même pas connaissance de l'existence de ce compte, ce qui contribue à limiter l'exposition des données.

Utilisation concrète du bac à sable : applications payantes, notifications et compatibilité

En pratique, de nombreux utilisateurs de GrapheneOS n'ont besoin que de Google Play. pour quelques applications payantes ou très spécifiques que vous ne trouverez ni sur F-Droid ni sous forme de fichiers APK. On parle, par exemple, de lecteurs multimédias haut de gamme, de clients Jellyfin dédiés, d'applications professionnelles sous licence du Play Store, etc.

Le flux typique est Démarrez le profil « Google » uniquement lorsque des applications doivent être installées ou mises à jour.Ne conservez que les applications qui dépendent des services Google Play et configurez soigneusement les mises à jour automatiques. Ainsi, La durée d'activité des services Google est réduite au minimum. sur l'appareil, et il est préférable de contrôler quelles modifications de version sont prises en compte.

En termes de compatibilité, la plupart des applications qui utilisent Firebase Cloud Messaging (FCM) pour les notifications push Elles continuent de fonctionner correctement dans l'environnement isolé grâce à la couche de compatibilité GrapheneOS. Toutefois, si vous restreignez trop les autorisations, bloquez l'accès au réseau ou arrêtez les processus en arrière-plan, certaines notifications peuvent être retardées, voire échouer dans des cas extrêmes.

Comparaison avec d'autres ROM axées sur la confidentialité

Dans l'univers des ROM Android, GrapheneOS se positionne à l'extrême en matière de sécurité et de durcissement maximum.D'autres alternatives, telles que CalyxOS, LineageOS ou /e/OS, offrent différents compromis entre confidentialité, compatibilité avec les appareils et facilité d'utilisation.

CalyxOS met également l'accent sur la confidentialité.Il fonctionne sur Pixel et quelques autres appareils et inclut généralement microG pour émuler certains services Google moins connus. LineageOS, quant à lui, Il est beaucoup plus flexible en matière de compatibilité matérielleCependant, il n'atteint pas le niveau de sécurité de GrapheneOS. /e/OS privilégie son propre écosystème de services cloud et une expérience utilisateur plus conviviale, sacrifiant certaines couches de sécurité avancées au profit de la simplicité d'utilisation ; une autre alternative axée sur la confidentialité est… Volla OS.

Limitations, obstacles et type d'utilisateur cible

Tout n’est pas un avantage : GrapheneOS ne prend officiellement en charge que les appareils Pixel.Si votre appareil utilise d'autres marques, vous devrez envisager une migration ou la recherche d'une autre ROM. De plus, certaines applications avec DRM ou validations d'intégrité très strictes (Certaines applications bancaires, services de streaming HD, outils d'entreprise) peuvent ne pas fonctionner, même si la compatibilité s'améliore avec le temps.

Il y a aussi courbe d'apprentissage initialeComprendre les profils utilisateurs, gérer les autorisations en détail, s'habituer aux boutiques d'applications alternatives et accepter que l'expérience ne soit pas aussi intuitive que sur Android ou iOS font partie intégrante du processus. L'assistance repose principalement sur la communauté, la documentation et les forums techniques, ce qui peut constituer un inconvénient pour ceux qui hésitent à expérimenter.