Pixel 9a向けGrapheneOSの実験的リリース
(grapheneos.social)- Pixel 9aのサポートがまず staging.grapheneos.org で開始され、GrapheneOSのインストール可能デバイス一覧に新モデルを追加する初期検証段階に入った
- 初期配布では CLIインストール とWebインストールの両方をサポートし、Wi‑Fi・カメラ・オーディオといった基本機能を確認した後、ユーザーフィードバックを受ける流れとなっている
- 無線アップグレード経路は2025041200から 2025041201 へのサンプル更新でテストされ、実際の変更はビルド日付とビルド番号のみだった
- 差分アップデートパッケージは完全な新ファームウェアとOSイメージを含みながらも 158KiB に収まり、完全アップデートパッケージも別途検証された
- その後、基本機能とアップグレード経路のテストを通過し、Pixel 9aサポートはもはや 実験的 とは見なされないが、Android 15 QPR1ベースのため一部の最新改善はまだ含まれていない
Pixel 9aの初期配布とインストール経路
- GrapheneOSはPixel 9a向けの 初期の高度に実験的なリリース を staging.grapheneos.org で提供している
- インストールは CLIインストール とWebインストールの両方に対応している
- 2つのインストール方式に加え、基本機能も確認された
- テストされた機能には Wi‑Fi、カメラ、オーディオなどが含まれる
- 初期リリース段階ではユーザーフィードバックが必要だった
アップデート検証と実験状態の解除
- Pixel 9aの 無線アップグレード経路 は、変更点のないサンプルアップデートで内部テストされた
- GrapheneOSは通常、各リリースのアップグレード経路を検証する際にこのようなサンプルアップデートを内部的に使用している
- より広範なテストのため、該当アップデートを各チャネルに配布した
- 最初のアップデートは2025041200から 2025041201 へ移行した
- 変更点はビルド日付とビルド番号のみだった
- 差分アップデートパッケージは完全な新ファームウェアとOSイメージを含みながらも 158KiB だった
- 完全アップデートパッケージもあわせてテストされた
- 基本機能とアップグレード経路はSystem Updaterアプリとrecoveryの両方で検証された
- この段階以降、Pixel 9aリリースをもはや highly experimental と見なす必要はない
- 実験的なPixel 9aリリースは通常のプロダクションWebサイトでも提供され始めた
- Pixel 9aでは標準AndroidとGrapheneOSの機能がすでに動作するはずだ
- 例として、ハードウェアベースの USB‑Cポート制御、ハードウェアメモリタグ付けなどが含まれる
- 主な作業は暫定的なQPR1ベースのデバイスブランチを扱うことだった
- 2025年4月15日時点で、Pixel 9a向けGrapheneOSサポートはもはや実験的とは見なされていない
- まだ Android 15 QPR1 upstream ベースのため、AndroidとGrapheneOSの一部の最新改善は含まれていない
- GrapheneOSはQPR2以降のGrapheneOS変更の大半をバックポートしており、まもなくmainline Androidベースになる予定だ
1件のコメント
Hacker News のコメント
GrapheneOS は好きだが、最大の欠点は Google Integrity API が Google Pay の非接触決済を妨げること
オランダの銀行は今や、非接触決済用に Google Pay のインストールを案内している。Google に GrapheneOS 対応を求めたところ、機能リクエストを出すよう言われ、出したものの返答はなかった
Google と Apple が事実上 非接触決済の寡占を共有し、どの OS ディストリビューションにアクセス権を与えるかを決める構造なので、消費者市場当局に正式に苦情を申し立てた。Google Integrity API が今後、銀行サービスへのアクセス性に影響を与え得ること、また一部の銀行アプリではすでにそうなっていることも説明したが、当局はかなり真剣に受け止めており、今後の回答を期待している
一部の銀行はまだ独自のタップ決済をサポートしている可能性もある。欧州にはそのための標準化されたシステムがあり、多くの銀行が対応している。対応銀行の一覧は https://privsec.dev/posts/android/banking-applications-compa... で確認できる。開発コストを下げるために Google Pay へ大きく移行したが、今後は再び離れていく大きな流れが生まれるかもしれない
Play Integrity API で GrapheneOS の利用をブロックしている企業には、https://grapheneos.org/articles/attestation-compatibility-gu... を送るとよい。この方法なら、検証を維持しつつ GrapheneOS をより安全に許可できる。最近、ユーザーがいくつかの銀行を説得して実装させており、Swissquote は Yuh アプリに実装し、メインの Swissquote アプリにも近く適用されることを期待している。そもそも Play Integrity API を入れないほうがよいが、ユーザーがレビューやサポート依頼を多く残せば、大きな問題だと認識させ、削除するか代替実装に切り替えさせられる可能性がある
すべての国にそうしたアプリがあるべきだと思う。決済システムが米国企業に完全に依存することは望まないはずだ
より大きな問題は、アプリが起動時に Google Play 関連のものを探し回り、ヌルポインタ例外を投げることだった。2か月のうち少なくとも1週間以上、parkmobile、複数のEV充電ネットワークのアプリ、uber、lyft、yelp が失敗した
これが今も問題なのか、それとも最近はもっと安定しているのか気になる。Google Integrity 関連の問題は除外して見た場合の話だ
GrapheneOS は、サンドボックス内に Google Play Services をインストールするまでは、Google が公称するバッテリー駆動時間の2倍以上を示し、インストール後は公称レベルまで落ちた。この点も苦情に加える価値がある。全員のバッテリー寿命を半分にすることは、簡単に数値化できる経済的損害だ。プライバシーは50ドル分のバッテリーを抱き合わせて浪費することより重要だが、Google は難解な言葉や言葉遊びで、プライバシー問題のほうをより簡単にかわすことができる
これがなぜ注目に値するのか最初は戸惑ったが、Pixel 9a は木曜日に出たばかりだった。コミュニティ運営の OS としては非常に速い対応だ
残りの GrapheneOS のカスタマイズはフレームワーク側なので、端末には依存しないと思う。強化目的のカーネル変更はあるかもしれないが、それをポーティングするのがどれほど簡単かは分からない。Pixel 9 シリーズが Pixel 8 より新しいカーネルバージョンを使っているのかも気になる
普段は批判的なほうだが、GrapheneOS チームは評価に値する
Google がバッテリー寿命をなくしてしまったあと、Pixel 4a に GrapheneOS をインストールした[0]。最初に移行したときは動かないものがあってもどかしかったが、今では慣れて、また自分の端末を安全に使っているという感覚がある
端末が自分のもののように感じられ、次に誰が自分をのぞき見したり、突然機能を奪ったりするのか心配しなくて済む
[0] https://grapheneos.social/@GrapheneOS/113917226566692707
だが全体的なアクセス制御と、数か月ごとにほとんど使っていないアプリを確認する機能は非常に実用的だ。ただしスマートフォンでインターネットバンキングはしていない。そういう人たちにとっては現実的に難しいかもしれない。気に入らない唯一の点は、Google Pixel でしか動作しないこと
GrapheneOS は、現在進行中のプロジェクトの中でも最も重要な軸の一つに入ると思う。多くの人がポケットに汎用監視装置を入れて持ち歩きながら、自分がどれほど多くの権限を渡しているのか分かっていない
これらの端末に対する制御権がなく、その事実すら理解していない。GrapheneOS は抵抗する手段を与えてくれる。最新スマートフォンの便利さを手放すのは難しいが、GrapheneOS を使えばその便利さの 90% を保ちながら、監視と攻撃対象領域を大きく減らせる
いまは大きなハードウェアスイッチが 2 つ付いた Pixel があるといい。左右にスライダーを 1 つずつ置き、片方は無線デバイスを切り、もう片方はセンサー（カメラ、マイク）を切る形だ。通話したいときは大きなスライダーを上げてカメラとマイクをオンにすればよい
strcat とチームに感謝。GrapheneOS を使っていないなら検討する価値がある。寄付はこちらから可能: https://grapheneos.org/donate 適切なプログラミング能力があるなら参加してもよい
端末が攻撃に成功されると、文書、写真、動画、ブラウザー履歴、ログインセッション、パスワードなど、すべてのデータを持っていかれる。センサーがオンになっている間は、通話などを含めてセンサーも制御され得る
すべての無線デバイスを切るスイッチは、この脅威モデルではずっと有用性が低い。通常のアプリでも、データをあとで送信するようキューに積む方法を知っているからだ。位置検出を防ぐのが目的なら、無線デバイスだけでなく、すべての無線デバイスとセンサーをオフにする必要がある。攻撃者が無線ファームウェアは悪用できるが、GrapheneOS の IOMMU 分離と強化されたカーネル／ユーザー空間ドライバーのために OS までは越えられない状況なら、潜在的には有用かもしれない。ただし検証済みブートのおかげで、無線デバイスに重要な永続状態がないなら、再起動で無線デバイスの電源が循環する限り、アクセス権は失われる
GrapheneOSがどれほど「プライベート」なのか気になる
標準のAndroidに残るものと比べて、乗り換えるとどれほど得られるのか知りたい
追記: このページが網羅的に見える — https://staging.grapheneos.org/features
望まないアプリにはインターネットアクセス権をオフにして、データを送信できないようにすることもできる
その他の利点の多くは目立ちにくい。さまざまな種類のセキュリティ侵害をはるかに難しくする強化されたメモリアロケータがあり、リソースを消費する不要なバックグラウンドサービスもずっと少ない。こうした内容はWebサイトにさらに多くまとめられており、読む価値がある
重要な機能の多くが1つのセクションにまとまっており、特にエクスプロイト保護のセクションとサブセクションは、セキュリティ面で提供する機能の大きな部分を扱っている。細かな変更を除けばほとんど含まれている。また、特定の機能が標準Android機能になると一覧から削除しており、実装した複数の機能をLinuxカーネルやAndroid Open Source Projectに取り込ませることにも成功している
セキュリティ改善の効果を示す例はこちら: https://discuss.grapheneos.org/d/14344-cellebrite-premium-ju...
スレッドの下の方には2025年2月のCellebrite Premium文書も投稿されており、全体の状況は本質的に似ている
https://discuss.grapheneos.org/d/20401-grapheneos-improvemen...には、2024年初頭以降にデータ抽出への防御をどう改善したかについて一部の詳細がある
標準のPixel OSは、おおむねAOSPにGoogleアプリを深く統合したもの。PixelはAOSPコードと比べて実際に何かを変更しているわけではなく、複数のコンポーネントを自社のものに置き換え、オーバーレイやアプリなどを追加している。AOSPにはすでに、彼らが提供しようとしているものに必要なものが含まれている。Google Playや複数のアプリには、特権権限、SELinux MAC/MLSポリシー（AOSPに含まれる）、各種許可リストなどを通じて広範な特権アクセスが与えられている。また、複数のAOSP APIのバックエンドとしてPlayサービスなどを使用している
主要機能の1つはサンドボックス化されたGoogle Play互換レイヤー。これにより、Google Play services、Google Play Store、Google Searchなどを、特別なアクセス権限を一切持たない通常のサンドボックスアプリとして実行できる。ユーザーはほとんどの機能を使うために、連絡先や位置情報のような通常の非特権権限すら与える必要がない。ただし、Google Mapsの位置情報共有やGoogle Contactsの同期のように、一部の機能にはそうした権限が必要
プライバシーとセキュリティを、日常的に便利なスマートフォンより重視する人向けのOS。一般向けではまったくない
GrapheneOSを本当に好きになりたかったが、標準のAndroidよりもロックダウンされているように感じた。そもそもカスタムOSを求める主な理由は、自分が所有する端末を自分で制御したいから
GrapheneOSは、自分のスマートフォンの制御権をGoogleからGrapheneOSの運営者へ渡すことに近い。自分のスマートフォンがどう動作するかについて、自分には口を出す余地がない
GrapheneOSは、ユーザーが自分の端末を信頼して扱うことはできないと見ているようだ。それでも心配するな、自分たちは何が最善かを知っており、Googleの支配とはまったく別種の支配だ、と言っているようなもの。とにかく信じれば大丈夫、という構造
数カ月後にLineageOSへ移った
GrapheneOSのホームページには「Androidアプリ互換性を備えたプライベートで安全なモバイルOS」とある
「セキュリティ」と「ユーザーがスマートフォンの動作方式を好きに決められること」は正反対の方向だと理解する必要がある。ユーザーが1回タップするだけでサンドボックスを迂回できるなら、そのスマートフォンは安全ではあり得ない。Linuxシステムではユーザーが多くのことを決められるかもしれないが、だからといって安全だと勘違いしてはいけない。
bash -c "$(curl -fsSL [http://](<http://>;)...の1行でやられる可能性がある最近、予備のPixel 4aにGrapheneOSをインストールしたが、ブラウザウィンドウ経由で進んだ。最初はファームウェアフラッシャーのようなものをダウンロードする必要があると思っていたが、Webページから端末を更新した。印象的だった
もう1つ触れておきたい点は、Chromiumがインストールされているので、サンドボックス化されたGoogle Playなどにつなぐ代わりにプログレッシブWebアプリをインストールできること。試してみたプログレッシブWebアプリは、iPhoneやデスクトップ上のものとほぼ同じに見えた
もちろんプログレッシブWebアプリが完全な代替になるにはまだかなり遠いが、理論上は可能。独立したモバイルOSとプラットフォーム非依存のアプリ、Apple/Google IDもアプリストアもなし。今回の試験インストールの目的はそれで、実際に動作した
最近、新しいPixel 9を買ったときにGrapheneOSで良かった点は、以前のPixelスマートフォンだけでインストールがとても簡単だったこと
インストーラーがWebUSBベースなので、Vanadiumブラウザで動作する。2台のスマートフォンをUSBケーブルで接続し、ブラウザから新しいスマートフォンにOSをインストールできた
現時点で足りないのは「転送」やバックアップ機能。アプリを手動で移し、可能なら各アプリ内蔵のインポート/エクスポート機能を使う以外に良い解決策がない
Androidバックアップ基盤の同じ端末間転送モードを使っており、Google Playの転送システムが移すものとまったく同じデータをバックアップするはず。端末間モードを使うため、Google Playのクラウドバックアップよりはるかに多くのデータをバックアップする
ナビゲーションに再びスクリーンショットメニューがあることを一般化すべき。SNSにもWebサイトにもスクリーンショットがない。テキストベースのOSなのかと思う
何年もGrapheneOSを注目しているが、自動通話録音が1つないせいで迷っている
移行したい