В GrapheneOS для такого разделения используются профили пользователей и Private Space. Они обеспечивают изоляцию приложений и данных, но не гарантируют сокрытия самого существования дополнительного пространства. Аварийный пароль Duress Password выполняет другую задачу: уничтожает данные устройства.
Профили пользователей
Пользовательский профиль представляет собой отдельное рабочее пространство со своими экземплярами приложений, настройками и пользовательскими данными. Например, один и тот же мессенджер может использоваться в двух профилях с разными аккаунтами.
Приложения одного профиля не получают обычного доступа к приложениям и данным другого. Это позволяет разделять деятельность, которой требуется разный набор программ и разрешений. Само разделение не отменяет изоляцию отдельных приложений: она действует и внутри каждого профиля.
Основной профиль, обозначаемый как Owner, имеет особое назначение. Он хранит часть общесистемных данных и используется для управления устройством. После перезагрузки сначала требуется разблокировать основной профиль, прежде чем станут доступны остальные.
При этом административные возможности владельца не означают доступа к содержимому других профилей. Владелец может удалить дополнительного пользователя, но не получает его расшифрованные данные только благодаря своему статусу.
Шифрование и завершение сеанса
Для профилей используются отдельные ключи шифрования. Пароль или PIN участвует в механизме защиты ключей, а не служит непосредственной заменой случайно созданного ключа.
GrapheneOS позволяет завершить сеанс дополнительного пользователя с помощью функции End session. При этом приложения профиля останавливаются, а его ключи шифрования удаляются из оперативного состояния системы.
Переключение на другого пользователя и завершение сеанса имеют разный результат. Переключение само по себе не равнозначно возвращению данных в состояние покоя. Для основного профиля аналогичный результат требует перезагрузки устройства.
Поэтому дополнительный профиль подходит для данных, доступ к которым нужен периодически: его можно разблокировать на время работы и затем завершить сеанс без перезагрузки всего телефона.
Private Space
Private Space, или приватное пространство, предназначено для отдельного набора приложений внутри пользовательской среды. Оно позволяет отделить личные приложения от основного списка и защитить доступ к ним дополнительной блокировкой.
В стандартной модели Android при блокировке Private Space его приложения скрываются из ряда элементов интерфейса, включая список недавних приложений и уведомления. Такое поведение отличается от обычной папки или функции скрытия значков: приватное пространство является отдельной средой для приложений.
Для создания Private Space используется раздел настроек безопасности и конфиденциальности. Во время настройки можно выбрать отдельный способ блокировки. Для приложений внутри пространства создаются самостоятельные экземпляры; установка программы в основном пространстве не означает автоматического переноса её данных в приватное.
Использование одного облачного аккаунта в обоих пространствах может снова связать разделённые данные через синхронизацию. Например, история, фотографии или документы могут появиться в другой среде после входа в тот же сервис.
Почему это не скрытая операционная система
Профиль пользователя не является второй установленной операционной системой. Профили используют общее ядро и системные компоненты устройства.
Скрытие Private Space из интерфейса также не делает его существование технически недоказуемым. Документация Android прямо указывает, что приватное пространство может обнаруживаться при доступе с компьютера, через диагностические сведения и в некоторых случаях через приложения.
Таким образом, защита содержимого и сокрытие существования пространства являются разными свойствами. Private Space предназначено для ограничения доступа и видимости приложений, но не предоставляет гарантии правдоподобного отрицания наличия данных.
Google Play и разделение приложений
GrapheneOS поддерживает установку Google Play в обычной песочнице приложений. Сервисы Google не получают стандартных для заводских прошивок системных привилегий.
Их можно установить только в тот профиль, где они необходимы. Например, приложения, зависящие от Google Play, могут находиться в одном пространстве, а остальные программы — в другом.
Такое разделение ограничивает область взаимодействия приложений и сервисов, однако вход в один и тот же интернет-аккаунт остаётся способом связать действия пользователя независимо от профиля.
VPN в разных пространствах
Настройки VPN разделяются между пользователями, рабочими профилями и Private Space. Подключение VPN в основном профиле не означает автоматической защиты сетевого трафика всех остальных пространств.
Если для дополнительного пространства требуется VPN, его подключение и блокировку соединений вне туннеля настраивают отдельно. Проверка внешнего адреса также проводится из приложения, запущенного именно в проверяемом пространстве.
Аварийный пароль
Duress PIN/Password является функцией необратимого удаления данных. Ввод настроенного аварийного кода в предусмотренном системой запросе учётных данных запускает очистку устройства, включая установленные eSIM.
Этот механизм не открывает запасной рабочий стол и не переключает пользователя на «безопасный» профиль. Он также не ограничивается удалением одного выбранного пространства. Документация GrapheneOS указывает, что очистка не требует перезагрузки и не может быть прервана.
Проверка аварийного пароля путём его ввода на устройстве с нужными данными приводит к реальному удалению.
Границы разделения
Профили и Private Space позволяют уменьшить пересечение приложений, локальных данных и разрешений. Они не устраняют связь, которую пользователь создаёт самостоятельно: общими аккаунтами, одинаковыми контактами, синхронизацией или передачей файлов между пространствами.
Термин «двойное дно» поэтому описывает бытовой сценарий использования нескольких сред. Технически его основой являются изоляция профилей, отдельная защита данных и управление состоянием их разблокировки.
Комментарии