GuardDo Pixel: смартфон с двумя пространствами и системой экстренной защиты данных
Главной особенностью системы стали два изолированных пространства, различные сценарии экстренного удаления информации и набор встроенных инструментов приватности.
Внешне GuardDo Pixel практически не отличается от обычного Google Pixel. Основные изменения находятся на уровне операционной системы. По состоянию на октябрь 2026 года GuardDo продаёт готовые устройства разных поколений Pixel, а для некоторых новых моделей предлагает отдельную лицензию, позволяющую установить GuardDoOS на собственный смартфон. В качестве аппаратной основы используются именно Google Pixel, среди причин разработчик указывает наличие аппаратного модуля безопасности Titan M2.
Два пространства
Центральная функция GuardDoOS — разделение телефона на так называемые белое и серое пространства.
Белое пространство предназначено для обычного использования. В нём могут находиться повседневные приложения, контакты и другие данные, которые не требуется скрывать. Интерфейс такого пространства должен выглядеть максимально близко к обычному Android.
Серое пространство предназначено для конфиденциальной информации. Для каждого пространства используется свой пароль или отпечаток пальца. Какое окружение откроется после разблокировки, зависит от введённых учётных данных.
GuardDo утверждает, что пространства изолированы друг от друга, а из белой среды невозможно определить наличие серой через стандартный интерфейс телефона. Таким образом, вместо обычного переключателя профилей пользователь получает два разных варианта разблокировки одного устройства.
В этом заключается одно из основных отличий GuardDoOS от стандартных пользовательских профилей Android и реализации нескольких профилей в GrapheneOS. В последних наличие дополнительных пользователей или профилей само по себе не ставит задачу скрыть факт их существования. GuardDo, напротив, проектирует второе пространство именно как скрываемую среду.
Экстренное удаление данных
Вторая крупная особенность GuardDo Pixel — большое количество сценариев уничтожения или очистки информации.
Согласно официальной документации, GuardDoOS позволяет настроить отдельный пароль или отпечаток для стирания данных, автоматическое удаление после определённого количества неверных попыток разблокировки, уничтожение после длительного бездействия и реакцию на включение режима полёта. В панели быстрых настроек также предусмотрены функции «Паника» и «Уничтожить телефон».
В более новых версиях системы разработчик также заявляет удалённое уничтожение данных с помощью SMS с заранее определённой кодовой фразой.
Не все механизмы означают одно и то же. Часть функций удаляет пользовательские данные или приложения, тогда как более радикальные сценарии производитель описывает как уничтожение информации с невозможностью последующего восстановления. Поэтому конкретное поведение зависит от выбранного режима и версии GuardDoOS.
Такие функции требуют осторожной настройки. Ошибочно заданный сценарий автоматического уничтожения способен привести к потере собственных данных пользователя, поэтому GuardDo отдельно предусматривает резервное копирование на зашифрованные накопители или сервер.
Google-сервисы и приложения
GuardDoOS может использоваться без обычного Google-аккаунта и стандартного набора сервисов Google. Для установки программ разработчики предлагают собственный магазин приложений, работающий без персональной учётной записи Google.
Это уменьшает объём информации, напрямую связанной с аккаунтом пользователя, однако отсутствие Google-аккаунта само по себе не делает устройство анонимным. SIM-карта, оператор связи, IP-адрес, устанавливаемые приложения, браузерная идентификация и действия самого пользователя по-прежнему способны создавать идентифицирующие данные.
Разработчик также заявляет возможность маскировать информацию о SIM-карте от приложений и использовать разные SIM в разных пространствах.
Сеть и обход блокировок
В GuardDoOS интегрированы сетевые инструменты, предназначенные для доступа к ресурсам в условиях фильтрации трафика. GuardDo заявляет встроенные VPN-серверы, механизм обхода DPI, прокси для Telegram и подмену географического положения.
Таким образом, пользователю не требуется обязательно устанавливать отдельное VPN-приложение для базового обхода сетевых ограничений. При этом использование встроенного VPN не означает полной сетевой анонимности: доверие просто переносится с интернет-провайдера на оператора используемой VPN-инфраструктуры.
USB и защита при блокировке
GuardDoOS позволяет изменять режим работы USB-порта. Например, можно запретить передачу данных при заблокированном устройстве, оставив только зарядку.
Это уменьшает поверхность атаки в ситуации, когда посторонний человек получает физический доступ к телефону и пытается взаимодействовать с ним через USB. Похожие принципы используются и в других системах с повышенными требованиями к безопасности.
Защищённый мессенджер
Для защищённой связи GuardDo предлагает решение на базе XMPP и клиента Conversations. Упоминаются OMEMO, PGP, групповые чаты и зашифрованные звонки.
Пользователь может использовать инфраструктуру GuardDo либо собственный сервер. Возможность контролировать серверную часть особенно важна для организаций и закрытых групп, которые не хотят полностью зависеть от инфраструктуры производителя телефона.
Сам XMPP при этом не является уникальной технологией GuardDo. Это давно существующий открытый протокол обмена сообщениями. Безопасность конкретной переписки зависит от используемого клиента, реализации шифрования, конфигурации сервера и поведения участников.
GuardDo Pixel и GrapheneOS
GuardDo Pixel часто сравнивают с GrapheneOS, поскольку обе системы используют смартфоны Google Pixel, однако проекты решают несколько разные задачи.
GrapheneOS делает основной акцент на усилении безопасности Android: защите памяти, изоляции приложений, минимизации привилегий сервисов Google, verified boot и других системных механизмах.
GuardDoOS делает заметный акцент на другом сценарии — физическом доступе к уже существующему устройству. Отсюда появляются скрытое пространство, специальные пароли, режим паники и различные сценарии удаления информации.
Поэтому GuardDo нельзя воспринимать просто как «ещё один GrapheneOS». Это отдельная модель защиты, ориентированная в том числе на ситуацию, когда смартфон оказывается не у владельца.
Насколько GuardDo действительно защищён
Здесь необходимо разделять реализованные функции и заявления об их эффективности.
GuardDo заявляет, что скрытое пространство не обнаруживается средствами Cellebrite UFED, а система способна противостоять ряду методов мобильной форензики и шпионскому ПО. На страницах устройств встречаются также заявления о защите от Pegasus и невозможности удалённого доступа к камере и микрофону.
Однако подобные формулировки нельзя считать доказательством абсолютной защищённости.
В сентябре 2026 года GuardDo сообщил, что система прошла независимый аудит безопасности, но на момент публикации подробности этого аудита ещё не были представлены: компания указала, что собирается опубликовать их отдельно.
Одновременно сторонний проект GemiGuard опубликовал собственную проверку GuardDo Pixel. Авторы сообщили, что не смогли воспроизвести систему из опубликованных исходников и не нашли в доступных репозиториях часть компонентов, отвечающих за наиболее интересные функции GuardDoOS. Они также указали на отсутствие публичных результатов заявленных испытаний. Эти выводы являются позицией авторов GemiGuard, а не подтверждением наличия уязвимости или компрометации GuardDo.
Поэтому корректнее считать GuardDo Pixel интересным специализированным решением с необычной архитектурой, безопасность которой должна оцениваться не только по количеству функций, но и по возможности независимо проверить их реализацию.
Анонимность не создаётся одной прошивкой
Даже максимально защищённый смартфон не способен автоматически сделать своего владельца анонимным.
Устройство остаётся подключённым к мобильным сетям и интернету. Оператор связи видит работу SIM-карты и базовых станций, сетевые сервисы получают IP-адреса и другую техническую информацию, а установленные приложения могут собирать собственные идентификаторы.
Если пользователь входит в личные аккаунты, использует номер телефона, повторяет привычные маршруты, хранит резервные копии в доступном облаке или смешивает разные цифровые личности, возможности защищённой операционной системы становятся значительно менее важными.
GuardDo Pixel следует рассматривать прежде всего как инструмент защиты устройства и находящихся на нём данных, а не как готовую кнопку «стать анонимным».
Итог
GuardDo Pixel представляет собой необычный российский проект защищённого смартфона на базе Google Pixel. Его главные особенности — два изолированных пространства с разными способами разблокировки, скрытая конфиденциальная среда, многочисленные сценарии экстренного удаления данных, собственный магазин приложений, интегрированные сетевые средства, настраиваемый USB и возможность использования защищённой XMPP-связи.
По набору функций GuardDoOS заметно отличается от обычного Android и от проектов вроде GrapheneOS. Особенно выделяется ориентация на сценарии физического изъятия устройства и сокрытие самого факта существования второго пространства.
При этом заявления о противодействии Cellebrite, Pegasus и других возможностях защиты необходимо воспринимать с учётом доступных доказательств. Наличие необычных функций ещё не означает абсолютной неуязвимости, а часть наиболее серьёзных заявлений GuardDo по состоянию на октябрь 2026 года всё ещё нуждается в полноценной публичной и независимо воспроизводимой проверке.
Комментарии