GrapheneOS, приватність-орієнтована прошивка на базі AOSP, яку понад десять років розвиває команда під керівництвом розробника Деніела Мікая, повідомила у дописі на власному Mastodon-інстансі grapheneos.social про плани підтримати флагманські смартфони Motorola — перші сумісні моделі очікуються орієнтовно у 2027 році. За даними HackerNews, це перший публічно підтверджений крок проєкту до виходу за межі єдиної офіційно підтримуваної лінійки пристроїв — Google Pixel.

Питання, яке варто поставити одразу: чому взагалі один з найвідоміших проєктів з посилення приватності на Android за понад десятиліття роботи так і не вийшов за межі одного виробника смартфонів? Відповідь має мало спільного з бажанням команди і багато — з тим, наскільки жорсткі апаратні вимоги ставить сама модель безпеки GrapheneOS.

Це не косметичне обмеження. Кожен пристрій, на якому працює GrapheneOS, повинен мати апаратний корінь довіри, який власник може перепрошити власними криптографічними ключами, і виділений захищений процесор для зберігання ключів шифрування диска, PIN-кодів і токенів автентифікації. Google будує такі компоненти в Pixel самостійно ще з 2017 року. Жоден інший масовий Android-виробник історично цього не робив — тому список сумісних телефонів GrapheneOS довгий час складався з одного рядка: Pixel.

Саме тому новина про Motorola — це не просто розширення асортименту. Це перевірка гіпотези, яку GrapheneOS публічно формулювала ще кілька років тому: чи можна відв'язати приватність рівня спецслужб від залежності від доброї волі одного виробника, який до того ж є найбільшим у світі збирачем даних про користувачів.

Звідки взялася повна залежність GrapheneOS від одного виробника?

Проєкт веде родовід від CopperheadOS — прошивки, яку з 2014 року розвивала канадська компанія Copperhead Security Group для урядових і корпоративних клієнтів, що потребували Android без сервісів Google у моделі загроз. Після внутрішнього конфлікту 2018 року частина команди на чолі з Мікаєм заснувала GrapheneOS з тим самим технічним фундаментом, але без комерційної прив'язки до одного клієнта.

Ключова технічна причина, чому вибір впав саме на Pixel, а не залишився відкритим: Android Verified Boot — механізм, що на кожному етапі завантаження перевіряє криптографічний підпис наступного компонента, від бутлоадера до ядра. У стандартній конфігурації ключі підпису належать виробнику, і будь-яка альтернативна прошивка вважається пристроєм недовіреним. GrapheneOS вирішує це не відключенням перевірки, як роблять більшість кастомних прошивок, а заміною виробничих ключів на власні — після чого пристрій знову проходить повний ланцюжок перевірки, просто довіряє іншому підписанту. Google дозволяє власникам Pixel робити це офіційно, командою fastboot flash avb_custom_key. Більшість інших виробників або взагалі не надають такої можливості, або назавжди вимикають апаратний захищений елемент і атестацію ключів одразу після розблокування бутлоадера — телефон технічно завантажує альтернативну систему, але втрачає весь сенс апаратної безпеки.

Titan M2 і чому «розблокований бутлоадер» — це ще не рівень Pixel

Другий блокер — виділений захищений процесор. У Pixel це чіп Titan M2, окрема мала система на кристалі, фізично ізольована від основного процесора, яка зберігає ключі шифрування Android Keystore, лічильники невдалих спроб розблокування і протидіє фізичним атакам на витяг пам'яті. Без такого модуля диск усе ще можна зашифрувати програмно, але ключ шифрування зрештою опиняється доступним основній операційній системі — а отже, будь-якому шкідливому коду, що отримав root-доступ. GrapheneOS у власній документації прямо називає наявність сертифікованого StrongBox-модуля обов'язковою, а не бажаною вимогою для підтримки пристрою.

Як технічно виглядає портування GrapheneOS на нове залізо — і чому саме зараз?

Тут з'являється частина, яка робить новину про Motorola правдоподібною, а не черговою нездійсненною обіцянкою. Останні кілька років Google сама намагається розв'язати проблему, яку GrapheneOS роками ставила виробникам: як дати рядовому виробнику апаратний захист рівня Titan M без витрат на розробку власного кремнію. Відповідь — Android Ready SE Alliance, ініціатива, яку Google запустила у 2022 році разом із постачальниками захищених елементів на кшталт Thales і Kigen. Вона дає виробникам сертифікований, готовий до інтеграції захищений чіп і референсний прошивковий стек, які за рівнем гарантій наближаються до Titan M — без потреби з нуля будувати власний захищений процесор.

Паралельно Google просуває Generic Kernel Image і Project Treble — стандартизацію ядра і апаратного прошарку Android, яка робить складання альтернативних прошивок під нове залізо на порядок дешевшим, ніж десять років тому, коли кожен виробник ліпив власний форк ядра з непередбачуваними патчами.

Разом ці дві речі знімають два з трьох головних бар'єрів, які раніше робили портування GrapheneOS на не-Pixel пристрій економічно недоцільним для команди з менш ніж двадцяти постійних розробників: більше не треба вмовляти виробника розробляти власний захищений чіп, і не треба вручну підтримувати унікальний форк ядра для кожної моделі. Лишається третій бар'єр — контрактний: виробник повинен офіційно дозволити заміну ключів верифікованого завантаження і гарантувати оновлення прошивки на роки вперед, а це вже питання не інженерії, а бізнес-переговорів.

Чому саме 2027, а не найближчий квартал

Дворічний горизонт, який фігурує у За даними HackerNews дописі GrapheneOS, узгоджується з типовим циклом розробки флагманського Android-пристрою: від вибору чипсета і узгодження безпекових вимог з постачальником до виходу готового телефону на ринок минає зазвичай 18–24 місяці. Якщо йдеться про модель, вимоги до апаратного кореня довіри якої узгоджені ще на етапі проєктування, а не додані заднім числом, дата 2027 рік виглядає реалістичною нижньою межею, а не маркетинговим круглим числом.

Чим кандидатура Motorola відрізняється від Fairphone, Sony чи OnePlus?

GrapheneOS роками отримувала пропозиції від спільноти підтримати інші пристрої, і майже завжди публічно пояснювала, чому конкретна модель не проходить поріг. Sony Xperia історично залишається улюбленцем спільнот кастомних прошивок, таких як LineageOS, саме тому, що Sony офіційно публікує образи ядра і дозволяє розблокування бутлоадера — але не пропонує заміну ключів верифікованого завантаження і не встановлює окремий сертифікований захищений елемент, тому розблокований Xperia не дотягує до моделі загроз GrapheneOS і лишається на рівні звичайної кастомної прошивки. Fairphone робить ставку на ремонтопридатність і етичне походження компонентів, а не на апаратну безпеку, і теж не має еквівалента Titan M. OnePlus і Xiaomi у минулому пропонували розблокування бутлоадера, але на низці моделей воно назавжди спалює апаратний запобіжник, який вимикає атестацію довіреного середовища виконання — безпека приноситься в жертву самою можливістю розблокування, а не навпаки.

Motorola як кандидат має два практичні активи, яких бракує іншим претендентам. По-перше, лінійка ThinkPhone, побудована материнською Lenovo під впливом корпоративного досвіду ThinkPad, вже орієнтована на корпоративних замовників з вимогами до апаратної безпеки — інженерна культура і частина ланцюжка постачання, потрібні для сертифікованого захищеного елемента, там уже частково є. По-друге — і це важливо саме для GrapheneOS з її акцентом на доступність приватності поза межами заможних ринків — Motorola продається офіційно в набагато ширшому переліку країн, ніж Pixel, включно з Латинською Америкою, Індією та частиною Африки, куди Google свій флагман або взагалі не завозить, або завозить обмеженими партіями через посередників.

Що це дає тим, хто будує privacy-first продукти на Android зараз?

Для розробників і компаній, чий продукт залежить від довіреного апаратного кореня — гаманці апаратних ключів, корпоративні рішення з нульовою довірою, месенджери для роботи в юрисдикціях з високим ризиком стеження — розширення апаратної бази GrapheneOS означає три речі.

Водночас варто одразу зняти завищені очікування: до появи перших реальних пристроїв у продажі жодна з цих переваг не є доступною сьогодні. Усе, що є станом на середину 2026 року, — це намір, підкріплений технічною спроможністю, але не підписаний і не задокументований публічно контракт.

Що може піти не так із планом на 2027 рік?

Найбільший ризик — не технічний, а організаційний. GrapheneOS — команда з украй обмеженими ресурсами порівняно з масштабом задачі: підтримка кожної додаткової лінійки пристроїв означає окремий цикл тестування регресій безпеки, окремий набір патчів ядра, окремий графік випуску оновлень синхронно з апстрімом AOSP. Розширення на другого виробника подвоює цей операційний тягар без пропорційного зростання команди, а GrapheneOS історично фінансується пожертвами і невеликим числом донорів, а не венчурним капіталом.

Другий ризик — репутаційний парадокс, специфічний саме для аудиторії, яка обирає GrapheneOS через недовіру до великих корпорацій зі збору даних. Motorola належить китайській Lenovo з 2014 року, і частина спільноти навколо приватності Android вже публічно ставила питання про довіру до ланцюжка постачання компонентів безпеки виробника, підконтрольного юрисдикції з іншими вимогами до розкриття даних державі, ніж у США. GrapheneOS доведеться публічно й детально пояснювати модель загроз для нового заліза — інакше частина найбільш вимогливої аудиторії просто не перейде з Pixel.

Третій ризик — відсутність гарантій зі сторони Motorola щодо тривалості підтримки. Google офіційно обіцяє Pixel сім років оновлень безпеки, починаючи з моделі Pixel 8 — рекордний для Android термін. Якщо Motorola не візьме на себе порівнянне зобов'язання, GrapheneOS ризикує опинитися в ситуації, коли апаратна платформа технічно сумісна, але виробник перестає постачати оновлення прошивки задовго до кінця життєвого циклу пристрою — а без свіжих патчів базового рівня навіть найкраща надбудова над AOSP не закриває реальні вектори атаки.

Нарешті, дворічний горизонт — це достатньо часу, щоб плани змінилися: Lenovo може переглянути пріоритети, партнери з виробництва захищених елементів — змінити умови ліцензування, або сама GrapheneOS зіткнеться з ресурсними обмеженнями, які змусять відкласти запуск. Схожі анонси в індустрії кастомних Android-прошивок і раніше зникали без пояснень — досить згадати, скільки разів спільнота LineageOS обіцяла і відкладала офіційну підтримку нових флагманів.

Висновок AiiN

Новина про Motorola важлива не тому, що завтра з'явиться новий сумісний телефон — до 2027 року такого телефону не буде фізично. Вона важлива тому, що вперше за понад десять років існування проєкту GrapheneOS публічно підтверджує технічну спроможність вийти за межі однієї апаратної платформи — і робить це не всупереч Google, а частково завдяки інфраструктурі, яку сама Google побудувала для інших цілей.

Наш прогноз на найближчі 6–12 місяців: очікуйте не готового телефону, а поступового розкриття деталей — уточнення вимог до кандидатів на підтримку на сайті GrapheneOS, можливо, публічного переліку критеріїв специфічно під архітектуру Motorola, і, ймовірно, першого dev-preview образу під тестове залізо ще до появи роздрібної моделі. Для команд, що вже будують продукти на GrapheneOS для Pixel, найрозумніша стратегія на цей період — не переписувати архітектуру в очікуванні мультивендорності, а слідкувати за оновленнями вимог до апаратного кореня довіри: саме вони, а не назва бренду на корпусі, визначать, які конкретно моделі Motorola справді потраплять у список підтримки 2027 року.