2026-05-27 · Tor, ダークウェブ, tech

GrapheneOS OPSEC Tip

GrapheneOS運用に於いて…

ここで発見したヒントの文章を和訳して載せるものです。https://dreadytofatroptsdj6io7l3xptbet6onoyno2yv7jicoxknyazubrad.onion/post/7f1011eb2055623e5081

GrapheneOS 上級 OPSEC Tips（日本語訳）

お役に立てれば幸いです。他に有用なTipsがあればコメントを！(soichiでなく原文のやつが言ってる)

クリーンインストール直後、最初の起動後すぐにファクトリーリセットを実施。その後、機内モードを有効にした状態でセーフモードでAuditorをセットアップすること。信頼できる第2デバイスとQRコードでローカル検証を行い、メールアラートつきのリモートチェックも設定する。ほとんどのユーザーはこの手順を省略しており、セットアップ中や後から何かが混入しても気づかないままになる。

自動再起動を最大4〜12時間に設定する（Security設定から。オーナープロファイルが全プロファイルを制御）。デフォルトの18時間では、端末を手放した際にデータが復号されたままRAMに残る時間が長すぎる。定期的な完全再起動により端末は静止状態に戻り、容易には回避できない。

USB-Cポートを「充電のみ」に設定する（「ロック時」オプションは避けること）。これによりOSが起動する前にハードウェアレベルでデータ線と代替モードが無効化され、充電経由の攻撃を軽減できる。標準のトグルより強力。

Security > その他のセキュリティとプライバシーで「新しいアプリにセンサー権限を付与」をグローバルで無効化し、すべてのプロファイルで同様に設定する。アプリにはゼロ値または偽のセンサーデータが返される（画面自動回転は正常に機能する）。センサーは多くのユーザーが見落とす動作・方向データを漏洩する。

アプリインストール時、インストールダイアログでネットワーク権限を拒否する（インターネットアクセスが絶対に必要なアプリを除く）。これによりプロファイル間のローカルホスト通信もブロックされ、悪意あるアプリによる攻撃対象が大幅に縮小される。

- *補足：GrapheneOSはストック版より厳密に適用される。アプリはスケジュールされたジョブをクラッシュさせることなく単純に「ネットワークなし」と認識する。*

使用していないセカンダリプロファイルやPrivate Spaceは、ロック画面または電源メニューの「セッション終了」を使用する。これにより再起動なしで即座に暗号鍵がRAMとセキュアエレメントから削除される（オーナープロファイルには影響しない）。

緊急消去PIN/パスワードをSecurityで有効化する。ロック画面でこれを入力すると、復旧不可能なワイプと即時シャットダウンが実行される（eSIMも含む）。誤入力やタッチミスしないよう、自然に見える短いコードを選ぶこと。

PIN スクランブルをすべてのロック解除手段で有効化する（SIM PINも含む）。キーパッドのランダム配置により、肩越しの盗み見やスマッジ攻撃（監視カメラのある公共空間や周囲の人間による盗撮など）を防ぐ。

Wi-FiとBluetoothの自動無効化タイマーを2分に設定する（オーナープロファイルで設定すれば全プロファイルに適用）。モバイルネットワーク設定でLTEのみモードを使用し、セルラー無線の攻撃対象を縮小する。

すべての非オーナープロファイルで、ユーザーとプロファイル設定の「アプリのインストールを許可」を無効化する。インストールはオーナープロファイル経由で行い、「利用可能なアプリをインストール」で配布する。日常的な攻撃対象を最小化し、不正なサイドロードを防ぐ。

---

これらの手順は、ドキュメントをきちんと読むユーザーと長期的に安全を保つユーザーを分ける。端末はいつ物理的に押収されるか、遠隔アクセスされるかわからないものとして扱うこと。

---

すべてのユーザープロファイルはオーナープロファイルのタイムゾーンを継承する。アプリはこれを読み取りフィンガープリンティングに利用できる。
物理SIMがあり機内モードをオフにすると、アプリはキャリアや地域を検出できる。
物理アクセスがあれば、オーナープロファイルからセカンダリプロファイルにインストールされたアプリを確認できる。Private Spaceはこれを軽減する（Securityで有効化）。
オーナープロファイルでリスクのある・違法なソフトウェアは実行しないこと。
ハードなデバイスフィンガープリンティングを避けるため、アプリをインストールする代わりにブラウザを活用する。KeePassXCを使い、終了時にCookieとサイトデータを消去し、端末に暗号化されていないファイルを保存しないようにする。
マルチホップ対応VPN（Mullvadなど）を使う場合、プロファイルをまたいでマルチホップを活用する。エントリーホップはプライマリプロファイルと共有しつつ、セカンダリではエグジットホップを変える（ISPは最初のホップしか見えず、サイトは最後のホップしか見えない）。

- 例：オーナー：米国→ブラジル　/　セカンダリ：米国→スイス

セカンダリプロファイルとPrivate Spaceの権限管理は厳格に。セカンダリプロファイルでGoogleアプリは避けること（Googleはフィンガープリンティングとクロスプロファイル紐付けに長けている）。
F-Droidを使い、署名を検証する。オープンソースを優先すること（透明性・テレメトリ排除などの明白な理由から）。
MACアドレスは接続ごと・セッションごとにランダム化する。
セカンダリプロファイルとPrivate Spaceには長いパスフレーズを使用する。ランダムな単語8〜16個を目安とし、紙に書き留めるのではなく覚えやすい単語を選ぶこと。

---

お読みいただきありがとうございました！