Duress PIN в GrapheneOS: код, после которого телефон уже нечего разблокировать

Чужому человеку не обязательно ломать шифрование смартфона. Достаточно заставить владельца назвать код, и многие защитные механизмы теряют смысл. Именно такой провал стандартной модели безопасности закрывает GrapheneOS с помощью аварийного кода Duress PIN. Не изящно. Зато честно.

Что происходит при вводе аварийного кода

GrapheneOS позволяет задать отдельные Duress PIN и Duress Password в профиле владельца. Система требует настроить оба значения, поскольку разные профили устройства могут использовать разные способы разблокировки. Вводить их вместе не нужно: аварийный ПИН-код срабатывает в поле ПИН-кода, аварийный пароль — в поле пароля.

Когда одна из аварийных комбинаций вводится там, где операционная система запрашивает учётные данные устройства, GrapheneOS необратимо стирает содержимое телефона вместе с установленными eSIM. Речь не о скрытом профиле и не о ложном рабочем столе. Телефон уничтожает доступ к прежним данным.

Процедура не требует перезагрузки, не показывает обратный отсчёт и не допускает отмены. Документация GrapheneOS прямо говорит, что стирание невозможно прервать. Единственная встроенная страховка от ошибки работает при совпадении аварийного кода с обычным: в таком случае приоритет получает обычная разблокировка.

• Аварийный код срабатывает не только на экране блокировки, но и в других системных запросах учётных данных устройства.
• Внутренний пароль отдельного приложения не запускает стирание, если приложение не вызывает системную проверку устройства.
• В поле SIM-PIN функция сейчас не работает.
• Duress PIN также срабатывает при вводе ПИН-кода для двухфакторной разблокировки по отпечатку в GrapheneOS.

Необратимость обеспечивается не одной эффектной «кнопкой внутри чипа». Поддерживаемые Pixel используют аппаратно защищённое хранение ключей; в современных моделях такую роль выполняет Titan M2 с поддержкой Android StrongBox. При аварийном стирании GrapheneOS уничтожает аппаратные ключи и другие компоненты, необходимые для расшифровки локальных данных. Файлы без ключей превращаются в бесполезный набор зашифрованных блоков.

Что функция не делает, и почему это важнее

Телефон часто хранит не сами данные, а удобный вход к данным. Разница неприятная, но решающая.

Переписка может оставаться на сервере и у собеседников. Фотографии могут уже лежать в облаке. Банк хранит историю операций независимо от состояния смартфона. Оператор сохраняет сведения о связи, а корпоративная система управления видит устройство со своей стороны. Duress PIN не касается ни одной из этих копий.

Не стоит рассчитывать и на скрытность очистки. GrapheneOS не обещает замаскировать стирание под случайный сбой или показать убедительный пустой телефон. Функция уничтожает локальные данные, но не гарантирует, что сам факт очистки никто не заметит и не попытается интерпретировать.

Есть ещё одна ловушка: если смартфон служит единственным местом хранения кодов восстановления аккаунтов и резервных ключей, стирание одновременно защищает данные от чужих и отрезает владельца от собственных сервисов. Не ошибка системы, а цена функции, которую нужно просчитать заранее.

Когда помогает, а когда вредит

Ограбление. Нападавший требует открыть телефон для доступа к приложениям и личным данным. Владелец вводит аварийный код, локальное содержимое исчезает. Сценарий может сработать, если данные ценнее устройства, резервные копии готовы, а владелец понимает: сам смартфон, скорее всего, потерян.

Но агрессивный человек не обязан спокойно принять экран сброшенного телефона. Данные могут оказаться защищены, а физическая угроза сохранится или усилится. Функция спасает содержимое накопителя, не владельца.

Задержание, обыск, досмотр. Здесь расчёт сложнее. Устройство могут изъять до ввода кода. Заметное стирание могут расценить как сознательное уничтожение информации. Duress PIN не решает такой сценарий автоматически и способен добавить новые риски к уже существующим.

Журналист, адвокат, исследователь. Для людей с чувствительными локальными материалами функция может иметь смысл как часть более широкой подготовки: зашифрованные резервные копии вне телефона, запасной канал связи, понимание облачной синхронизации и юридическая консультация до кризиса, а не после него.

Почему обманный профиль хуже, чем кажется

Идея выглядит красивее: вместо стирания смартфон открывает пустой профиль-приманку. Несколько безобидных приложений, фотографии еды, никаких чувствительных документов. Противник видит скучный телефон и теряет интерес.

Проблема не только в технической реализации. Правдоподобный пустой телефон требует убедительной истории использования: уведомлений, учётных записей, следов приложений, сетевой активности и множества мелочей. Если человек под давлением не сможет объяснить несоответствия, подмена способна усилить угрозу.

GrapheneOS не предлагает обманный профиль как официальную функцию. Стирание тоже не маскирует происходящее, зато даёт предсказуемый результат: локальные данные больше недоступны. В ситуации принуждения плохая инсценировка может оказаться опаснее честной потери телефона.

GrapheneOS, Android и iPhone решают разные задачи

Google и Apple защищают смартфоны прежде всего от кражи с подсмотренным обычным кодом. В Android работает «Проверка личности»: вне доверенных мест система требует биометрию для чувствительных действий, даже если вор знает ПИН-код устройства. У Apple близкую задачу решает защита украденного устройства, которая усиливает биометрическую проверку и задерживает критичные изменения.

Duress PIN закрывает другую угрозу: владельца заставляют самому ввести код. Штатные функции Google и Apple пытаются сохранить телефон рабочим и не дать захватить аккаунты. GrapheneOS предлагает уничтожить локальные данные, когда сохранить доступ уже не получается.

Российский правовой контекст: код не заменяет адвоката

Статья 51 Конституции РФ закрепляет право не свидетельствовать против себя, супруга и близких родственников. Но отказ сообщить сведения и намеренное уничтожение информации во время процессуальных действий — разные действия с разными возможными последствиями.

Статья 294 УК РФ предусматривает ответственность за воспрепятствование расследованию. Заранее предсказать оценку конкретного ввода аварийного кода нельзя: значение имеют обстоятельства, момент действия, статус человека и доказанный умысел.

Duress PIN не следует воспринимать как способ противодействовать законным процессуальным действиям. Если риск изъятия устройства или задержания связан с работой, расследованием или личной ситуацией, последствия настройки и применения функции нужно заранее обсуждать с адвокатом.

При угрозе со стороны преступника правовая рамка меняется, но физический риск никуда не исчезает. Стереть телефон проще, чем предсказать реакцию человека, который ожидал получить доступ к его содержимому.

Установка и подготовка

GrapheneOS работает только на поддерживаемых моделях Google Pixel. Список меняется вместе с выходом новых устройств и окончанием срока поддержки старых, поэтому проверять его нужно в актуальном FAQ проекта. Операторская версия Pixel с заблокированным загрузчиком для установки не подходит.

Веб-установщик упрощает процесс, но не отменяет ключевые шаги. Пользователь должен включить возможность разблокировки, открыть загрузчик, прошить GrapheneOS и затем снова заблокировать загрузчик. Разблокировка и повторная блокировка стирают данные. Повторная блокировка нужна для полноценной работы проверенной загрузки.

Перед включением Duress PIN стоит сделать пять вещей:

1. Оценить угрозу. Если заметное стирание создаёт больший риск, чем доступ к данным, функция не подходит.
2. Подготовить резервную копию. Зашифрованный архив и коды восстановления аккаунтов должны храниться отдельно от телефона.
3. Проверить облачные копии. Нужно понимать, какие данные исчезнут с устройством, а какие уже живут на серверах.
4. Уточнить восстановление eSIM. После стирания электронный профиль связи придётся активировать заново по правилам оператора.
5. Не тестировать код на основном телефоне. У функции нет пробного режима и кнопки отмены.

Кому нужен аварийный код

Duress PIN не является стандартной рекомендацией по приватности. Функция нужна человеку, у которого сходятся три условия: на смартфоне лежат ценные локальные данные, принуждение к раскрытию кода выглядит реалистичной угрозой, а последствия стирания заранее просчитаны.

Для обычной кражи в метро или кафе такой инструмент чаще чрезмерен. Сильный ПИН-код, скрытые уведомления, отдельная защита банковских приложений, штатные функции защиты от кражи и рабочая резервная копия закрывают более вероятные риски без шанса одним вводом уничтожить собственные данные.

GrapheneOS предлагает редкий инструмент, который делает ровно то, что обещает документация: стирает локальное содержимое устройства и eSIM после аварийного ввода. Не больше. Телефон после такого кода может больше ничего не рассказать. Но последствия молчания всё равно останутся владельцу.

Вопросы и ответы