Ghid complet: instalarea GrapheneOS pe dispozitivul tău Google Pixel

Cum să instalezi GrapheneOS pe dispozitivul tău Google Pixel

GrapheneOS este un sistem de operare open-source axat pe confidențialitate, bazat pe Android. Oferă protecții de securitate și confidențialitate semnificativ îmbunătățite, ceea ce îl face o alegere excelentă pentru oricine este preocupat de confidențialitatea și securitatea datelor. Dacă dețiiun dispozitiv Google Pixel compatibil și dorești să treci la GrapheneOS, acest ghid acoperă atât metoda recomandată prin instalatorul web, cât și metoda tradițională prin linia de comandă (CLI).

Sfat: Dacă întâmpini probleme în procesul de instalare, solicită ajutor pe canalul oficial de chat GrapheneOS . Înainte de a cere ajutor, încearcă să urmezi ghidul pe cont propriu, iar apoi solicită asistență pentru aspectele cu care ai dificultăți.

Cerințe preliminare #

Cerințe hardware și de sistem #

• Un computer cu cel puțin 2 GB de memorie liberă și 32 GB spațiu de stocare liber.
• Un cablu USB-C de înaltă calitate ambalat cu dispozitivul (sau un cablu USB-C la USB-A dacă este necesar). Evită hub-urile USB — conectează direct la un port din spatele computerului sau la portul laptopului.
• Instalarea dintr-o mașină virtuală nu este recomandată din cauza transferului USB nesigur.

Este o bună practică să actualizezi dispozitivul Pixel înainte de a instala GrapheneOS pentru a avea cel mai recent firmware. Oricum, GrapheneOS instalează cel mai recent firmware la începutul procesului de instalare.

Sisteme de operare acceptate oficial #

Instalatorul web #

• Windows 10 / Windows 11
• macOS Sonoma (14), macOS Sequoia (15), macOS Tahoe (26)
• Arch Linux
• Debian 12 (bookworm), Debian 13 (trixie)
• Ubuntu 22.04 LTS, Ubuntu 24.04 LTS, Ubuntu 25.04
• Linux Mint 21 (urmați instrucțiunile Ubuntu 22.04 LTS), Linux Mint 22 (urmați instrucțiunile Ubuntu 24.04 LTS)
• Linux Mint Debian Edition 6 (urmați instrucțiunile Debian 12)
• ChromeOS
• GrapheneOS
• Android 13, 14, 15 și 16 cu certificare Play Protect

Metoda CLI #

Toate cele de mai sus, cu excepția ChromeOS, GrapheneOS și Android (care pot folosi doar instalatorul web).

Versiunile mai vechi, fără suport, ale acestor platforme pot fi folosite, dar nu sunt acceptate oficial. Asigură-te că sistemul de operare este actualizat înainte de a continua.

Browsere acceptate oficial (doar pentru instalatorul web) #

• Chromium (în afara Ubuntu — pachetul lor Snap nu are WebUSB funcțional)
• Vanadium (GrapheneOS)
• Google Chrome
• Microsoft Edge
• Brave (cu Brave Shields dezactivat — limitează utilizarea spațiului de stocare pentru a evita amprentarea)

• Pe Android, dezactivează modul desktop în browser. Modul desktop împiedică instalatorul web să detecteze Android și să solicite permisiunea de reconectare după reporniri. Este activat implicit pe tabletele mari cu 8 GB+ RAM (de ex. Pixel Tablet).
• Evită versiunile de browsere Flatpak și Snap — acestea cauzează probleme în timpul instalării.
• Nu folosi modul incognito/navigare privată — aceste moduri restricționează spațiul de stocare necesar pentru a extrage versiunea descărcată.

Dispozitive acceptate #

Ai nevoie de unul dintre dispozitivele Pixel acceptate oficial . Evită variantele operatorilor de telefonie — Pixelurile de la operatori au un ID de operator nenul flashat în fabrică, care dezactivează deblocarea bootloaderului și a operatorului. Procură un dispozitiv fără legătură cu un operator (deblocat).

Activarea deblocării OEM #

Deblocarea OEM trebuie activată din sistemul de operare înainte de a putea continua.

1. Accesează Setări → Despre telefon/tabletă și apasă repetat pe Numărul build până când modul dezvoltator este activat.
2. Accesează Setări → Sistem → Opțiuni pentru dezvoltatori și activează Deblocarea OEM. Pe unele variante SKU cu capacitate de operator, acest lucru necesită o conexiune activă la internet pentru ca sistemul de operare original să poată verifica că dispozitivul nu a fost vândut ca unitate blocată de operator.

Notă pentru Pixel 6a: Deblocarea OEM nu va funcționa cu versiunea originală a sistemului de operare din fabrică. Actualizează la versiunea din iunie 2022 sau mai recentă prin OTA, apoi efectuează o resetare la setările din fabrică pentru a remedia deblocarea OEM.

Metoda de instalare 1: instalatorul web (recomandat) #

Instalatorul web GrapheneOS este abordarea recomandată pentru majoritatea utilizatorilor. Folosește WebUSB direct în browser — nu este necesară instalarea de software.

Pasul 1: Ocolirea erorilor fwupd (doar Linux) #

Pe Linux, fwupd este cunoscut că se conectează incorect la dispozitive folosind protocolul fastboot, blocând instalatorul. Oprește-l înainte de a conecta dispozitivul:

sudo systemctl stop fwupd.service

Aceasta nu va persista după reporniri.

Pasul 2: Configurarea regulilor udev (doar Linux) #

Pe Arch Linux:

sudo pacman -S android-udev

Pe Debian și Ubuntu:

sudo apt install android-sdk-platform-tools-common

Pasul 3: Pornirea în interfața bootloader-ului #

Ține apăsat butonul de reducere a volumului în timp ce dispozitivul pornește (fie pornește-l din stare oprită ținând apăsat butonul de reducere a volumului, fie repornește și ține apăsat). Dispozitivul trebuie să afișeze un triunghi roșu de avertizare și cuvintele “Fastboot Mode” — nu apăsa butonul de pornire pentru a activa “Start.”

Pasul 4: Conectarea dispozitivului #

Conectează dispozitivul la computer prin USB. Pe Linux, reconectează cablul dacă regulile udev nu au fost configurate înainte de prima conexiune.

Pixel Tablet: Deconectează de la stație înainte de a conecta prin USB — tableta nu poate folosi ambele simultan.

Windows: Windows 10/11 actual include un driver fastboot generic pentru Pixel 4a (5G) și versiunile ulterioare. Pentru Pixeluri mai vechi sau Windows neactualizat, instalează driver-ul din Windows Update (caută în “Vizualizare actualizări opționale” → “LeMobile Android Device”).

Pasul 5: Deblocarea bootloader-ului #

Accesează https://grapheneos.org/install/web și apasă butonul Unlock the bootloader. Confirmă pe dispozitiv folosind butoanele de volum pentru a schimba selecția și butonul de pornire pentru a confirma. Aceasta va șterge toate datele.

Pasul 6: Obținerea și instalarea imaginilor din fabrică #

1. Apasă Download release pentru a descărca imaginile din fabrică pentru dispozitivul tău.
2. Apasă Flash factory images și așteaptă finalizarea. Va instala automat firmware-ul, va reporni în interfața bootloader-ului și va instala sistemul de operare. Nu interacționa cu dispozitivul până la finalizare.

Pasul 7: Blocarea bootloader-ului #

După instalare, apasă Lock the bootloader în instalatorul web. Confirmă pe dispozitiv. Aceasta va șterge din nou toate datele — blocarea bootloader-ului activează pornirea verificată completă.

Metoda de instalare 2: linia de comandă (CLI) #

Pasul 1: Deschide un terminal #

Pe Windows, deschide o fereastră PowerShell obișnuită (non-administrator). Elimină alias-ul moștenit curl:

Remove-Item Alias:Curl

Pasul 2: Instalarea fastboot #

Ai nevoie de versiunea fastboot ≥ 35.0.1.

Arch Linux:

sudo pacman -S android-tools

Debian / Ubuntu — pachetele lor sunt depășite. Folosește versiunea standalone:

# Debian / Ubuntu
sudo apt install libarchive-tools
curl -O https://dl.google.com/android/repository/platform-tools_r35.0.2-linux.zip
echo 'acfdcccb123a8718c46c46c059b2f621140194e5ec1ac9d81715be3d6ab6cd0a  platform-tools_r35.0.2-linux.zip' | sha256sum -c
bsdtar xvf platform-tools_r35.0.2-linux.zip
export PATH="$PWD/platform-tools:$PATH"

macOS:

curl -O https://dl.google.com/android/repository/platform-tools_r35.0.2-darwin.zip
echo 'SHA256 (platform-tools_r35.0.2-darwin.zip) = 1820078db90bf21628d257ff052528af1c61bb48f754b3555648f5652fa35d78' | shasum -c
tar xvf platform-tools_r35.0.2-darwin.zip
export PATH="$PWD/platform-tools:$PATH"

Windows:

curl -O https://dl.google.com/android/repository/platform-tools_r35.0.2-win.zip
(Get-FileHash platform-tools_r35.0.2-win.zip).hash -eq "2975a3eac0b19182748d64195375ad056986561d994fffbdc64332a516300bb9"
tar xvf platform-tools_r35.0.2-win.zip
$env:Path = "$pwd\platform-tools;$env:Path"

Verifică versiunea:

fastboot --version
# Așteptat: fastboot version 35.0.2-12147458

Pasul 3: Configurarea regulilor udev (doar Linux) #

Arch Linux:

sudo pacman -S android-udev

Debian / Ubuntu:

sudo apt install android-sdk-platform-tools-common

Pasul 4: Ocolirea erorilor fwupd (doar Linux) #

sudo systemctl stop fwupd.service

Pasul 5: Pornirea în interfața bootloader-ului #

Ține apăsat reducerea volumului în timp ce pornești până când dispozitivul afișează “Fastboot Mode” cu triunghiul roșu de avertizare.

Pasul 6: Conectarea și deblocarea bootloader-ului #

Conectează prin USB, apoi rulează:

fastboot flashing unlock

Confirmă pe dispozitiv (butoane de volum pentru selecție, buton de pornire pentru confirmare). Aceasta va șterge toate datele.

Pasul 7: Instalarea OpenSSH (pentru verificarea imaginilor) #

macOS și Windows includ OpenSSH implicit.

Arch Linux:

sudo pacman -S openssh

Debian / Ubuntu:

sudo apt install openssh-client

Pasul 8: Descărcarea și verificarea imaginilor din fabrică #

Descarcă cheia de semnare:

curl -O https://releases.grapheneos.org/allowed_signers

Conținut așteptat:

[email protected] ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIIUg/m5CoP83b0rfSCzYSVA4cw4ir49io5GPoxbgxdJE

Descarcă imaginile din fabrică (înlocuiește DEVICE_NAME și VERSION cu valorile reale):

curl -O https://releases.grapheneos.org/DEVICE_NAME-install-VERSION.zip
curl -O https://releases.grapheneos.org/DEVICE_NAME-install-VERSION.zip.sig

Verifică semnătura (Linux / macOS):

ssh-keygen -Y verify -f allowed_signers -I [email protected] -n "factory images" \
  -s DEVICE_NAME-install-VERSION.zip.sig < DEVICE_NAME-install-VERSION.zip

Windows:

cmd /c 'ssh-keygen -Y verify -f allowed_signers -I [email protected] -n "factory images" -s DEVICE_NAME-install-VERSION.zip.sig < DEVICE_NAME-install-VERSION.zip'

Ieșire așteptată:

Good "factory images" signature for [email protected] with ED25519 key SHA256:AhgHif0mei+9aNyKLfMZBh2yptHdw/aN7Tlh/j2eFwM

Pasul 9: Instalarea imaginilor din fabrică #

Extrage imaginile:

# Linux
bsdtar xvf DEVICE_NAME-install-VERSION.zip

# macOS / Windows
tar xvf DEVICE_NAME-install-VERSION.zip

Intră în director și rulează scriptul de instalare:

cd DEVICE_NAME-install-VERSION

# Linux / macOS
bash flash-all.sh

# Windows
./flash-all.bat

Așteaptă finalizarea procesului. Acesta gestionează automat instalarea firmware-ului, repornirile bootloader-ului și instalarea sistemului de operare. Nu interacționa cu dispozitivul până la finalizare.

Depanare tmpfs Linux: Dacă /tmp nu are suficient spațiu, folosește:

mkdir tmp && TMPDIR="$PWD/tmp" ./flash-all.sh

Pasul 10: Blocarea bootloader-ului #

fastboot flashing lock

Confirmă pe dispozitiv. Aceasta va șterge din nou toate datele. Blocarea activează pornirea verificată completă și împiedică fastboot să modifice partițiile.

Post-instalare #

Pornirea #

Apasă butonul de pornire cu opțiunea implicită Start selectată în interfața bootloader-ului pentru a porni GrapheneOS.

Dezactivarea deblocării OEM #

În timpul configurării inițiale, ecranul final conține un comutator pentru deblocarea OEM (bifat implicit — lăsarea lui bifată dezactivează deblocarea OEM). Aceasta este recomandată. Poți schimba mai târziu în Opțiuni pentru dezvoltatori.

Verificarea instalării #

GrapheneOS utilizează pornirea verificată și atestarea hardware. Pornirea verificată verifică toate imaginile de firmware și sistem de operare la fiecare pornire în raport cu cheile inscripționate în siguranțele SoC. GrapheneOS inscripționează propria cheie publică de pornire verificată în elementul securizat — la fiecare pornire, această cheie verifică sistemul de operare.

Hash-urile cheii de pornire verificată #

Când un sistem de operare alternativ este încărcat, dispozitivul afișează o notificare galbenă cu identificatorul sistemului de operare (sha256 al cheii de pornire verificată). Pixelurile de generația a 4-a și a 5-a afișează doar primii 32 de biți; Pixelurile de generația a 6-a și ulterioare afișează hash-ul complet. Compară cu hash-urile oficiale:

Atestarea bazată pe hardware cu Auditor #

GrapheneOS oferă aplicația Auditor pentru a verifica integritatea hardware-ului, firmware-ului și sistemului de operare folosind pornirea verificată și atestarea la distanță. Rezultatele sunt afișate pe un al doilea dispozitiv Android care rulează Auditor (nu pe dispozitivul verificat) sau prin intermediul serviciului opțional de monitorizare a integrității dispozitivului pentru verificări automate programate cu alerte prin e-mail.

Înlocuirea GrapheneOS cu sistemul de operare original #

Instalarea sistemului de operare original prin instrumentul web de flashare Google este similară cu procesul de mai sus. Totuși, înainte de flashare și blocare, trebuie să ștergi cheia de pornire verificată GrapheneOS pentru a reveni complet la sistemul de operare original:

Instalatorul web: Folosește butonul “Erase non-stock key” din instalatorul web GrapheneOS.

CLI:

fastboot erase avb_custom_key

Apoi instalează imaginile din fabrică ale sistemului de operare original și blochează bootloader-ul.

Concluzie #

Instalarea GrapheneOS pe dispozitivul tău Google Pixel oferă funcții de confidențialitate și securitate de top în industrie. Folosește instalatorul web la grapheneos.org/install/web pentru cea mai ușoară experiență sau urmează pașii CLI de mai sus pentru o abordare tradițională. Blochează întotdeauna bootloader-ul după flashare pentru a activa pornirea verificată completă și folosește opțional aplicația Auditor pentru a confirma integritatea instalării.

Referințe #

1. Site-ul GrapheneOS
2. Instalatorul web GrapheneOS
3. Ghidul de instalare CLI GrapheneOS
4. Versiunile GrapheneOS
5. Ghidul de utilizare GrapheneOS
6. FAQ GrapheneOS
7. Aplicația Auditor
8. Android Platform Tools