一般的なスマートフォンの防御を、超えるために。

Duress PIN／Password

事前設定した緊急用PINまたはパスワードを入力すると、端末データとeSIMを不可逆的に消去します。再起動を必要とせず、開始後は中断できません。ロック画面以外の認証画面でも作動します。

誤入力時の損失が大きいため、当店では値を設定せず、リスクを理解したご本人のみが設定します。

解放済みメモリの即時ゼロ化

ユーザー空間とカーネルの双方で、解放されたメモリを即座にゼロで上書きします。パスワード・暗号鍵・認証トークン・通信断片がメモリに残留するリスクを下げます。

ロック時の機密メモリ解放

ロックと同時にSystemUI等へフルコンパクティングGCを実行し、直前に使われたPINや派生鍵の痕跡を、Auto Rebootの発動を待たずに消去しにいきます。

128文字までの端末パスワード

最大128文字のパスフレーズを設定できます。Secure Elementの試行制限に依存せず、暗号強度そのもので守る構成を選べます。

PIN配置のランダム化

ロック画面とSIM PIN入力で数字キーの配置をランダム化します。覗き見・指の軌跡・画面上の痕跡からの推測を難しくします。

指紋＋PINの2要素ロック解除

指紋認証の成功後に、さらにPINの入力を要求できます。長いパスフレーズを主認証に、日常は指紋＋短いPINという運用が可能です。指紋だけでは開きません。

指紋認証の試行を5回に制限

標準Androidの約20回に対し、合計5回で指紋認証を停止します。別の指を5回当てて、意図的に指紋認証を無効化することもできます。

指紋をアプリ認証専用化

指紋を端末のロック解除には使わず、パスワードマネージャー等のアプリ認証だけに限定する構成を選べます。

ファイルシステムベース暗号化

ファイル本文だけでなく、ファイル名・ディレクトリ名・ファイルシステムのメタデータまで暗号化の対象にします。

プロファイルごとに独立した暗号鍵

Owner・Secondary Userの各プロファイルが独立したランダム鍵を持ちます。Ownerがログイン中でも、他プロファイルのデータへ自動的にはアクセスできません。

外部の高速機材へ総当たりを移せない

SoC内部から取り出せないハードウェア鍵を鍵導出に組み込みます。暗号化データだけをコピーしてGPUクラスタで総当たりする攻撃を、成立しにくくします。

プロファイル終了による鍵の完全排除

Secondary UserのEnd sessionで、暗号鍵をRAMとハードウェアレジスタから消去し、そのプロファイルだけをat rest状態へ戻せます。端末全体の再起動は不要です。

攻撃対象領域の削減

NFC・Bluetooth・UWB・USB・ロック画面カメラ等をオプション化または初期無効化します。脆弱性が存在し得るコードへの到達自体を難しくします。

Secure Application Spawning

アプリの起動方式を強化し、ASLR配置・スタックカナリア等の秘密情報をアプリ間で共有しません。1つのアプリの侵害から、他アプリへの足がかりを与えません。

Pointer Authentication（PAC）

戻り先ポインタ等に暗号学的な認証を付与し、ポインタの書き換えを検出します。ユーザー空間コードへ広く適用しています。

Branch Target Identification（BTI）

間接分岐の着地点をCPU側で制約し、ROP／JOP等の制御フロー乗っ取りを難しくします。

Control Flow Integrity（CFI）

関数の呼び出し先を型情報で制限します。カーネルではBTIとClangのType-based CFIを併用します。

ShadowCallStack

関数の戻り先を保護された別領域にも保存し、スタック破壊による戻り先の改変を検出します。

強化されたASLR

仮想アドレス空間を39ビットから48ビットへ拡張し、ASLRエントロピーを24ビットから33ビットへ増やします。メモリ配置の予測を大幅に難しくします。

カーネルへのMTE適用

ユーザーアプリだけでなく、カーネルの主要メモリアロケーターにもMemory Taggingを適用します。

カーネルヒープCanary

カーネルヒープにもランダムCanaryを配置し、線形オーバーフローを検出します。

カーネルモジュール署名の強制

ビルドごとのRSA 4096＋SHA-256署名を要求し、Lockdownを強制Confidentiality Modeで運用します。ユーザー空間が侵害されても、カーネル境界を維持しやすくします。

Android RuntimeのJIT無効化

実行時コンパイルを全面的に無効化し、Ahead-of-Timeコンパイルへ置き換えます。JITという大きな攻撃面を削減します。

動的コード読み込みの原則禁止

ベースOSでは、ネイティブ・Java双方の動的コード読み込みをほぼ全面的に禁止します。ユーザーアプリにも、アプリ単位の禁止設定を提供します。

Native Debugging／ptrace制御

同梱アプリへのptraceを遮断します。ユーザーアプリもアプリ単位で制御でき、遮断時は通知されます。

SELinuxポリシーの強化

アプリ隔離に使われるSELinuxポリシーをさらに厳格化し、到達できる対象を削減します。

seccomp-bpfポリシーの強化

プロセスが呼び出せるシステムコールを制限し、カーネルの攻撃面を削減します。

ブラウザレンダラーサンドボックスの強化

多数のアプリが内部で使うWebViewのレンダラープロセスまで強化します。端末全体の攻撃耐性に効きます。

Android Autoの権限削減

通常は特権が必要なAndroid Autoを、互換レイヤーの拡張により権限を縮小した状態で動作させます。

Network Permission

アプリごとにネットワークアクセスを完全に遮断できます。直接通信だけでなく、OS API経由・他アプリ経由・localhost経由の間接通信まで制御します。

Sensors Permission

通常は権限なしで読める加速度・ジャイロ・コンパス・気圧計等を一括制御します。拒否時はゼロ値を返し、アプリに拒否を悟らせにくくします。

Contact Scopes

連絡先全体を渡さず、特定の連絡先・グループ・必要な項目だけを開示します。初期状態では、アプリから空の連絡先に見えます。

アプリの完全無効化

Force Stopより強く、データを残したままアプリを実行不能にできます。他アプリやシステムから呼ばれても起動しません。

最大32のプロファイル

標準Androidより多い、最大31のセカンダリユーザー＋Guestを作成できます。

アプリ追加の禁止設定

特定プロファイルでの新規インストールをOwnerから禁止できます。必要なアプリだけの固定環境を作れます。

Ownerからのアプリ配布

Ownerで導入済みのアプリを、再ダウンロードなしにセカンダリプロファイルへ追加できます。

通知転送はオプトイン

バックグラウンドプロファイルの通知転送は初期状態で無効です。必要なプロファイルだけ個別に有効化します。

ロールバック防止

ファームウェア・OS・システムアプリ・APEXモジュールのバージョンと署名を確認し、脆弱な旧版へ戻すDowngrade攻撃を防ぎます。

システムAPKの継続検証

OS外から更新されるシステムAPKにも、署名付きfs-verityメタデータを要求します。起動時とファイル読込時にも検証します。

ダウングレード経路の閉鎖

OS同梱アプリを旧バージョンへ戻せる可能性のあった抜け穴を、インストール時と起動時の双方で閉じます。

Verified Bootキーの目視確認

起動時に表示されるSHA-256キー指紋を公式値と照合し、正規署名ビルドであることをご自身の目で確認できます。

ハードウェアベースのペアリング

端末ごと・検証相手ごとにハードウェア保護された鍵を生成し、同一端末が正しい状態を保っているかを継続的に確認します。

リモートAttestation

Attestation Serviceにより、端末が手元になくても定期的に真正性と整合性を確認できます。

Attestation鍵のプライバシー保護

Remote Key ProvisioningにGrapheneOSのリバースプロキシを標準利用し、アプリごとに分離された鍵のプライバシーを補強します。

自動バックグラウンド更新

OS更新は自動でダウンロード・適用され、利用を妨げずに最新状態を維持します。

Security Preview Releases

Android Security Bulletinの正式公開前に、将来のパッチを先行導入できる任意チャンネルを提供します。

Vanadiumの迅速更新

攻撃対象として特に重要なブラウザ／WebViewを、OS本体とは別に迅速に更新できます。

Hardware Memory Tagging

Vanadiumの主要メモリアロケーターでMTEを有効化しています。

Type-based CFI

ブラウザの制御フロー乗っ取りを難しくします。

Strong Stack Protector

スタック破壊を検知する保護を強化しています。

ローカル変数の自動ゼロ初期化

未初期化メモリ由来の脆弱性と、過去データの漏えいリスクを抑えます。

Sandboxed iframe

埋め込みコンテンツを追加で隔離します。

JITなしのWebAssembly

DrumBrakeインタープリターにより、JITを無効化したままWebAssemblyを動かせます。

動的コード実行のseccomp遮断

JITが無効なプロセスでは、動的コード実行そのものをシステムコールレベルで遮断します。

WebGPUの無効化

大きなGPU攻撃面を削減します。

WebRTC IPポリシー制御

P2P通信によるIPアドレスの露出を制御できます。

Google PlayなしのPasskey／Autofill

ネイティブのCredential Manager実装により、Google Playを入れずにPasskeyや自動入力を使えます。

DHCP状態の消去

再接続前にDHCPクライアントの状態を消去し、MACアドレスを変更しても同一端末と紐づく痕跡を残しにくくします。

IPv6プライバシー実装の修正

ネットワークをまたいだ端末識別につながるカーネルの問題を修正しています。

VPNのDNS漏えい防止

VPN停止時のDNS漏えいやトンネル外接続、リゾルバーのRace Conditionを、追加の制御で遮断します。

MulticastによるVPN迂回防止

マルチキャスト通信を使ったVPN外への経路を、eBPFフィルターで遮断します。

mDNSによるVPN迂回防止

VPN Lockdownの有効時は、mDNS経由の接続も制限します。

プロファイル間のVPN漏えい防止

別プロファイルのVPNトンネルへの不正なパケット送出を、Netfilterで遮断します。

インターフェース指定によるVPN回避の修正

特定のネットワークインターフェース指定でVPNを回避できた、eBPFファイアウォールの穴を閉じています。

侵襲的なキャリアアプリを入れない

キャリア固有アプリやOMA Device Managementを搭載せず、対応情報の独自変換で広い互換性を保ちます。

認証付きNetwork Time

時刻更新を認証・暗号化し、端末時刻の改変による証明書有効期限チェックの迂回を防ぎます。

SUPLプロキシ

GNSS補助のSUPL通信をプロキシ経由にできるほか、キャリア標準へ戻す・完全無効化する選択肢があります。

端末内で計算するNetwork Location

位置の計算をサーバーへ送らず、端末内で行います。位置推定のたびに外部へ距離情報を渡す方式を避けています。

スクリーンショットのメタデータ除去

OSビルド・日時・タイムゾーン等のEXIFメタデータを、標準で除去します。

端末識別経路の閉鎖

標準Androidの意図を迂回して端末を一意に識別できた複数の経路を修正しています。旧API向けアプリへのハードウェアID制限も強化しています。

ロック画面の機密通知を標準非表示

機密通知の非表示・パスワード入力文字の非表示・入力履歴による個人化の無効化を、標準設定とします。

位置情報アクセスインジケーター

カメラ・マイクに加え、アプリが位置情報へアクセスした際も画面上に表示します。すべての位置情報APIが対象です。

Hardened PDF Viewer

脆弱性の温床になりやすいPDFを、サンドボックス化された専用ビューアで開きます。

GrapheneOS Camera

プライバシーとセキュリティを重視した、独自のカメラアプリを提供します。

セキュリティ重視のSetup Wizard

初期設定時にBootloaderのアンロック状態を明確に警告し、完了時にはOEM Unlockingを標準で無効化します。

暗号化バックアップ（Seedvault）

ローカル・外部ストレージ・対応クラウドへの暗号化バックアップを統合しています。

利用者管理型クラッシュレポート

ログを自動送信せず、利用者が内容を確認して、必要な範囲だけ共有できます。

最小限のプリインストール

商業提携による不要なプリインストールを持たず、常駐アプリと攻撃対象領域を増やしません。

不要なルート証明書の削除

一部のルート認証局を、標準の信頼済みシステムCAから除外しています。

デバッグ状態の警告

試作機やUARTデバッグが有効な状態など、通常より制御の弱い可能性がある端末を警告します。