GrapheneOS – Nästa nivå av mobilsäkerhet

GrapheneOS är ett Android-baserat operativsystem byggt med ett enda syfte: att ge dig maximal kontroll och minimera vad din telefon läcker till Google, appar och tredje part. Det är inte ett kompromissalternativ, det är den yttersta konsekvensen av att ta mobilintegritet på allvar.

Det ser ut som Android. Det känns som Android. De flesta appar fungerar precis som vanligt. Men under ytan är allt annorlunda: ingen Google-telemetri, hårdnat minne, sandboxadTänk på det som att låta barnet leka i sandlådan: de kan göra vad de vill där inne, men sanden sprids inte ut i hela trädgården. En isolerad miljö där ett program körs avskärmat från resten av datorn. Om något i sandlådan kraschar eller hackas påverkar det inte dina filer eller andra program.
Vad du ska göra: Ingenting aktivt men nu vet du varför du inte ska köra känsliga saker och riskfyllda saker i samma program. Play Store och granulär kontroll över varje apps nätverksåtkomst och sensorer.

Vad du behöver

• En Pixel-telefon som stöds, inte operatörslåst variant
• En dator (Windows, macOS eller Linux) med Chrome eller Edge
• En USB-C-kabel med dataöverföring, inte en laddningskabel
• Backup av all data, installationen raderar hela telefonen
• Ca 45–60 minuter ostörd tid

Vilken Pixel ska du köpa?

GrapheneOS stöder officiellt Pixel 6 och nyare men Pixel 8 och nyare rekommenderas starkt. De ger sju års garanterade säkerhetsuppdateringar och stöd för hårdvaruminnesmärkning (ARM Memory Tagging Extension) som ytterligare skyddar mot exploatering.

💡 Dubbelkolla alltid mot den officiella listan då stödet uppdateras löpande.

Steg 1: Förbered telefonen

• Ladda telefonen till minst 80%.
• Uppdatera till senaste Android-versionen. Inställningar (Settings) → System → Systemuppdatering (System update). Pixel 6a kräver Android 13 (juni 2022 eller senare) och en fabriksåterställning innan OEM-upplåsning fungerar.
• Aktivera Utvecklaralternativ (Developer options), ett dolt meny som du låser upp såhär:
  Öppna Inställningar (Settings) och scrolla hela vägen ner till Om telefonen (About phone). Tryck på Byggnummer (Build number) flera gånger i rad. Fortsätt trycka tills du känner en vibration och ser texten "Du är nu en utvecklare!" längst ned på skärmen. Det brukar ta 5–10 tryckningar. Du kan behöva ange din PIN-kod för att bekräfta. Nu finns menyn Inställningar (Settings) → System → Utvecklaralternativ (Developer options).
• Aktivera OEM-upplåsning. Gå till Inställningar → System → Utvecklaralternativ och slå på OEM-upplåsning (OEM unlocking). Om alternativet är grått och går inte att klicka på är telefonen operatörslåst och den kan inte användas för GrapheneOS.

Steg 2: Installera GrapheneOS

GrapheneOS rekommenderar web-installatören för de flesta. Inga kommandon, inget att ladda ner manuellt. Installatören guidar dig igenom allt.

Förbered datorn

• Öppna en webbläsare med stöd för WebUSB: Chrome eller Edge.
  Firefox och Safari stöder inte WebUSB och fungerar inte.
  Brave fungerar tekniskt sett, men kräver att du inaktiverar Brave Shields under installationen. Vi rekommenderar det inte, eftersom det är lätt att glömma att aktivera det igen efteråt. Använd Chrome eller Edge istället.
  
  Ja, du läste rätt. Det är förmodligen första och sista gången du hör mig rekommendera Chrome och Edge. Njut av ögonblicket.
• Använd inte privat- eller inkognitoläge (Incognito). Det blockerar installationen eftersom webbläsaren inte får tillräckligt med lagringsutrymme för att ladda ner och packa upp GrapheneOS-filen.
• Endast Linux: Du behöver installera udev-regler för att datorn ska kunna kommunicera med telefonen utan root-rättigheter.
  Arch Linux: sudo pacman -Syy android-udev
  Debian/Ubuntu: sudo apt-get install android-sdk-platform-tools-common
  Anslut kabeln efter att paketet är installerat.

Starta telefonen i bootloader-läge

• Stäng av telefonen helt.
• Nu ska telefonen startas i ett speciellt läge som kallas Fastboot Mode (bootloader-läge).
  
  Enklaste sättet:
  Starta om telefonen (håll in strömknappen och välj Starta om / Restart). Börja hålla in Volym ned (Volume Down) direkt när skärmen blir svart. Håll den intryckt tills telefonen är klar med starten.
  
  Alternativt:
  Stäng av telefonen helt. Håll in Volym ned och tryck sedan på strömknappen. Släpp inte Volym ned förrän du ser bootloader-skärmen.
  
  ⚠️ Håll inte Volym ned och strömknappen intryckta samtidigt från start: starta med strömknappen och håll sedan Volym ned.
  
  Du är klar med det här steget när telefonen visar ett rött varningstriangel och texten "Fastboot Mode". Tryck inte på strömknappen nu. Telefonen ska stanna kvar i det här läget.

Anslut telefonen och starta installatören

• Anslut telefonen till datorn med USB-C-kabeln nu när den är i bootloader-läge.
  • Endast Linux: Har du precis installerat udev-paketet? Koppla ur kabeln, vänta några sekunder och anslut igen, annars känner inte datorn igen telefonen.
  • Endast Windows: Om datorn inte känner igen telefonen behöver du installera en drivrutin från Google. Gå till developer.android.com/studio/run/win-usb, följ instruktionerna där, och kom sedan tillbaka hit.
• På datorn, på sidan grapheneos.org/install/web, ser du ett steg som heter "Unlocking the bootloader". Klicka på knappen "Unlock Bootloader". Det dyker nu upp en fråga på telefonens skärm. Använd volymknapparna för att navigera till "Unlock the bootloader" och bekräfta med strömknappen. Telefonen raderas och startar om till bootloader-läge igen.
• Nu ska du se texten "Unlocked" i rött längst ned på telefonens skärm. Det bekräftar att bootloadern är upplåst och du kan gå vidare.
• Tillbaka på datorn: klicka på "Connect". Webbläsaren visar en lista. Välj din Pixel-modell och klicka "Connect" igen. Syns ingen enhet? Dra ur kabeln, vänta fem sekunder och anslut igen.

Flasha och lås bootloadern igen

• Klicka på "Flash release". Installatören laddar ner och installerar GrapheneOS automatiskt. Det tar 10–20 minuter. Stäng inte webbläsaren och dra inte ur kabeln.
  Telefonen kommer att starta om ett par gånger under processen. Det är helt normalt och förväntat. Gör ingenting med telefonen förrän installatören på datorn säger att det är klart.
• VIKTIGT: När installatören ber dig låsa bootloadern igen, gör det direkt.
  På telefonens skärm: scrolla med Volym upp (Volume Up) till alternativet "Lock the bootloader" och bekräfta med strömknappen.
  Telefonen raderas igen och startar om. Nu ska du se texten "Locked" i grönt. Det betyder att bootloadern är låst igen och skyddet är aktiverat.
  Tryck på strömknappen för att välja Start och starta upp GrapheneOS. Att låsa bootloadern igen är det viktigaste steget av alla. Det aktiverar ett skydd som kontrollerar att telefonen inte manipulerats varje gång den startar. Hoppar du över det här steget är telefonen betydligt mindre säker.
• Under telefonens uppstarts-guide (setup) kommer du till en sista skärm med en toggle som heter "OEM unlocking". Den ska vara avbockad (avstängd). Detta bör redan vara rätt markerat automatiskt. Lämna den som den är och fortsätt.
  
  Gå sedan till Inställningar (Settings) → Om telefonen (About phone) → Enhetens identifierare (Device identifiers) och verifiera att Verified Boot visar "Verified". Vill du dubbelkolla mot den officiella nyckeln kan du jämföra din enhets hash mot listan på grapheneos.org/install/web. Du kan nu koppla ur USB-kabeln från datorn.

Steg 3: Första uppstarten

• Telefonen startar om till GrapheneOS. Du ser en enkel startskärm utan Google-logotyper. Det är helt normalt och rätt.
• Välj PIN eller lösenord när telefonen frågar. Välj inte mönsterlås (det mönster man ritar). Minst 6 siffror. Gör detta innan du ansluter till WiFi. PIN-koden används för att låsa all data på telefonen, utan den kommer ingen åt den.
• Under inställningsguiden kan det dyka upp skärmar som handlar om Google-konto eller Google-tjänster. Hoppa över alla sådana skärmar. Tryck "Hoppa över", "Inte nu" eller "Hoppa över det här steget". Du ska inte logga in på något Google-konto.
• Anslut till WiFi och sätt i SIM-kortet om du har ett.
• Gå till Inställningar → System → Systemuppdatering och installera eventuella uppdateringar direkt.

Steg 4: Grundkonfiguration

Automatisk omstart

• Inställningar (Settings) → Säkerhet (Security) → Automatisk omstart (Auto-reboot) → sätt till 18 timmar eller kortare. Det här gör att telefonen startar om automatiskt om du inte använt den på länge. Efter en omstart är all data låst tills du skriver in PIN-koden igen, som att stänga och låsa ett kassaskåp. Det gör det mycket svårare för någon annan att komma åt din data om de får tag i telefonen.

Nätverksskydd

• Inställningar (Settings) → Nätverk och internet (Network & internet) → SIM (SIMs) → Tillåt 2G (Allow 2G) → av. 2G är ett gammalt mobilnät som är enkelt att avlyssna med billig utrustning. De flesta behöver det inte.
• Ange en säker DNSInternets telefonbok. När du skriver "digitaltforsvar.se" i webbläsaren vet inte datorn var sajten finns. Den slår upp adressen i telefonboken (DNS-servern) och får tillbaka en sifferkod (IP-adress). Problemet: din internetleverantör äger oftast den telefonboken och ser därmed varje sajt du besöker, varje dag.
  Vad du ska göra: Byt till en privat DNS-tjänst som NextDNS. Se vår DNS-guide.-server. Det är den tjänst som "slår upp" adresser när du besöker en webbsida, ungefär som en telefonkatalog för internet. Din internetleverantör kan annars se vilka sidor du besöker.
  Inställningar (Settings) → Nätverk och internet (Network & internet) → Avancerat (Advanced) → Privat DNS (Private DNS) → ange dns.quad9.net (enklast) eller base.dns.mullvad.net.

Nätverkskontroll per app

• GrapheneOS låter dig bestämma vilka appar som får använda internet, något som inte finns i vanlig Android. En kalkylatorapp eller ficklampa behöver till exempel aldrig ansluta till internet. Du hittar inställningen under Inställningar (Settings) → Appar (Apps) → [välj en app] → Behörigheter (Permissions) → Nätverk (Network).

Sensoråtkomst

• GrapheneOS låter dig även bestämma vilka appar som får läsa telefonens rörelsesensorer (t.ex. om du lutar eller skakar telefonen). Appar kan i teorin använda det för att spåra hur du rör dig. Du kan stänga av det per app under Inställningar (Settings) → Integritet (Privacy) → Behörighetshanteraren (Permission manager) → Sensorer (Sensors).

Lockdown i strömmenyn

• Inställningar (Settings) → Skärm (Display) → Lås skärmen ((Lock screen)) → Visa Lockdown (Show lockdown option) i strömmenyn → på. När du håller in strömknappen dyker nu "Lockdown" upp som ett alternativ. Trycker du på det stängs fingeravtryck och ansiktsigenkänning av direkt och bara PIN-koden fungerar. Bra att veta om du hamnar i en situation där du snabbt vill säkra telefonen.

Vanadium – den inbyggda webbläsaren

• GrapheneOS inkluderar Vanadium som webbläsare. Använd den som din primärwebbläsare. Den ser ut som Chrome och fungerar på samma sätt, men är hårdare säkrad och skickar inte data till Google. Observera: Firefox rekommenderas inte på GrapheneOS. Det beror på tekniska skillnader i hur webbläsare isolerar flikar från varandra på Android, där Firefox tyvärr är svagare.

Steg 5: Appar – din nya stack

GrapheneOS har inga Google-appar förinstallerade. Du bygger upp din stack från grunden.

GrapheneOS App Store

• GrapheneOS inkluderar en egen App Store med ett urval verifierade appar, inklusive sandboxadTänk på det som att låta barnet leka i sandlådan: de kan göra vad de vill där inne, men sanden sprids inte ut i hela trädgården. En isolerad miljö där ett program körs avskärmat från resten av datorn. Om något i sandlådan kraschar eller hackas påverkar det inte dina filer eller andra program.
  Vad du ska göra: Ingenting aktivt men nu vet du varför du inte ska köra känsliga saker och riskfyllda saker i samma program. Google Play. Börja här.

F-Droid

• Öppna Vanadium på telefonen och gå till f-droid.org. Tryck på den stora knappen "Download F-Droid". En fil laddas ner. Du ser den i Vanadiums nedladdningsrad längst upp.
• Tryck på den nedladdade filen. Telefonen frågar om du vill tillåta installation från Vanadium. Tryck "Tillåt" och sedan "Installera". När det är klart kan du stänga av tillåtelsen igen under Inställningar → Appar → Vanadium → Installera okända appar → Av.
• Öppna F-Droid och vänta medan applistan laddas in. Det kan ta någon minut första gången.

Obtainium

• Obtainium (finns i F-Droid) är ett verktyg som hämtar appar direkt från deras officiella källkod och håller dem uppdaterade automatiskt. Användbart för appar som inte finns i F-Droid, till exempel Signal. Du behöver inte Obtainium från start. Kom tillbaka hit när du saknar en specifik app.

Aurora Store

• Aurora Store (finns i F-Droid) låter dig ladda ner appar från Google Play utan att ha ett Google-konto. Google ser att någon laddar ner, men inte vem. Bra för appar du litar på men inte hittar i F-Droid.

Rekommenderad grundstack utan Google Play

• Webbläsare: Vanadium (inbyggd)
• Sökmotor: Brave Search eller Startpage (inställning i Vanadium)
• E-post: Proton Mail (APKFilformatet för Android-appar, ungefär som .exe på Windows. Normalt installeras appar via Google Play, men APK-filer kan laddas ner direkt från en webbsajt och installeras manuellt. Det kallas "sideloading". Det ger tillgång till appar som inte finns i Play Store (t.ex. Signal direkt från signal.org) men innebär också en risk: en APK från en opålitlig källa kan innehålla malware. F-Droid och Aurora Store distribuerar APK-filer men från granskade och betrodda källor.
  Vad du ska göra: Ladda bara ner APK-filer från officiella källor, alltså appens egna sajt eller F-Droid. Aldrig från slumpmässiga sajter eller forum. direkt från proton.me)
• Meddelanden: Signal (APKFilformatet för Android-appar, ungefär som .exe på Windows. Normalt installeras appar via Google Play, men APK-filer kan laddas ner direkt från en webbsajt och installeras manuellt. Det kallas "sideloading". Det ger tillgång till appar som inte finns i Play Store (t.ex. Signal direkt från signal.org) men innebär också en risk: en APK från en opålitlig källa kan innehålla malware. F-Droid och Aurora Store distribuerar APK-filer men från granskade och betrodda källor.
  Vad du ska göra: Ladda bara ner APK-filer från officiella källor, alltså appens egna sajt eller F-Droid. Aldrig från slumpmässiga sajter eller forum. från signal.org/android/apk)
• Lösenord: Bitwarden (F-Droid)
• 2FA: Aegis Authenticator (F-Droid)
• VPN: Mullvad VPN (APKFilformatet för Android-appar, ungefär som .exe på Windows. Normalt installeras appar via Google Play, men APK-filer kan laddas ner direkt från en webbsajt och installeras manuellt. Det kallas "sideloading". Det ger tillgång till appar som inte finns i Play Store (t.ex. Signal direkt från signal.org) men innebär också en risk: en APK från en opålitlig källa kan innehålla malware. F-Droid och Aurora Store distribuerar APK-filer men från granskade och betrodda källor.
  Vad du ska göra: Ladda bara ner APK-filer från officiella källor, alltså appens egna sajt eller F-Droid. Aldrig från slumpmässiga sajter eller forum. från mullvad.net) eller Proton VPN (F-Droid)
• Tangentbord: HeliBoard (F-Droid) har ordförslag och autokorrigering. FlorisBoard (F-Droid) är ett alternativ med snyggare design, men saknar ännu stavningskontroll.
• Karta: Organic Maps (F-Droid). Offline, ingen Google

Steg 6: Sandboxad Google Play (valfritt)

Bankappar, Spotify, Netflix och många andra appar kräver Google Play Services. GrapheneOS löser det med sandboxad Google Play; Play Store och Play Services körs som vanliga appar utan systemrättigheter.

Installera i ägareprofilen (enklast)

• Öppna GrapheneOS App Store, den förinstallerade butiken, inte Google Play.
• Installera Google Services Framework. Du hittar den i listan i App Store.
• Installera Google Play Services.
• Installera Google Play Store. Alla tre apparna kommer från GrapheneOS egna App Store. Det betyder att du automatiskt får den sandboxadeTänk på det som att låta barnet leka i sandlådan: de kan göra vad de vill där inne, men sanden sprids inte ut i hela trädgården. En isolerad miljö där ett program körs avskärmat från resten av datorn. Om något i sandlådan kraschar eller hackas påverkar det inte dina filer eller andra program.
  Vad du ska göra: Ingenting aktivt men nu vet du varför du inte ska köra känsliga saker och riskfyllda saker i samma program. versionen som GrapheneOS har testat och godkänt. Du behöver inte leta APKFilformatet för Android-appar, ungefär som .exe på Windows. Normalt installeras appar via Google Play, men APK-filer kan laddas ner direkt från en webbsajt och installeras manuellt. Det kallas "sideloading". Det ger tillgång till appar som inte finns i Play Store (t.ex. Signal direkt från signal.org) men innebär också en risk: en APK från en opålitlig källa kan innehålla malware. F-Droid och Aurora Store distribuerar APK-filer men från granskade och betrodda källor.
  Vad du ska göra: Ladda bara ner APK-filer från officiella källor, alltså appens egna sajt eller F-Droid. Aldrig från slumpmässiga sajter eller forum.-filer någon annanstans.
• Öppna Play Store och logga in. Du behöver inte ge ditt riktiga namn.
• Begränsa Play Services nätverksåtkomst när du inte laddar ner: Inställningar → Appar → Google Play Services → Behörigheter → Nätverk.

Installera i separat profil (rekommenderas för bankapper)

En separat profil är som en andra telefon inuti din telefon, appar i den profilen kan inte se vad du gör i din vanliga profil, och tvärtom. Perfekt för bankapper och Google-tjänster.

• Skapa en ny profil: Inställningar → System → Användare och konton → Lägg till användare. Ge profilen ett namn, till exempel "Google Apps".
• Byt till den nya profilen via aviseringspanelen (dra ner från toppen av skärmen, tryck på profilikonen).
• Installera sandboxadTänk på det som att låta barnet leka i sandlådan: de kan göra vad de vill där inne, men sanden sprids inte ut i hela trädgården. En isolerad miljö där ett program körs avskärmat från resten av datorn. Om något i sandlådan kraschar eller hackas påverkar det inte dina filer eller andra program.
  Vad du ska göra: Ingenting aktivt men nu vet du varför du inte ska köra känsliga saker och riskfyllda saker i samma program. Google Play i den nya profilen precis som i ägareprofilen ovan. Dina bankapper och Google-tjänster lever nu helt isolerade från dina privata appar.

Bonus: Användarprofiler

Varje profil på GrapheneOS är helt isolerad. Appar i en profil kan inte se data i en annan.

En vanlig uppdelning:

• Ägareprofil: Signal, Bitwarden, Proton Mail, VPNTänk på det som en tunnel. Utan VPN åker din internettrafik öppet på motorvägen och din internetleverantör ser exakt vart du åker. Med VPN åker du in i en tunnel och leverantören ser bara att du kört in i tunneln, inte vart du sedan tog vägen. VPN döljer din trafik från ISP:n och döljer din IP-adress för sajterna du besöker. Det gör dig inte osynlig och skyddar inte om du loggar in på dina vanliga konton.
  Vad du ska göra: Börja med Mullvad VPN eller Proton VPN. Se vår grundguide.. Inga Google-tjänster!
• Google-profil: Sandboxad Play, bankapper, Spotify, Netflix
• Jobbprofil (valfritt): Jobbrelaterade appar separerade från privat

Du växlar profil via aviseringspanelen. Notiser från alla profiler kan visas i ägareprofilen om du aktiverar det.

Vardagen i GrapheneOS

Ändringslogg

Relaterade guider

• Android-härdning – Utgångspunkten innan GrapheneOS
• Signal-guide – Kommunikation på GrapheneOS
• Proton Mail – E-post utan Google
• Tillbaka till kartan