GrapheneOS на Pixel 10 — стоит ли мороки в 2026?

[terraform_ops]

Перешёл на GrapheneOS на Pixel 10 Pro месяц назад. Sandboxed Google Play закрывает 90% потребностей, банковские приложения через профили работают. Главный плюс — детальный контроль разрешений и сети для каждого приложения. Минус: некоторые банки и Google Pay через NFC капризничают.

[Macrano]

NFC оплата завелась в итоге? Это для меня дилбрейкер, без бесконтакта никак.

[coder_anton]

Google Wallet тап-ту-пэй работает, если поставить через Sandboxed Play и дать нужные разрешения. А вот некоторые местные банковские NFC — нет, проверяют целостность системы и отваливаются.

[rojo7509]

А привязка к Pixel не напрягает? Хочется свободы, а по факту единственное железо где это нормально работает.

[arsa4soles]

Это плата за нормальный verified boot с релоком загрузчика и своими ключами. Pixel единственный кто это даёт из коробки, остальные либо не релочат, либо ломают атрибутацию. Так что да, вендор-лок, но осознанный.

[tor91]

А вся локальная ИИ-обвязка Pixel (Recorder, перевод, magic editor) после прошивки отваливается?

[nixos_andy]

Большая часть да, отваливается — это проприетарщина Google. On-device модели в Recorder не работают. Если ты ради этих фич покупал Pixel, GrapheneOS не твой выбор.

[heckman]

Google Pay через NFC на GrapheneOS — это решаемо, но не через Sandboxed Play. Проблема в том, что Google Pay требует прохождения Play Integrity API (раньше SafetyNet), а GrapheneOS специально реализовал собственный ответ на этот API. Начиная примерно с версий 2024.x GrapheneOS проходит стандартный Play Integrity DEVICE уровень, но STRONG уровень (который требуют некоторые банки и именно Google Pay для NFC) всё ещё спорный. Обходной путь который работает у части пользователей: установить Google Pay в основной профиль (не в изолированный), там Sandboxed Play получает больше доверия. Конкретные российские банки — Тинькофф/Т-Банк в изолированном профиле работает стабильно, Сбер капризничает.

[docker5]

По детальному контролю сети — одна из самых недооценённых фич это per-app network permission на уровне OS, а не только через брандмауэр. Можно разрешить приложению только WiFi без мобильного интернета, или вообще отрезать сеть оставив локальную сеть. В сочетании с Vanadium (захардённый Chromium встроенный) и отключёнными рекламными идентификаторами — трекинг-поверхность реально минимальная. Одна рекомендация: не ставь Magisk и не разлочивай bootloader дальше необходимого — теряешь верифицированную загрузку которая является главным архитектурным преимуществом GrapheneOS над рутованными альтернативами.