یکی از پروندههای قضایی اخیر در آمریکا، یکی از جالبترین قابلیتهای حریم خصوصی GrapheneOS را بر سر زبانها انداخت. در این قابلیت، با واردکردن پین یا رمز عبور اضطراریِ جداگانه، بهجای بازشدن قفل گوشی، تمام دادههای آن بهشکلی کاملاً بازیابیناپذیر از بین میروند.
این قابلیت آنقدر سودمند و درعینحال هراسانگیز به نظر میرسید که بخواهم خودم آن را امتحان کنم. GrapheneOS از گوشیهای گوگل و شماری دستگاه دیگر پشتیبانی میکند، اما گلکسی نوت ۲۰ اولترای من با تراشه اگزینوس در میان آنها نیست.
اپلیکیشن DuressKeyboard راهی برای دورزدن این محدودیت پیشنهاد میکرد. این برنامه متنباز، بدون نیاز به جایگزینکردن کامل اندروید، فرمان پاکسازی مشابهی به دستگاه میافزاید. نوت ۲۰ من که اندروید ۱۶ را با ArtisianROM اجرا میکرد، به گوشی قربانی این آزمایش تبدیل شد.
فرمان اجرا شد و گوشی سامسونگ واقعاً در محیط بازیابی از نو راه افتاد، اما حتی یک بایت از دادهها هم از بین نرفت. این شکست، تفاوت بزرگ میان درخواست بازنشانی کارخانه و تعبیهکردن حفاظت اضطراری در ژرفای خود سیستمعامل را آشکار کرد.
اندروید واقعاً نمیخواست این صفحهکلید را نصب کنم
هر هشدار، قدرت واقعی آن را باورپذیرتر میکرد
نسخه ۷٫۰ اپلیکیشن DuressKeyboard برنامهای رایگان و متنباز است که برای دستگاههای مجهز به اندروید ۱۰ یا جدیدتر، از راه F-Droid منتشر میشود. کار اصلی آن شناسایی رمزی مشخص و درخواست بازنشانی فوری کارخانه پس از واردشدن آن است. نسخه کامل برنامه، ماشههایی نیز برای تلاشهای ناموفق بازکردن قفل، راهاندازی دوباره، اتصالهای USB و حتی «کلید مردِ مرده» در صورت قطع خدمات تلفن همراه دارد؛ قابلیتی که برای محافظت در برابر قفس فارادی طراحی شده است.
اندروید واقعاً، واقعاً نمیخواست این برنامه را نصب کنم. نصب فایل APK از راه مرورگر، پیام «برای محافظت از دستگاه، برنامه مسدود شد» را نمایش داد. هشدار میگفت این برنامه ممکن است دسترسیهای حساسی درخواست کند و خطر سرقت هویت یا کلاهبرداری مالی را افزایش دهد.
پیش از اقدام به نصب، پویش Play Protect را خاموش کرده بودم؛ بااینحال، سازوکار حفاظتی جداگانه گوگل برای برنامههای نصبشده از منابع جانبی وارد عمل شد و باز هم جلوی نصب را گرفت.
این بار تصمیم گرفتم برنامه را از راه F-Droid نصب کنم. اندروید ۱۶ هشدار دیگری داد که DuressKeyboard برای نسخهای قدیمیتر از اندروید ساخته شده است؛ هرچند دستکم این بار اجازه داد هشدار را نادیده بگیرم.
DuressKeyboard در نخستین اجرا بیدرنگ سراغ اختیارات «مدیر دستگاه» رفت و توضیح اندروید درباره خطرهای این دسترسی، دستکم میتوان گفت، بیپرده بود. پس از تأیید، DuressKeyboard میتواند بیهیچ هشداری گوشی را پاک کند، تمام تلاشهای ناموفق برای ورود را زیر نظر بگیرد و زمان قفلشدن صفحه را در اختیار داشته باشد.
هم رمز عبورم را میخواست، هم اختیار تمام گوشی را
مجوزها توجیهپذیر بودند، اما خیال آدم را آسوده نمیکردند
اختیارات مدیر دستگاه تنها گام نخست بود؛ DuressKeyboard دسترسیهای بیشتری میخواست. این برنامه باید بهعنوان یکی از صفحهکلیدهای اندروید فعال و سپس به صفحهکلید پیشفرض تبدیل میشد. ازآنجاکه سامسونگ برای واردکردن پین در صفحه قفل از صفحهکلید خودش استفاده میکند، ناچار شدم بازکردن قفل با پین و اثر انگشت را کنار بگذارم و یک رمز عبور متنی تعیین کنم تا برنامه بتواند تلاشهای ورود را زیر نظر بگیرد.
سازنده تأکید میکند که DuressKeyboard همیشه آفلاین میماند و هیچ دادهای گردآوری نمیکند. کد منبع آن نیز عمومی است و اعتمادکردن به برنامه را آسانتر میکند؛ بااینهمه، اینکه تنها روش ورود اطلاعات گوشی باشد، همچنان حس خوشایندی ندارد. البته از پیش هشدار بدهم: ظاهر صفحهکلید زشت است و بهروشنی نشان میدهد سازندگان، کارایی را بر زیبایی ترجیح دادهاند.
به دلیلی نامعلوم، کادر فرمان پاکسازی که دستور حذف در آن تعیین میشود، حروف بزرگ را نمیپذیرفت. بنابراین، کد آزمایشیام را روی erase26! گذاشتم و چند مورد از تنظیمات پیشفرض نگرانکنندهتر را بررسی کردم:
- پاکسازی سیمکارت الکترونیکی (eSIM)، حافظه خارجی و محافظ بازنشانی کارخانه (Factory Reset Protection) بهطور پیشفرض فعال است.
- ماشههای خاموششدن صفحه، شارژ، اتصال یواسبی (USB)، راهاندازی دوباره، قطع شبکه و تعویض صفحهکلید غیرفعالاند.
- حالت کلید مردِ مرده (Dead Hand) نیز بهطور پیشفرض غیرفعال است.
- پاکسازی خودکار پس از واردکردن نادرست رمز عبور یا پین (PIN) روی
0، یعنی «بدون محدودیت»، تنظیم شده است.
فهرست گزینههای تکمیلی نیز چند راه واقعاً آسان برای پاککردن تصادفی گوشی خودتان در اختیارتان میگذاشت:
- تغییر وضعیت شارژ، مانند اتصال یواسبی (USB) یا حتی بلوتوث (Bluetooth)، میتواند بازنشانی را فعال کند.
- اجرای بازنشانی هنگام اتصال شارژر دیواری معمولی.
- اجرای بازنشانی پس از بیش از سه دقیقه قطعبودن آنتن موبایل، برای محافظت در برابر قرارگرفتن دستگاه در قفس فارادی.
- راهاندازی دوباره گوشی برای اجرای بازنشانی و پاکسازی.
- فعالکردن گزینه اجرای بازنشانی با هر بار روشنشدن صفحهنمایش.
- نمایش کادر گذرواژه جعلی در صورتی که نتوان از صفحهکلیدِ صفحه قفل استفاده کرد.
پیش از آزمایش هر ابزار پاکسازی، نسخههای پشتیبان خود را روی دستگاه دیگری باز کنید. نسخه پشتیبانی که درستیاش را نیازمودهاید، چیزی جز یک کپی امیدبخش نیست.
گوشی را با چهار نوع داده یکبارمصرف پُر کردم
بازنشانی یک گوشی خالی تقریباً هیچچیز را ثابت نمیکرد
چون باتری گوشی وضع بسیار بدی داشت و منتظر رسیدن باتری تازهای هستم، از زمانی که رام را روی آن فلش کردم تقریباً خالی مانده بود. باید چند مورد به آن اضافه میکردم تا بتوانم ثابت کنم که واقعاً بهدرستی پاک شده است.
چند عکس به گوشی افزودم؛ از جمله تصویری از یک فایل متنیِ نشانهگذاریشده. سپس مخاطبی با نام «مخاطب آزمایش اجبار» ساختم. تصویر پسزمینه را هم تغییر دادم و در حافظه داخلی پوشهای به نام DURESS-TEST-DATA ایجاد کردم. از نظر تنظیمات و پیکربندی نیز اتصال وایفای و تنظیمات ذخیرهشده برنامهها برای اثبات اینکه گوشی پس از فلششدن استفاده شده بود، کاملاً کفایت میکردند.
گوشی کارت microSD نداشت و حاضر نبودم برای این آزمایش یک eSIM سالم را قربانی کنم. بنابراین، آزمایش میتوانست نشان دهد که آیا برنامه قادر به پاککردن دادههای داخلی است یا نه، اما نمیتوانست کارکرد صددرصدی تکتک گزینههای اعلامشده برای پاکسازی را ثابت کند.
پس از ذخیره فرمان پاکسازی erase26!، برای آخرین بار قفل گوشی را با گذرواژه واقعی باز کردم. همهچیز دستنخورده ماند، اما سازوکار اضطراری دیگر بیتردید آماده عمل بود.
کد خودتخریبی من، سر از تیدبلیوآرپی درآورد
فرمان اجرا شد، اما محیط بازیابی کار را به پایان نرساند
نوت ۲۰ را قفل کردم، erase26! را وارد کردم، نفسم را در سینه حبس کردم و کلید ورود را زدم. واکنش آنی بود: صفحه سیاه شد، نشان آغازین سامسونگ پدیدار شد و سپس گوشی دوباره راه افتاد. تا اینجا DuressKeyboard به وعدهاش عمل کرده بود.
متأسفانه فرایند بازنشانی کارخانهای همانجا متوقف شد. نه پیامی درباره پاکشدن دیدم و نه صفحه راهاندازی اولیه اندروید را. گوشی بیهیچ کار دیگری مستقیماً وارد منوی بازیابی TWRP شد و منتظر ماند.
عمداً از زدن دکمه «پاکسازی» در TWRP خودداری کردم، زیرا پاککردن دستی گوشی هدف استفاده از فرمان اجبار را کاملاً بیمعنا میکرد. در عوض، «راهاندازی دوباره > سامانه» را برگزیدم و سپس اجازه دادم آرتیزانرام بهطور معمول راهاندازی شود.
در کمال ناامیدی، گذرواژه معمولیام همچنان قفل گوشی را باز کرد و همه دادههای آزمایشی هنوز روی دستگاه بودند. حتی به نظر میرسید خود DuressKeyboard نیز از تلاش برای خودتخریبی جان سالم به در برده است.
فرمان آشکارا شناسایی شده بود، زیرا هیچ توضیح دیگری برای راهاندازی دوباره و فوری گوشی وجود نداشت. DuressKeyboard روند بازنشانی کارخانهای را آغاز کرده بود، اما نگارش مشخص TWRP من اجازه اجرای پاکسازیِ در انتظار را نداده بود.
در اصل، هم محیط بازیابی پیشفرض اندروید و هم TWRP میتوانند از این فرمانها پشتیبانی کنند؛ بنابراین این آزمایش ثابت نمیکند که همه نصبهای TWRP در پاککردن گوشی شکست میخورند. فقط نشان میدهد که نصب من، درست در لحظهای که قابلیت اطمینان بیشترین اهمیت را داشت، متأسفانه ناکام ماند.
گرافیناواس کار را به محیط بازیابی واگذار نمیکند
نابودی اعتبارنامههای رمزگذاری با درخواست بازنشانی کارخانهای تفاوتی بنیادین دارد
گرافیناواس از محیط بازیابی نمیخواهد تکتک فایلها را حذف کند. قابلیت اجبار آن در خود سیستمعامل تعبیه شده است و هرجا اعتبارنامههای نمایه کنونی درخواست شوند، پین یا گذرواژه جایگزین را تشخیص میدهد.
با فعالشدن این قابلیت، چندین راز مستقل که برای ساخت کلیدهای رمزگشایی دادههای کاربر ضروریاند نابود میشوند؛ از جمله رازهایی که در مخزنهای کلید سختافزاری و حافظههای SSD نگهداری میشوند. همه eSIMهای نصبشده نیز پاک میشوند.
در نتیجه، بازیابی حافظه رمزگذاریشده بهکلی ناممکن میشود و همزمان گرافیناواس گوشی را خاموش میکند تا همه رازهای باقیمانده نیز از حافظه پاک شوند.
DuressKeyboard در سطح بالاتری کار میکند. روشهای ورودی آن، رشتهٔ فرمان پاکسازی را زیر نظر میگیرند و پس از شناساییاش، تابع پاکسازی «مدیر خطمشی دستگاه» اندروید را فراخوانی میکنند. سپس ROM باید این درخواست را به محیط بازیابی بفرستد تا کنترل را به دست بگیرد و فرایند بازنشانی کارخانه را کامل کند.
البته DuressKeyboard این مزیت را دارد که قابلیتی را در اختیار دارندگان گوشیهای غیر Pixel میگذارد که اندروید در حالت عادی ارائه نمیکند. همچنین ثابت شده است که این برنامه روی گوشیهایی با محیط بازیابی اصلیِ سازگار، بهجای محیطی سفارشی مانند TWRP گوشی من، بهخوبی کار میکند.
بااینحال، متأسفانه نمیتوان پاکسازی اضطراری را واقعاً قابلاعتماد دانست، وقتی تنها راه اثبات کارکرد آن نابود کردن دادههای کاربر است.
رمز پاکسازی، راه فرار قانونی نیست
بگذارید کاملاً روشن بگوییم
وقتی ساموئل تونیک در ۲۴ ژانویهٔ ۲۰۲۵ از جمهوری دومینیکن به آتلانتا بازگشت، مأموران فدرال خواستار دسترسی به گوشی Google Pixel او شدند. او سپس رمزی را که مأموران برای باز کردن قفل گوشی خواسته بودند در اختیارشان گذاشت؛ رمزی که بنا بر اسناد پرونده، پس از وارد شدن باعث شد صفحهٔ گوشی سیاه شود و دستگاه از نو راهاندازی شود.
دادستانها مدعیاند تونیک آگاهانه باعث حذف محتوای دیجیتال گوشی شده است تا دولت نتواند آن را بهشکلی مؤثر ضبط کند. هیئت منصفهٔ عالی فدرال در ۱۳ نوامبر ۲۰۲۵ علیه او کیفرخواست صادر کرد.
تونیک با یک فقره اتهام بر پایهٔ بند ۱۸ U.S.C § ۲۲۳۲(a) روبهرو است. این قانون، نابود کردن، آسیب زدن یا دور انداختن آگاهانهٔ اموال با هدف جلوگیری از تصرف قانونی دولت یا اخلال در آن را در بر میگیرد. محکومیت بر اساس این بند میتواند تا پنج سال زندان در پی داشته باشد.
نصب GrapheneOS یا تنظیم رمز اضطراری، بهخودیخود جرم محسوب نمیشود. اتهام مطرحشده به این موضوع مربوط است که آیا او آگاهانه و با هدف دور زدن تصرف قانونی دولت دست به این کار زده است یا نه.
تونیک خود را بیگناه دانست و وکلای مدافعش با این استدلال که تلاش برای بازرسی غیرقانونی بوده است، خواستار کنار گذاشتن شواهد و اظهارات شدند.
البته برای من پیامدهای بسیار کوچکتری در میان بود. وقتی روشن شد آزمایش شکست خورده است، دسترسی «مدیر دستگاه» DuressKeyboard را غیرفعال و برنامه را حذف کردم. این آزمایش فقط نشان داد که یک برنامهٔ معمولی اندروید میتواند سازوکار فعالسازی GrapheneOS را تقلید کند، اما تضمینی ندارد که همان نتیجه را به بار آورد.
منبع: این مطلب ترجمه و بومیسازی مقالهای از MakeUseOf به قلم Gregory Gibson است. مشاهده مقاله اصلی