Seguridad en GrapheneOS: configura el sandbox de Google Play

A lo largo de este artículo vas a ver cómo funciona el sandbox de Google Play en GrapheneOS, cómo organizar perfiles de usuario, qué configuraciones usan otros usuarios avanzados, cómo verificar APK en varios perfiles y hasta qué punto tiene sentido hablar de privacidad si sigues usando aplicaciones muy dependientes de Google y Meta. También encontrarás una guía completa para entender y usar GrapheneOS con un enfoque práctico y sin perder de vista los detalles técnicos importantes.

Qué es GrapheneOS y por qué importa de cara a la seguridad

GrapheneOS es un sistema operativo basado en AOSP (el Android libre de Google) diseñado para reforzar al máximo la seguridad y la privacidad en los móviles Pixel. No es simplemente «Android sin Google»: incorpora mitigaciones a nivel de kernel, memoria y sistema que complican muchísimo la explotación de vulnerabilidades y la obtención de acceso persistente al dispositivo; además, permite aplicar controles y consideraciones sobre blobs binarios que afectan al nivel más bajo del sistema.

El proyecto se centra en ofrecer un entorno duro de roer para atacantes: arranque verificado con el chip Titan M, asignador de memoria endurecido, sandbox de apps reforzado, controles avanzados de permisos, copias de seguridad cifradas y bloqueo agresivo de vectores de ataque como NFC o Bluetooth cuando la pantalla está apagada. Todo esto se suma a un diseño minimalista: solo las apps imprescindibles vienen de fábrica, sin bloatware, sin servicios de Google y con una interfaz prácticamente idéntica a AOSP.

¿Cómo es usar GrapheneOS en el día a día?

Al encender por primera vez un Pixel con GrapheneOS te encuentras con una experiencia muy limpia y casi espartana. La ROM incluye únicamente unas pocas aplicaciones básicas: Ajustes, Archivos, Auditor, Calculadora, Calendario, Cámara, Contactos, Galería, Mensajes, Lector PDF, Reloj, Teléfono y el navegador Vanadium, que es un Chromium reforzado a nivel de privacidad y seguridad.

La interfaz es básicamente la de AOSP sin adornos ni capas extra: launcher sencillo, sin fondos de pantalla llamativos (por defecto, fondo negro), sin widgets de terceros ni asistentes ni sugerencias para iniciar sesión en Google. Esta ausencia no es casual, sino parte de la filosofía del proyecto: tú decides qué instalas y qué permisos concedes, y es aconsejable revisar los ajustes de privacidad desde el primer arranque.

Instalar GrapheneOS en un Pixel: menos complicado de lo que parece

Contrariamente a lo que mucha gente piensa, instalar GrapheneOS en un Pixel compatible no exige ser un experto flasheando ROMs. El proyecto ofrece un instalador web oficial que se ejecuta en un navegador moderno y guía el proceso paso a paso.

El flujo estándar consiste en desbloquear el bootloader del Pixel, conectar el teléfono al ordenador por USB y usar el instalador web, que se encarga de enviar las imágenes y comandos necesarios. Una vez termina, se bloquea de nuevo el bootloader para mantener el arranque verificado. En unos 15-30 minutos puedes tener un Pixel reciente (desde la serie Pixel 5 en adelante) funcionando con GrapheneOS, aprovechando el chip de seguridad Titan M sin depender del firmware oficial de Google.

Vivir sin servicios de Google: tiendas alternativas y ecosistema de apps

De fábrica, GrapheneOS no incluye Play Store ni Servicios de Google Play. Si quieres usar solo software libre y minimizar el rastreo, puedes tirar de repositorios como F-Droid para instalar apps open source: Signal para mensajería, Bitwarden para contraseñas, Organic Maps para mapas sin tracking, Nextcloud como nube privada, etc. También hay alternativas de código abierto a las apps de Google que cubren muchas necesidades comunes.

Para acceder a apps que solo están en Google Play, muchos usuarios recurren a Aurora Store, un cliente alternativo que descarga APK directamente de Play Store, sin iniciar sesión con tu cuenta de Google. Aurora puede usar cuentas anónimas generadas por el servicio, aunque no siempre es tan estable ni tan cómodo como la tienda oficial, y algunas aplicaciones (especialmente las de pago o con DRM exigente) pueden dar problemas.

Sandbox de Google Play en GrapheneOS: qué es exactamente

El enfoque distintivo de GrapheneOS es que ofrece la opción de usar Google Play en modo sandbox, sin integrarlo como parte privilegiada del sistema. En un Android convencional, Play Services y compañía se ejecutan como apps de sistema con permisos especiales, firmadas con certificados de la propia plataforma y con acceso a APIs internas muy potentes.

En GrapheneOS, en cambio, Google Play Services, Google Play Store y Google Services Framework se instalan como apps de usuario normales, con su propio UID en el rango de aplicaciones, sin firma de sistema y sometidas al mismo modelo de permisos y sandbox estricto que el resto de apps. No tienen UID 0 (root) ni UID 1000 (sistema), y por tanto no disfrutan de privilegios de sistema ni acceso directo a recursos internos.

Cómo funciona internamente el aislamiento de Google Play

Cuando instalas los componentes de Google desde la App Store de GrapheneOS, cada uno obtiene una identidad numérica propia (UID). Google Play Services y Google Services Framework comparten un UID de app dentro del rango de usuario (por ejemplo, 10xxx), lo que les permite comunicarse entre sí sin romper el aislamiento general.

La Play Store tiene su propio UID independiente, también dentro del rango de apps normales, y está firmada con los certificados de Google, no con los del sistema GrapheneOS. Esto garantiza que, aunque sean oficiales de Google, no puedan hacerse pasar por componentes del sistema. Además, en términos de SELinux, no se ejecutan con contextos privilegiados como «platform:privapp», sino con contextos estándar de aplicación (por ejemplo, «default:targetSdkVersion=34:complete»), lo que refuerza la idea de que son solo apps más dentro del sandbox.

Capa de compatibilidad: que todo funcione sin dar superpoderes

Para que las apps que dependen de Google Play funcionen correctamente, GrapheneOS incluye una capa de compatibilidad específica. Esta capa no concede permisos extra a los servicios de Google, sino que adapta el sistema para que Google Play pueda operar dentro de las restricciones normales de una app sin privilegios.

Gracias a esta compatibilidad, la mayoría de aplicaciones que esperan encontrar Play Services (banca, mensajería, redes sociales, apps de pago con DRM) funcionan como si estuvieran en un Android clásico, aunque en realidad los servicios de Google estén fuertemente limitados. Siguen sin tener UID ni firma de sistema, pero las APIs que necesitan se exponen de forma controlada para no romper la experiencia de usuario.

Dilema práctico: ¿tiene sentido usar GrapheneOS si voy a seguir con Gmail y WhatsApp?

Una duda muy habitual es si usar GrapheneOS pierde sentido cuando tus apps principales son Gmail, WhatsApp, Instagram, etc.. Es verdad que estas aplicaciones suponen una exposición considerable de datos hacia Google y Meta, pero eso no significa que instalar GrapheneOS sea inútil en ese contexto, y conviene valorar si merece la pena instalar GrapheneOS en el móvil según tus prioridades.

Lo que cambia es la superficie de ataque y el nivel de control sobre el dispositivo. Incluso si usas Gmail y WhatsApp en un entorno GrapheneOS, el resto del sistema sigue reforzado: mejores mitigaciones contra exploits, permisos mucho más afinados, arranque verificado, aislamiento entre perfiles, posibilidad de denegar acceso a sensores, bloqueo de red a ciertas apps, etc. No eliminas la telemetría de esas apps, pero sí limitas muchísimo lo que pueden ver y hacer de puertas para adentro.

Perfiles de usuario: la pieza clave para compartimentar tu vida digital

Una de las funciones más potentes de GrapheneOS es el uso de perfiles de usuario completamente aislados. Cada perfil tiene su propio espacio de apps y datos, de modo que una app instalada en un perfil no existe ni ve nada en los demás. Esto es vital cuando quieres encerrar a Google y a apps poco confiables en su propio corral; además, es una forma efectiva de usar el móvil sin cuenta de Google en el perfil principal.

Una configuración típica recomendada por usuarios avanzados sería algo como: perfil principal (Owner) limpio, sin Google, con tus apps más sensibles (banca, mensajería principal, trabajo); un perfil secundario «Google» con los Servicios de Google Play en sandbox y las apps que dependen de ellos; y, opcionalmente, perfiles extra para usos muy concretos (pruebas, apps experimentales, etc.). Esta estructura reduce la posibilidad de mezclar datos sensibles con aplicaciones muy agresivas en cuanto a rastreo.

Configuraciones reales de usuarios de GrapheneOS

Algunos usuarios comparten setups muy detallados que ilustran cómo sacar partido al sistema. Un esquema bastante extremo, pero muy instructivo, incluye usar el perfil Owner como «perfil de administración» y perfiles secundarios para el uso diario.

En ese enfoque, el perfil de propietario enruta todo el tráfico a través de Orbot (Tor), tiene instalada la Google Play Store con una cuenta anónima creada sin número de teléfono, utiliza tiendas alternativas como Obtainium y Accrescent para obtener apps directamente de los desarrolladores, verifica todas las aplicaciones con herramientas tipo App Verifier y, una vez instaladas y revisadas, las deshabilita en el Owner y las empuja a otros perfiles de usuario para su uso cotidiano.

Luego se crean perfiles separados según el nivel de confianza en las apps: uno dedicado a software de código abierto y respetuoso con la privacidad, con el tráfico tunelizado por MullvadVPN, y otro perfil para aplicaciones menos confiables (banca, WhatsApp, etc.), también bajo VPN. El objetivo de esta compartimentación agresiva es que una app problemática en un perfil no pueda acceder a datos ni apps de otro, una estrategia útil para mitigar amenazas como el spyware que apunta a Android.

seguridad de GrapheneOS que no tiene Android

¿Es peligroso tener WhatsApp junto al gestor de contraseñas y el correo?

Una de las preguntas que surgen con este tipo de configuraciones es si conviene tener WhatsApp en el mismo perfil que el gestor de contraseñas o el correo electrónico. Desde el punto de vista de seguridad dura, lo ideal sería separarlos: cuanto menos compartan espacio, mejor. Sin embargo, el sistema de permisos y sandbox de GrapheneOS limita bastante lo que WhatsApp puede hacer si gestionas bien los permisos.

El riesgo principal no es que WhatsApp lea directamente tu base de datos de contraseñas (no puede), sino todo lo que compartes con esa app y los metadatos asociados: contactos, patrones de uso, copia de seguridad en la nube (que además en GrapheneOS pierde la integración con Google Drive), etc. Aun así, compartir perfil con un password manager o una app de correo no implica un desastre automático; simplemente, si quieres un nivel de aislamiento máximo, lo más prudente es usar perfiles separados para mensajería generalista y para tareas muy sensibles.

Teléfono y SMS en perfiles «no confiables»: qué tener en cuenta

Otro punto delicado es activar llamadas y SMS en perfiles considerados menos confiables, como el que alberga apps de banca y WhatsApp. Mientras tengas el control de permisos y mantengas el sistema al día, no es un agujero catastrófico, pero sí amplía superficie de ataque: un SMS malicioso, phishing por llamada o enlaces recibidos vía mensajería se gestionan desde ese perfil.

Si tu modelo de amenaza es alto (por ejemplo, manejo de información muy sensible o riesgos de espionaje dirigidos), puedes optar por restringir SMS y telefonía a un perfil de uso restringido y minimizar lo que instalas allí. Para la mayoría de usuarios avanzados, basta con usar el sentido común, revisar permisos y evitar instalar basura en el perfil donde recibes comunicaciones críticas.

Verificación de APK y apps cuando hay varios usuarios

GrapheneOS ofrece mecanismos para verificar la integridad del sistema y de las apps, pero cuando empleas varios perfiles surge la cuestión de cómo auditar todo. Es importante entender que cada usuario tiene su propia instancia de las aplicaciones: si instalas la misma app en dos perfiles, internamente se consideran instalaciones separadas, cada una con sus datos y configuración.

Para verificar qué hay instalado y su legitimidad, puedes usar el gestor de aplicaciones de cada perfil, revisando permisos y detalles. Usuarios más técnicos recurren a herramientas como App Manager (en entornos de análisis con root temporal, por ejemplo KernelSU) para inspeccionar firmas, UIDs y contextos SELinux de todas las apps. En análisis reales se ha comprobado que las apps de Google en sandbox están firmadas por Google Inc. con sus certificados habituales, y que los certificados de sistema de GrapheneOS son independientes, ratificando que Google Play no se ejecuta como componente de sistema.

Instalar y configurar el sandbox de Google Play paso a paso

Si necesitas Play Store por las apps de banca, trabajo o ciertas compras de pago, puedes instalar el sandbox de Google Play en un perfil específico siguiendo una secuencia razonable para evitar problemas.

1. Crear un perfil de usuario dedicado a Google

Desde Ajustes > Sistema > Múltiples usuarios, puedes añadir un nuevo usuario con nombre descriptivo, por ejemplo «Google» o «Play». Al arrancarlo por primera vez pasarás por un pequeño asistente de configuración. La recomendación es que mantengas este perfil lo más minimalista posible: solo las apps que de verdad requieren Play Services, sin replicar todo tu ecosistema del perfil principal.

2. Instalar los componentes de Google desde la App Store de GrapheneOS

En ese perfil, abre la App Store integrada de GrapheneOS y localiza los componentes: Google Play Services, Google Services Framework y Google Play Store. Lo más sensato es instalarlos en este orden para evitar errores de dependencias internas. Tras cada instalación, revisa con calma los permisos solicitados y decide qué vas a conceder y qué vas a denegar desde el primer momento.

3. Ajustar permisos, sensores y actividad en segundo plano

Una de las ventajas del sandbox es que puedes ser bastante duro con los permisos: negar acceso permanente a la ubicación y concederlo solo cuando una app concreta lo necesite, revocar acceso a contactos si no es imprescindible, bloquear micrófono y cámara cuando no se usan, etc. Además, GrapheneOS permite controlar la actividad en segundo plano y el acceso a la red app por app, lo que reduce tanto telemetría innecesaria como consumo de batería.

4. Elegir o crear la cuenta de Google que vas a usar

Si tu prioridad es la privacidad, muchos usuarios recomiendan usar una cuenta de Google separada y poco vinculada a tu identidad principal. Una práctica habitual es crearla bajo VPN, con un número de teléfono secundario (cuando hace falta) y, si se van a hacer compras, tarjetas virtuales o prepago según lo permitan las condiciones de cada proveedor. Para esto es útil saber cómo cuando sea posible.

Una vez tengas la cuenta, inicia sesión en Play Store solo dentro del perfil «Google». Todas las compras, suscripciones y licencias quedarán asociadas a esa cuenta y a ese perfil concreto. El resto de perfiles ni siquiera sabrá que esa cuenta existe, lo que contribuye a contener la exposición de datos.

Uso real del sandbox: apps de pago, notificaciones y compatibilidad

En la práctica, muchos usuarios de GrapheneOS solo necesitan Google Play para unas pocas apps de pago o muy concretas que no encuentran en F-Droid o como APK directos. Hablamos, por ejemplo, de reproductores multimedia muy pulidos, clientes específicos para Jellyfin, apps profesionales con licenciamiento de Play, etc.

El flujo típico es arrancar el perfil «Google» solo cuando se van a instalar o actualizar apps, mantener ahí exclusivamente las aplicaciones que dependen de Play Services y configurar las actualizaciones automáticas con cuidado. De este modo, se reduce al mínimo el tiempo durante el que los servicios de Google están activos en el dispositivo, y se controla mejor qué cambios de versión entran en juego.

En cuanto a compatibilidad, la mayoría de apps que usan Firebase Cloud Messaging (FCM) para notificaciones push siguen funcionando correctamente dentro del sandbox, gracias a la capa de compatibilidad de GrapheneOS. Eso sí, si eres demasiado agresivo cortando permisos, bloqueando red o matando procesos en segundo plano, es posible que algunas notificaciones lleguen con retraso o fallen en casos extremos.

Comparativa con otras ROMs centradas en privacidad

Dentro del panorama de ROMs Android, GrapheneOS se sitúa en el extremo de máxima seguridad y endurecimiento. Otras alternativas, como CalyxOS, LineageOS o /e/OS, ofrecen diferentes equilibrios entre privacidad, compatibilidad de dispositivos y facilidad de uso.

CalyxOS también se centra en la privacidad, funciona en Pixel y algunos dispositivos adicionales y suele incluir microG para emular parte de los servicios de Google con menos exposición. LineageOS, por su parte, es mucho más flexible en compatibilidad de hardware, pero no llega al nivel de endurecimiento de GrapheneOS. /e/OS apuesta por su propio ecosistema de servicios en la nube y una experiencia más amigable para el usuario final, sacrificando algunas capas de seguridad avanzadas en favor de comodidad; otra alternativa con enfoque en la intimidad es Volla OS.

Limitaciones, fricciones y tipo de usuario al que va dirigido

No todo son ventajas: GrapheneOS solo soporta oficialmente dispositivos Pixel, así que si tu equipo usa otras marcas tendrás que plantearte migrar o buscar otra ROM. Además, algunas apps con DRM o validaciones de integridad muy estrictas (ciertas apps bancarias, servicios de streaming en HD, herramientas corporativas) pueden no funcionar, aunque la compatibilidad mejora con el tiempo.

También hay una curva de aprendizaje inicial: entender perfiles, gestionar permisos al detalle, acostumbrarte a tiendas alternativas y asumir que la experiencia no es tan «enchufar y listo» como en Android stock o iOS. El soporte se basa principalmente en la comunidad, documentación y foros técnicos, lo que puede ser un hándicap para quien no esté dispuesto a trastear un poco.