GrapheneOS удалила сертификаты eMudhra после компрометации и исправила сбои Google Play

22 октября 2026 года разработчики GrapheneOS объявили о выпуске сборки 2026102100 для поддерживаемых смартфонов Google Pixel. Обновление удаляет несколько корневых сертификатов eMudhra после обнаружения скомпрометированных ключей, исправляет отдельные сбои Google Play и проблему установки приложения Google. Изменения затрагивают проверку защищённых соединений, совместимость приложений и работу фоновой проверки безопасности устройства.

GrapheneOS исключила сертификаты eMudhra из доверенного хранилища

В сборке 2026102100 разработчики удалили действующий корневой сертификат eMudhra на эллиптических кривых (ECDSA) и два устаревших корневых сертификата того же удостоверяющего центра. Поводом стала компрометация ключей промежуточных центров сертификации eMudhra, информация о которой появилась в октябре.

17 октября исследователь сообщил команде безопасности Chrome о проблеме с восемью промежуточными сертификатами. Как позднее объяснила Google, их закрытые ключи создавались с недостаточно надёжной случайностью. Из-за этой ошибки посторонний мог восстановить ключ и изготовить поддельный HTTPS-сертификат для чужого сайта. Такой сертификат опасен, если устройство продолжает доверять соответствующей цепочке и злоумышленник получает возможность перехватывать соединение.

Chrome заблокировал затронутые промежуточные сертификаты через механизм CRLSet ещё 17 октября. GrapheneOS в новой сборке дополнительно убрала корневые сертификаты из системного доверенного хранилища. Удаление корня затрагивает и программы, которые проверяют HTTPS-сертификаты через это хранилище и не используют собственный механизм отзыва.

При этом один действующий корневой сертификат eMudhra на алгоритме RSA остался доверенным: по словам команды GrapheneOS, он широко используется. Разработчики обсуждают возможность его удаления или отключения по умолчанию. Для сайтов с цепочкой доверия через уже удалённый корень возможны ошибки проверки соединения до замены сертификата или настройки альтернативной доверенной цепочки. Масштаб таких случаев в примечаниях к релизу не указан.

Исправлены падения сервисов Google Play и установка приложения Google

Вторая заметная часть релиза связана с Sandboxed Google Play — механизмом, который позволяет запускать официальные сервисы Google как обычные приложения Android с ограниченными разрешениями. Пользователь GrapheneOS может установить их в выбранный профиль; системные привилегии сервисам при этом не предоставляются.

Предыдущая сборка 2026101600 изменила способ взаимодействия со свежими версиями Google Play services: вместо прежнего RpcProvider разработчики перешли к привязке к сервисам и сообщениям Android. Теперь команда исправила обработку типов foreground services — фоновых задач, о работе которых Android сообщает пользователю и для которых действуют отдельные правила запуска. Ошибка в этом механизме приводила к аварийному завершению некоторых служб при использовании новых версий Play services и Play Store.

Отдельная правка добавляет недостающее объявление процесса gmscompat. Оно устраняет проблему с установкой Google Search App — приложения Google, которое в магазине обычно называется просто «Google». Его легко спутать с Google Play Store или Google Play services, хотя это разные программы. Например, в официальном трекере GrapheneOS ранее разбирался случай, когда для голосовых команд Android Auto требовалась установка именно приложения Google. Само исправление установки ещё не гарантирует совместимость каждой функции Android Auto.

Эти изменения имеют конкретный пользовательский сценарий: приложения, которым нужны сервисы Google, могут зависеть от корректного запуска фоновых служб и возможности установить дополнительные компоненты. Разработчики заявляют об исправлении определённых сбоев, поэтому распространять результат на все приложения из Play Store было бы преждевременно.

Auditor сохраняет фоновые проверки, даже если приложение долго не открывали

В Android есть механизм автоматического перевода давно неиспользуемых приложений в спящий режим. Через 90 дней без запуска он мог затронуть Auditor — приложение GrapheneOS для проверки подлинности и состояния безопасности устройства. Система удаляла запланированное задание удалённой аттестации, после чего появлялись предупреждения об отсутствии очередной проверки.

В версии 2026102100 Auditor получил встроенное исключение из такого режима. Явные исключения добавлены и для App Store и System Updater, которые отвечают за приложения и обновление самой системы. Раньше они опирались на исключения, предоставляемые Android по другим признакам системных компонентов.

Разработчики также отменили усиление защиты приложений с экранами, доступными при блокировке телефона, введённое в предыдущем выпуске. Причиной названы проблемы совместимости. В ядра Linux веток 6.1, 6.6, 6.12 и 6.18 перенесены дополнительные исправления безопасности, а защищённый браузер Vanadium обновлён до версии 156.0.8078.47.0.

Сборка 2026102100 доступна в стабильном канале для поддерживаемых Pixel

Официальное объявление появилось 22 октября, хотя номер 2026102100 соответствует подготовке сборки 21 октября. На странице загрузок GrapheneOS при проверке версия 2026102100 уже указана для каналов Stable, Beta и Alpha поддерживаемых устройств, включая семейства Pixel 6–10, Pixel Fold и Pixel Tablet. Система распространяет обновления автоматически по воздуху — OTA.

В обсуждении выпуска пользователи поделились разными результатами. Один владелец Pixel 10 Pro сообщил, что у него по-прежнему аварийно завершаются Google Play services и из-за этого задерживаются уведомления. Другой пользователь написал, что платёжное приложение PhonePe заработало после обновления. Это отдельные сообщения, которые не позволяют определить, сколько устройств затрагивает каждая проблема.

GrapheneOS одновременно устраняет последствия компрометации сертификатов и конкретные ошибки совместимости Google Play. Системная защита от подозрительных цепочек HTTPS теперь стала строже, а часть фоновых служб получила исправления. Вопрос о дальнейшей судьбе оставшегося корневого сертификата eMudhra RSA команда пока рассматривает; перечня всех приложений, чьи сбои устранены, разработчики не публиковали.