Witam! W tym tutorialu przyjrzymy się najbardziej bezpiecznej opcji, jeśli chodzi o smartfon – przynajmniej według mnie.
Na wstępie zaznaczę: bez wydania konkretnej kupy Gelda czy też PLN-ów się nie obejdzie. Nasz setup będzie pozbawiony funkcji dzwonienia na numer telefonu, ponieważ w samym smartfonie nigdy nie wyląduje karta SIM.
Połowa osób pewnie właśnie opluła ekrany, łapiąc się za głowę i pytając w myślach:

💡 Na czym polega plan?

Cały misterny plan opiera się na tym, aby używać internetu z mobilnego routera na karty SIM (i to nie byle jakiego). W smartfonie z zainstalowanym systemem GrapheneOS nigdy nie używamy karty SIM, wyłączamy całkowicie usługi GPS i trzymamy się twardych zasad BHP pracy z takim urządzeniem.

📱 Czym w ogóle jest GrapheneOS?

W największym skrócie: to system operacyjny bazujący na AOSP (Android Open Source Project). Jest to najbezpieczniejszy i najbardziej prywatny system mobilny dostępny dla zwykłego użytkownika.
To nie jest "kolejny Custom ROM" do zabawy. To profesjonalny projekt stawiający na security hardening (utwardzanie bezpieczeństwa) i privacy by design. Nawet Edward Snowden przyznał, że sam z niego korzysta.

🛡️ Najważniejsze funkcje (Killer Features):

• Całkowity brak Google (De-Googled): System domyślnie nie ma żadnych usług Google. Twój telefon nie wysyła w tle danych o Twojej lokalizacji czy aktywności na serwery korporacji.
• Sandboxed Google Play: To "game changer". Jeśli potrzebujesz jakiejś apki Google (np. Mapy), możesz je zainstalować jako zwykłe aplikacje. Działają one w izolacji (piaskownicy) i nie mają dostępu do reszty telefonu.
• Bezpieczeństwo: Utwardzony kernel, lepsze zarządzanie pamięcią, szybkie łatki bezpieczeństwa (często szybciej niż na stockowym Androidzie!).
• Przeglądarka Vanadium: Specjalnie wzmocniona wersja Chromium, domyślna w systemie.

📱 Na czym to działa?

Paradoksalnie GrapheneOS działa oficjalnie tylko na telefonach Google Pixel. Dlaczego? Bo mają najlepszy chip bezpieczeństwa (Titan M2) i pozwalają na ponowne zablokowanie bootloadera przy niestandardowym kluczu (Verified Boot). Dzięki temu nikt nie wgra Wam złośliwego softu bez Waszej wiedzy.


📶 Wybór routera – Nasze centrum łączności

Jeśli telefon ma być w pełni bezpieczny, musimy ogarnąć drugie urządzenie (router). Osobiście uważam, że GrapheneOS na co dzień jako jedyny telefon może doprowadzić do szewskiej pasji, ale do bezpiecznych operacji jest zajebisty.
Samą instalację systemu pominę, bo łatwo ją znaleźć w sieci: Instrukcja instalacji. Skupmy się na routerze.

Opcja „Budget”:

Jeśli milicja nie ma na Ciebie takiego parcia, jak przeciętny użytkownik tego forum na metaklefedron (XD), możesz kupić najzwyklejszy mobilny router Alcatela albo inne gówno z Temu i puszczać ruch przez aplikację Orbot na telefonie.

Opcja „PRO / BOSS”:

1. GL.iNet GL-X3000 (Spitz AX) – Bestia wydajności (5G)

To jest "starszy brat" modelu Mudi. Jeśli masz budżet i zależy Ci na prędkości, to jest topowy wybór.
• Zalety: Obsługuje 5G oraz Wi-Fi 6. Ma bardzo mocny procesor, dzięki czemu obsługa protokołu WireGuard osiąga prędkości nawet do 150-200 Mbps (dla porównania, zwykłe routery dławią się przy 20 Mbps).
• VPN: Natywna obsługa OpenVPN i WireGuard. Fizyczny przełącznik z boku obudowy do włączania VPN.
• Wada: Nie ma wbudowanej baterii (musi być podłączony do prądu lub powerbanka przez USB-C). Jest też dość duży i drogi (ok. 2000+ zł).

2. Teltonika RUT241 / RUT950 – Pancerne rozwiązanie przemysłowe

Jeśli bardziej niż na prędkości zależy Ci na tym, żeby sprzęt działał w każdych warunkach (np. wrzucasz go do plecaka, auta, czy domku letniskowego i zapominasz), celuj w litewską markę Teltonika.
• Zalety: Sprzęt klasy przemysłowej. Metalowa obudowa, niesamowita stabilność (system RutOS bazujący na OpenWRT). Bardzo rozbudowane opcje konfiguracji VPN (OpenVPN, IPsec, WireGuard, ZeroTier).
• Wady: Interfejs jest trudniejszy (mniej "user friendly" niż w GL.iNet). Procesory są nastawione na niezawodność, a nie wydajność – przy włączonym VPN prędkość spadnie zauważalnie (często poniżej 20-30 Mbps). Brak wbudowanej baterii.
• Cena: Ok. 700-900 zł.

3. Cudy LT500 / LT18 – Budżetowa alternatywa

Coraz popularniejsza marka, która w przeciwieństwie do TP-Linka, wpycha obsługę VPN do domowych routerów LTE.
• Zalety: Cena. Model LT500 kupisz za ok. 300-400 zł. Obsługuje klientów PPTP / L2TP / OpenVPN / WireGuard. To najtańszy sposób na router LTE z VPN "prosto z pudełka".
• Wady: Jakość wykonania jest "plastikowa". Oprogramowanie jest proste, ale nie daje takiej kontroli jak OpenWRT w GL.iNet czy Teltonice. Prędkości VPN będą przeciętne.

💡 Dlaczego protokół ma znaczenie? (Ważna uwaga techniczna)

Kupując router do tego zestawu, musisz używać protokołu WireGuard, a nie OpenVPN.

• OpenVPN: Jest stary i "ciężki". Mobilne routery mają słabe procesory. Na OpenVPN wyciągniesz max 10-15 Mbps prędkości.
• WireGuard: Jest nowoczesny i lekki. Na tym samym routerze wyciągniesz 50-80 Mbps (lub więcej na modelu Spitz AX).

Oczywiście możemy szukac alternatyw dla tych propozycji. Bo sa duzo tańsze modele, lub i takie ktore nie maja funkcji przepuszczenia ruchu siecii przez VPN-a domyślnie ale da sie zmienić ich oprogramowanie.

🏆 Mój wybór: GL.iNet GL-E750 (Mudi) v2

To jest przenośny router 4G/LTE z wbudowaną baterią (7000 mAh), który został stworzony z myślą o prywatności.
Dlaczego to idealny partner dla GrapheneOS?
• Natywna obsługa Tor: W panelu administratora masz po prostu suwak/przycisk do włączenia Tora. Nie musisz nic hackować ani wpisywać komend w terminalu. Cały ruch z urządzeń podłączonych do Wi-Fi idzie przez sieć cebulową.
• OpenSource: Działa na zmodyfikowanym OpenWRT. To oznacza, że nie ma tam (teoretycznie) tylnych furtek, jakie mogą mieć routery Huawei czy ZTE.
• Fizyczny przełącznik (Kill Switch): Z boku obudowy masz przełącznik, który możesz zaprogramować. Np. pstryknięcie włącza Tora lub VPN.
• Anonimizacja sprzętowa: Twój operator sieci (Orange, Play, T-Mobile itp.) widzi IMEI routera, a nie Twojego Pixela. GrapheneOS domyślnie losuje adres MAC przy łączeniu z Wi-Fi, więc jesteś bardzo trudny do śledzenia (router robi za tarczę).
• DNS over TLS (Cloudflare/NextDNS): Możesz zaszyfrować zapytania DNS bezpośrednio na routerze.
Alternatywa (nieco tańsza/inna budowa):
• GL.iNet GL-XE300 (Puli): Też ma baterię i LTE, ale wygląda bardziej jak klasyczny router przemysłowy (ma anteny na zewnątrz). Działa na tej samej zasadzie.

⚠️ O czym musisz pamiętać (Ważne!):

• Zasada "Nie krzyżuj strumieni": Jeśli włączysz Tor na routerze, NIE włączaj już Orbot/Tor Browser na telefonie z GrapheneOS.
• Tor over Tor (tunelowanie Tora w Torze) nie zwiększa bezpieczeństwa, a drastycznie niszczy prędkość i często uniemożliwia połączenie (węzły wyjściowe mogą odrzucać takie pakiety).
• Prędkość: Cały ruch przez Tor będzie wolny. Streaming w 4K czy pobieranie dużych plików będzie bolesne. To rozwiązanie do komunikacji tekstowej, maili i lekkiego przeglądania.
• Captchas: Przygotuj się na to, że 90% stron będzie kazało Ci klikać w pasy dla pieszych i hydranty. Ruch z węzłów wyjściowych Tora jest często flagowany jako "podejrzany".
• Karta SIM: Najlepiej użyj pre-paida kupionego za gotówkę i zarejestrowanego (w Polsce niestety obowiązek) na "słupa" lub w punkcie, który nie weryfikuje zbyt wnikliwie, aby zachować pełną anonimowość.
•
Podsumowując: Kup GL.iNet Mudi (GL-E750). To drogi sprzęt (ok. 800-1000 zł), ale do Twoich zastosowań nie ma lepszej, gotowej alternatywy.

⚠️ Kluczowe zasady BHP (Jak nie dać się dojechać)

Sam sprzęt to nie wszystko. Musisz wiedzieć, jak się z nim obchodzić:
• Izolacja przy starcie: Gdy dostaniesz Pixela i router, nie włączaj ich w domu. Nie łącz się z domowym Wi-Fi. Twój prywatny telefon ma być wyłączony (dla pewności owiń go folią aluminiową).
• Pierwsza konfiguracja: GrapheneOS i router konfiguruj „na mieście” lub na osobnej karcie SIM. Po wszystkim wyłącz sprzęt, wyjmij kartę SIM, owiń wszystko folią i dopiero wtedy odpal prywatny telefon.
• Zasada dwóch urządzeń: Nigdy, przenigdy nie miej włączonego routera i telefonu z GrapheneOS obok swojego prywatnego smartfona z Twoją prawdziwą kartą SIM!
• DLACZEGO? Jeśli oba urządzenia zalogują się do tego samego BTS-a w tym samym czasie, jesteś do namierzenia w minutę. Milicja powiąże Twój prywatny numer z Twoim „anonimowym” setupem.
• Higiena danych:
• Nigdy nie loguj się na prywatne socjale (FB, IG, itp.).
• Nie korzystaj z bankowości na swoje prawdziwe dane.
• Zmieniaj karty SIM w routerze jak najczęściej (kupuj pre-paidy za gotówkę).
• Nigdy nie podawaj nikomu numeru karty, która siedzi w routerze.
• Nigdy nie zabieraj obu telefonów (prywatnego i bezpiecznego) w to samo miejsce w tym samym czasie.
Ten config nie sprawi, że magicznie staniesz się nieuchwytny dla służb specjalnych, ale pomoże Ci stać się niewidzialnym w terenie dla standardowej analityki i "smutnych panów".

Czy warto? niech sobie kazdy odpowie sam.
Jest to oczywiscie tylko propozycja oraz przedstawienie metody na anonimizacje smartfona.
Zachecam do dyskusji w komentarzach