GrapheneOS ha publicado un repaso exhaustivo a las defensas que su sistema operativo móvil opone a la extracción de datos en dispositivos bloqueados. El proyecto se apoya en las funciones de seguridad de Android 17 y en el hardware más seguro disponible, actualmente los teléfonos Pixel, aunque a partir de 2027 ampliará su soporte gracias a un acuerdo con Motorola Mobility y al trabajo de Qualcomm.
La protección central es el cifrado del disco, que los atacantes rara vez pueden romper de forma directa. Para acceder a los datos necesitan explotar el sistema en estado After First Unlock o probar el PIN o la contraseña por fuerza bruta. Android 16 QPR2 introdujo un rate limiting en el secure element con pausas crecientes: cuatro horas tras diez intentos fallidos y 41 días tras quince, con un máximo de veinte intentos y un sistema que descarta los últimos cinco errores repetidos. GrapheneOS exige dispositivos que implementen esta versión más reciente del mecanismo, presente en los Pixel desde el modelo Pixel 2, lanzado a finales de 2017, y que también incorpora resistencia frente a ataques internos, ya que cualquier actualización del firmware del secure element requiere la autenticación del usuario propietario.
GrapheneOS eleva de 16 a 128 el límite de caracteres de las contraseñas, lo que permite usar frases de alta entropía estilo diceware. Para combinar seguridad y comodidad, ofrece un PIN de segundo factor asociado a la huella, reduciendo los intentos de huella de veinte a cinco. El sistema también añade un temporizador de reinicio automático del dispositivo bloqueado, heredado de una función que ya incluía desde junio de 2021, junto con protección física que corta las conexiones USB y los datos USB cuando el dispositivo está bloqueado. Otras funciones incluyen un PIN de coacción que borra el dispositivo al introducirse en cualquier punto de autenticación, incluida la administración de usuarios secundarios y Private Space, y la posibilidad de devolver perfiles secundarios al estado Before First Unlock sin reiniciar. El proyecto recalca que la base de la seguridad reside en el cifrado y el secure element, sin depender de la contraseña de coacción.