Graphene OS

Zitat von SchnittenGott

Allerdings erscheint bei jedem Start die Meldung

"Your device is loading a different operating system.", verbunden mit einem großen gelben Warndreieck.

Ist das so normal/gewollt?

Ja, natürlich!

Das muss auch erscheinen – daran erkennt man als Benutzer auf einen Blick, dass alles in Ordnung ist!

Nach der ersten Installation vergleicht man noch die für das eigene Pixel-Modell relevante Zeile mit dem Verified Boot Key Hash.
Beispiel: Du hast das Pixel 9 Pro, dann muss der Bildschirm nach dem Booten diesen Hashwert anzeigen:
f729cab861da1b83fdfab402fc9480758f2ae78ee0b61c1f2137dd1ab7076e86

Wer supervorsichtig ist, merkt sich z. B. vom Ende die „7076e86” und wirft nach jedem Bootvorgang einen prüfenden Blick darauf.
–Ist aber eigentlich nicht nötig, denn genau das macht „Verified Boot” für Dich (mit dem kompletten Hashwert)!

Technisch unbedarften Nutzern kann man das so erklären: Gelbes Warndreieck bedeutet: Original-Betriebssystem durch besseres ersetzt.

Hier folgt die Übersetzung des relevanten Texts, Quellenangabe dazu unten. Ich empfehle, die Website von GrapheneOS komplett zu lesen.
Diese beantwortet bereits fast alle Fragen, die Neueinsteiger haben.

Überprüfung der Installation

Die von den unterstützten Geräten bereitgestellten Funktionen „Verified Boot“ und „Attestation“ können verwendet werden, um zu überprüfen, ob die Hardware, die Firmware und die GrapheneOS-Installation echt sind. Selbst wenn der Computer, den Sie zum Flashen von GrapheneOS verwendet haben, kompromittiert wurde und ein Angreifer GrapheneOS durch sein eigenes bösartiges Betriebssystem ersetzt hat, kann dies mit diesen Funktionen erkannt werden.

Verified Boot verifiziert die Gesamtheit der Firmware- und Betriebssystem-Images bei jedem Startvorgang. Der öffentliche Schlüssel für die Firmware-Images wird werkseitig in die Sicherungen im SoC eingebrannt. Firmware-Sicherheitsupdates aktualisieren auch den in die Sicherungen eingebrannten Rollback-Index, um einen Rollback-Schutz zu gewährleisten.

Die letzte Bootphase der Firmware vor dem Betriebssystem ist für die Verifizierung zuständig. Für das Standardbetriebssystem wird ein fest verdrahteter öffentlicher Schlüssel verwendet. Bei der Installation von GrapheneOS wird der von GrapheneOS verifizierte öffentliche Boot-Schlüssel in das sichere Element geflasht. Bei jedem Start wird dieser Schlüssel geladen und zur Verifizierung des Betriebssystems verwendet. Sowohl für das Standard-Betriebssystem als auch für GrapheneOS wird ein auf dem Sicherheits-Patch-Level basierender Rollback-Index vom sicheren Element geladen, um einen Rollback-Schutz zu bieten.

Verified Boot Key Hash

Beim Laden eines alternativen Betriebssystems zeigt das Gerät beim Booten einen gelben Hinweis mit der ID des alternativen Betriebssystems an, die auf dem sha256 des verifizierten öffentlichen Schlüssels für das Booten basiert. Bei Pixels der 4. und 5. Generation werden nur die ersten 32 Bits des Hashwerts angezeigt, sodass Sie diesen Ansatz nicht verwenden können. Pixels ab der 6. Generation zeigen den vollständigen Hash an und Sie können ihn mit den offiziellen verifizierten GrapheneOS-Bootschlüssel-Hashes vergleichen …

Quellenangabe

https://grapheneos.org/install/web#verified-boot-key-hash