CalyxOS ist zurück, GrapheneOS bleibt trotzdem die bessere Wahl

CalyxOS ist zurück und setzt auf eine neue HSM-Signierung. GrapheneOS bleibt auf Pixel-Geräten dennoch die deutlich sicherere Lösung.

Hintergründe der langen Auszeit

CalyxOS verteilt die Verantwortung neu

Alte Installationen lassen sich nicht aktualisieren

Die Bootloader-Sperre bleibt kompliziert

Nicht jedes Gerät erreicht denselben Sicherheitsstand

Das SHIFTphone 8 wird erst spät unterstützt

CalyxOS hält an microG fest

CalyxOS setzt auf F-Droid & Aurora

Warum GrapheneOS die bessere Wahl ist

Google Dienste machen den Unterschied

CalyxOS muss jetzt dauerhaft liefern

Knapp ein Jahr lang hat CalyxOS keine regulären Sicherheitsupdates mehr bereitgestellt. Jetzt kehrt das Projekt mit Version 7.2.2.0 zurück. Die neue Ausgabe basiert auf Android 16 und bringt neben aktuellen Patches eine vollständig überarbeitete Signierlösung mit.

Hintergründe der langen Auszeit

CalyxOS hatte seine Veröffentlichungen im August 2025 eingestellt, nachdem mehrere führende Personen das Projekt verlassen hatten. Darunter befanden sich Calyx-Gründer Nicholas Merrill und der technische Leiter Chirayu Desai. Beide hatten zuvor Zugriff auf wichtige Teile der Infrastruktur und die Signierschlüssel.

CalyxOS erklärte zwar, dass es keine Hinweise auf gestohlene oder missbrauchte Schlüssel gebe. Das Team tauschte sie dennoch vollständig aus und strukturierte den gesamten Veröffentlichungsprozess neu. Eine sichere Lösung ließ sich nicht innerhalb weniger Wochen umsetzen. Aus der ursprünglich angekündigten Pause von vier bis sechs Monaten wurden am Ende fast elf Monate.

In dieser Zeit blieben die installierten Geräte auf ihrem alten Sicherheitsstand. Weder neue Android-Patches noch aktuelle Firmware der Hersteller erreichten die Smartphones. Deshalb empfahl CalyxOS seinen Nutzern, vorübergehend zu einem anderen gepflegten System zu wechseln, um die Sicherheit ihrer Geräte weiterhin gewährleisten zu können.

CalyxOS verteilt die Verantwortung neu

Version 7.2.2.0 nutzt erstmals die neue Signierinfrastruktur. CalyxOS speichert die privaten Schlüssel nicht mehr als gewöhnliche Dateien auf einem Rechner, sondern schützt sie mithilfe von Hardware Security Modules, kurz HSM.

Dafür kommen zwei YubiHSM-2-Geräte zum Einsatz. Eines übernimmt die reguläre Signierung, das zweite dient als Reserve. Der interne Speicher der HSMs reicht allerdings nicht für alle Schlüssel aus, die CalyxOS für seine verschiedenen Geräte und Systemkomponenten benötigt. Deshalb setzt das Projekt auf Key Wrapping.

Die eigentlichen Signierschlüssel liegen verschlüsselt außerhalb des HSM. Der Schlüssel, der sie wieder entschlüsseln kann, verlässt die Hardware jedoch nicht. Dadurch sollen die privaten Schlüssel während der Signierung nie im Klartext auf dem Rechner landen.

CalyxOS signiert seine Builds weiterhin manuell auf einem dafür vorgesehenen System. Das HSM wird nur für diesen Vorgang angeschlossen. Das Team hat den zentralen Sicherungsschlüssel außerdem mit Shamir’s Secret Sharing in fünf Teile aufgeteilt. Drei davon reichen aus, um ihn wiederherzustellen. Damit kann keine einzelne Person allein über die vollständige Sicherung verfügen.

Auch die Rollen für Signierung, Administration und Kontrolle liegen nun bei verschiedenen Personen. Der Ausfall oder Rückzug eines Mitarbeiters soll das Projekt dadurch nicht erneut ins Wanken bringen oder vollständig blockieren.

Trail of Bits hat die Skripte für die Einrichtung der HSMs sowie den Ablauf der sogenannten Provisioning Ceremony geprüft. Leider deckt der Audit nur diesen Teil der Infrastruktur der CalyxOS-Entwickler ab. Er bestätigt nicht automatisch die Sicherheit des gesamten Betriebssystems, aller Änderungen am Android-Code oder jeder vorinstallierten App.

Alte Installationen lassen sich nicht aktualisieren

Nutzer von CalyxOS 6.10.10, 6.10.20 oder einer älteren Version können nicht auf Version 7.2.2.0 aktualisieren. Diese Installationen vertrauen nur den alten Signierschlüsseln und akzeptieren die neuen Builds deshalb nicht als reguläres Update.

Betroffene Nutzer müssen den Bootloader entsperren, das Gerät löschen und CalyxOS vollständig neu installieren. Nur der zuvor veröffentlichte Testbuild 7.2.1.0 kann direkt per OTA-Update auf die neue Version wechseln.

Auf jeden Fall empfiehlt sich vorher eine vollständige Sicherung. Die Backup-Software SeedVault kann Apps, App-Daten und Dateien übernehmen, erfasst aber nicht alles. Einige Programme verweigern den Zugriff auf ihre Daten oder verwenden eigene Sicherungsverfahren. Auch Berechtigungen, Benachrichtigungseinstellungen und verschiedene Systemdaten müssen nach der Wiederherstellung erneut eingerichtet werden.

Der Web........

© Tarnkappe