kurz Buď připraven · lekce 5

krizový telefon · návod 3 ze 3

Nastavení telefonu

LineageOS běží, F-Droid a Aurora máš nainstalované. Teď přijde druhá polovina práce — konfigurace zabezpečení, síťové hygieny, baterie, aplikací a offline dat. Bez tohoto kroku máš jen čistý Android bez Googlu, ne krizový nástroj.

Filozofii a disciplínu kolem krizového telefonu (čtyři optimalizace, zlaté pravidlo, „nepůjčuj, nepropojuj”) najdeš v rozcestníku Krizový telefon. Tady jsou konkrétní nastavení.

1. Zabezpečení a šifrování

1.1 Šifrování úložiště

LineageOS šifruje úložiště automaticky po prvním factory resetu v recovery (proběhlo, pokud jsi následoval návod na instalaci). Není co nastavovat — šifrování běží na pozadí a klíč je odvozen od zámku obrazovky.

1.2 Silný zámek obrazovky

LineageOS na A52s nabízí v Nastavení → Zabezpečení a soukromí → Odemknutí zařízení jen PIN a otisk prstu. Doporučení:

Proč ne otisk prstu jako hlavní obrana. V ČR tě policie může donutit přiložit prst (biometrie není „svědectví proti sobě samému”). PIN musíš vydat pouze na základě konkrétního soudního příkazu — a i tak existuje právo nevypovídat. V krizovém scénáři s autoritářským režimem je to zásadní rozdíl. Před hranicí, kontrolou nebo v podobné situaci telefon restartuj — po restartu vyžaduje PIN, otisk neumožňuje odemčení (stav „Before First Unlock”).

1.3 Trust

LineageOS má vestavěnou aplikaci Trust, která sleduje stav zabezpečení a soukromí:

Nastavení → Zabezpečení a soukromí → Další zabezpečení a ochrana soukromí → Trust

Projdi všechna varování, řeš červené.

2. Síťová hygiena

2.1 Vypnout všechno, co nepotřebuješ

Krizový telefon žije trvale v letovém režimu. Když ho potřebuješ připojit, aktivuj jen to, co právě potřebuješ:

2.2 Privátní DNS

Telefon standardně používá DNS servery sítě, ke které se zrovna připojí — a jejich provozovatel (operátor, kavárna, hotel) dotazy vidí a loguje. Vyměň za něco soukromého:

Nastavení → Síť a internet → Privátní DNS → Název hostitele poskytovatele privátního DNS

Doporučuji: base.dns.mullvad.net (Mullvad, Švédsko, bez logů, blokuje reklamy a trackery; dokumentace). Varianta all.dns.mullvad.net blokuje navíc i sociální sítě — v krizi ale bývají zdrojem místních informací, takže ji pro krizový telefon nevol.

Nedoporučuju pro krizový telefon: 1.1.1.1 (Cloudflare, USA), 8.8.8.8 (Google).

2.3 Firewall — NetGuard (volitelné)

NetGuard (z F-Droid) je síťový filtr (no-root firewall). Funguje jako lokální VPN — Android dovoluje VPN aplikaci přesměrovat veškerou komunikaci přes sebe a NetGuard toho zneužije: data podle pravidel buď propustí, nebo zahodí. Žádný root nepotřebuje, žádná data nikam neposílá.

Pro každou aplikaci si zvlášť rozhodneš, jestli má přístup na Wi-Fi a na mobilní data. Doporučený režim je default deny — všechno blokované, povoluješ jen ručně.

Co NetGuardem získáš:

Kdy NetGuard neřešit: Pokud na krizovém telefonu máš jen apky z F-Droidu a pár ověřených z Aurora Store, většina z nich je už ze své podstaty offline-first. F-Droid komunita telemetrii hlídá a podezřelé chování označuje (anti-features). Pro tento profil telefonu je NetGuard spíš nadstavba pro toho, kdo chce mít každou TCP relaci pod kontrolou — ne nezbytnost.

Konflikt s VPN. Android dovolí jen jednu „VPN” aplikaci najednou. Když máš zapnutou skutečnou VPN (sekce 2.4), NetGuard zapnout nemůžeš a naopak. Vyber strategii podle scénáře: filtruješ doma (NetGuard), nebo tuneluješ venku (VPN).

2.4 VPN (volitelná)

VPN šifruje veškerý provoz mezi telefonem a serverem provozovatele a vystrčí ho do internetu odjinud. Pro krizový telefon má smysl hlavně ve čtyřech situacích:

  1. Veřejná nebo nedůvěryhodná Wi-Fi — kavárna, hotel, hotspot souseda. Bez VPN vidí provozovatel sítě, jaké domény navštěvuješ; s VPN vidí jen šifrovaný tunel do jednoho bodu.
  2. Skrytí před mobilním operátorem — operátor logy ukládá ze zákona. S VPN vidí jen, že máš VPN, ne kam chodíš.
  3. Obejití cenzury — když režim zablokuje Signal, Wikipedii nebo zpravodajské weby, VPN se připojí ven a obsah projde.
  4. Pojistka pro DNS — pokud provozovatel sítě zablokuje Mullvad DNS-over-TLS (sekce 2.2), VPN to obejde tunelem.

Kdy VPN nepotřebuješ: doma s vlastní Wi-Fi a důvěryhodným ISP, nebo když telefon vůbec nepoužíváš online (OsmAnd offline, Kiwix offline).

Doporučení: Mullvad VPN (Švédsko, F-Droid):

VPN v autoritářském režimu. Některé režimy detekují a blokují i samotný VPN provoz. Mullvad nabízí obfuskaci (WireGuard přes Shadowsocks nebo Obfs4) — zapni v klientovi v sekci „Obfuscation”. Provoz pak vypadá jako náhodný šum, ne jako VPN, a běžnou hloubkovou inspekcí (DPI) projde.

3. Baterie a výdrž

3.1 Nastavení pro dlouhý spánek

Krizový telefon tráví život v letovém a úsporném režimu — a v krizi musí vydržet několik dnů ostrého použití. Vše, co u něj nedává smysl, vypni nebo přepni na minimum:

Položky najdeš v Nastavení pod sekcemi Displej, Zvuk a Aplikace; přesné názvy se mezi verzemi LineageOS mírně mění.

3.2 Spořič baterie

Nastavení → Baterie → Spořič baterie

Zapni a zvol automatickou aktivaci na vyšší procento (např. 50 %), nebo nech permanentně zapnutý. Spořič omezuje aktivitu na pozadí, snižuje jas a ztiší animace — pro krizový telefon, který má vydržet, je to defaultní stav, ne nouzové opatření.

3.3 Péče o baterii

A52s nemá výměnnou baterii, takže musíš chránit tu vestavěnou:

Zápis do kalendáře. Jednou měsíčně si naplánuj 10 minut „údržba krizového telefonu”: zkontroluj LineageOS aktualizace, ověř že Seedvault záloha funguje, a projdi dril ze sekce 7.3. Levnější než mrtvý telefon při prvním ostrém použití.

4. Aplikace — instaluj v tomto pořadí

Filozofie: méně je víc. Každá apka navíc = další žrout baterie a další útočná plocha. Pokud apku nepotřebuješ pro konkrétní krizový scénář, neinstaluj ji.

4.1 F-Droid (už by měl být nainstalovaný)

F-Droid už máš z instalace LineageOS. Doplň ještě tyto repozitáře (F-Droid → Nastavení → Repozitáře):

4.2 Aurora Store

Pro stažení komerčních apek (Signal apod.) bez Google účtu:

Co Aurora umí a neumí. Anonymous login funguje pro většinu zdarma dostupných apek. Placené apky stáhnout neumí (potřebují Google účet). U některých apek nemusí jít aktualizovat, pokud Google změní podpis. Pro krizové potřeby anonymous stačí — vše kritické je z F-Droid.

4.3 Komunikace

Signal nebo Molly (přes Aurora Store): - Standard pro šifrovanou komunikaci - Funguje i bez Google Services (Signal má vlastní push systém) - Vyžaduje internet + telefonní číslo - Krizový scénář: každodenní komunikace, ne off-grid

Molly (F-Droid přes IzzyOnDroid): - Fork Signalu s extra security funkcemi - Databáze lze zašifrovat dalším heslem nad rámec zámku telefonu - Pro paranoidnější použití než Signal

4.4 Mapy a navigace

Vyber jednu ze dvou — instalace obou je zbytečná duplicita. Liší se filozofií, ne kvalitou:

OsmAnd~ (F-Droid verze s tildou — neomezená)

Organic Maps (F-Droid)

Když nevíš, vyber OsmAnd~. Krizový telefon má řešit nejhorší scénáře — orientaci v neznámém terénu, evakuaci, hledání alternativní trasy mimo dálnice. To Organic Maps nezvládnou. Když strávíš pár desítek minut OsmAndem v klidu doma, získáš jednu apku, která pokryje všechno — město, hory, silnice, terén. Méně apek = méně závislostí v krizi.

4.5 Znalostní báze

Krizový telefon nahrazuje knihovnu i Wikipedii. Které víc, záleží na tobě — obě následující varianty jsou volitelné, ne povinné. Rozhodni se podle vlastních zájmů a místa na microSD.

PDF zobrazení je vestavěné v aplikaci „Soubory” v LineageOS, žádnou další apku pro PDF nepotřebuješ.

Čtečka knih (volitelné)

Librera FD (F-Droid) — open-source čtečka pro EPUB, PDF, MOBI, FB2, DjVu, CBZ, TXT a další. Vestavěné TTS, integrace slovníku, noční režim, vlastní stylování. Lehká (~15 MB), bez reklam, bez telemetrie.

Zdroje legálně volných českých knih:

Drž se legálních zdrojů. Krizový telefon je nástroj, ne sklad ukradeného. Pirátské knihy nestahuj — kromě právního rizika je to praktický problém: nemáš jistotu, že soubor není upravený nebo zaviralený.

Wikipedia — Kiwix (volitelné)

Kiwix (F-Droid) — čtečka offline ZIMů. ZIM je komprimovaný offline snapshot webu (Wikipedia, Wikislovník), který si stáhneš jednou a prohledáváš lokálně.

Doporučený obsah pro krizi:

Anglické ZIMs (WikiMed, Where There Is No Doctor, Stack Exchange) jsou pro česky mluvícího uživatele bez angličtiny v krizi málo užitečné — vynech.

ZIM soubory stáhneš z library.kiwix.org.

MicroSD kapacita. Plný balík Wikipedia (15 GB plná verze) + offline mapy (~15–20 GB) + e-knihy + PDF + NewPipe videa = zhruba 40–60 GB. A52s podporuje microSD až 1 TB. Kup minimálně 256 GB, ideálně 512 GB SanDisk Extreme (A1/A2 rated).

Překladač

Překladač Google (přes Aurora Store, anonymous login) — pro offline překlad celých vět česky ↔︎ jiné jazyky. Po instalaci stáhni offline jazyky pro stejné země jako máš stažené mapy (DE, PL, AT, IT, HU, HR, …).

Proč Google v krizovém telefonu. Google Translate odporuje filozofii „bez Googlu”, ale offline překlad celých vět v kvalitě CZ ↔︎ EN/DE/PL/HU od nikoho jiného nedostaneš. Aurora anonymous = staženo bez Google účtu, žádné přihlášení. Vědomý kompromis pro reálnou použitelnost na hranici a v cizině.

4.6 Správa hesel

KeePassDX (F-Droid): - Offline databáze hesel v jednom šifrovaném souboru - Kompatibilní s KeePass / KeePassXC na desktopu

Master heslo měj na třech místech. KeePass databáze + master heslo = přístup ke všemu. Měj je ve třech kopiích: v telefonu (denní použití), na zálohovacím USB (mimo telefon), vytištěné na papíře (master heslo + recovery klíč v trezoru nebo u rodiče). Když ztratíš telefon a heslo si nepamatuješ, ztratíš přístup ke všemu.

4.7 2FA autentikátor

Aegis Authenticator (F-Droid): - Export/import šifrované databáze - Kompatibilní s Google Authenticator, Authy formáty - Vestavěné lokální zálohování

Pravidelně exportuj a heslo k databázi měj jinde. Když ztratíš telefon bez aktuální zálohy, ztratíš přístup ke všem účtům s 2FA (banka, e-mail, Apple ID, …). Exportuj jednou za 3 měsíce do šifrovaného souboru, ulož na USB, heslo k exportu napiš na papír odděleně.

4.8 Média offline

NewPipe (F-Droid): - YouTube bez Googlu, bez reklam - Umí stáhnout video/audio offline — buduj si knihovnu tutoriálů (první pomoc, kutilství, přežití) - Podporuje i PeerTube a SoundCloud

AntennaPod (F-Droid): - Podcast klient s offline stahováním

VLC (F-Droid): - Univerzální přehrávač — cokoliv si uložíš, přehraje

4.9 Syncthing

Syncthing (F-Droid) je P2P synchronizace souborů mezi zařízeními — bez cloudu, bez účtu, bez prostředníka. Dvě (nebo víc) zařízení si vzájemně sdělí svůj klíč, dohodnou se na sdílených složkách a od té chvíle si soubory drží v sync, kdykoliv se obě vidí v síti.

Co tím získáš na krizovém telefonu:

Nastav „Send Only” tam, kde to dává smysl. Pokud telefon padne nebo ho někdo kompromituje, nesmažou se ti zálohy doma. Klíčové složky drž na telefonu jako Send Only (telefon posílá, neakceptuje změny zpátky), na NASu Receive Only. Jednosměrný tok = pojistka proti omylům i útokům.

Co naopak vynechat - Cokoliv od Googlu, Facebooku, Microsoftu - Cokoliv co vyžaduje účet u cloudového poskytovatele, kterého neovládáš - Cokoliv s reklamami (obvykle znamená tracking) - „Zábavní” apky, které nepotřebuješ pro žádný krizový scénář

5. Offline knowledge base

Cíl: aby telefon sám o sobě byl knihovna. Když všechno padne, máš v kapse:

5.1 Co stáhnout

  1. OsmAnd mapy — ČR plus realistické únikové směry (~15–20 GB; samotné Německo a Francie jsou po několika GB):
    • Česká republika
    • Slovensko
    • Polsko
    • Německo
    • Rakousko
    • Maďarsko
    • Slovinsko
    • Chorvatsko
    • Itálie
    • Švýcarsko
    • Francie
    • Rumunsko
    • Srbsko
  2. Wikipedia CZ plná verze (volitelné, ~15 GB) přes Kiwix — pro dlouhou izolaci a referenční otázky
  3. E-knihy do Librera FD (volitelné, podle chuti) — z mlp.cz, Wikisource, Project Gutenberg. Klasika, naučná literatura, beletrie. Drž se legálních zdrojů.
  4. Osobní PDF knihovna (do Documents/Osobni/):
    • Skeny dokladů (OP, pas, řidičák)
    • Zdravotní záznamy rodiny (alergie, krevní skupina, chronická medikace)
    • Pojistné smlouvy
    • Telefonní čísla blízkých (i papírově)
    • Manuály k lékům
    • Mapy regionu, kam byste evakuovali
  5. Česká PDF knihovna — praktické příručky (do Documents/Prirucky/):
    • ČČK Standardy první pomoci (cervenykriz.eu) — autorizovaná česká příručka
    • Vojenské příručky AČR — některé volně dostupné (přežití v terénu, polní zdravotnické zabezpečení, topografie)
    • Atlas hub a léčivých rostlin (skenované, legální zdroje)
    • Ústava ČR + krizový zákon č. 240/2000 Sb. — pro orientaci v právech občana za krize
    • Manuály k tvojí konkrétní technice — auto, vařič, generátor, solární panel
  6. NewPipe offline videa:
    • První pomoc (kurzy)
    • Opravy (auto, dům)
    • Specifické dovednosti (rybaření, sklizeň, vaření)

5.2 Adresářová struktura microSD

Strukturuj microSD podle účelu, ne náhodně:

/sdcard/Krize/
├── Documents/
│   ├── Osobni/          # skeny dokladů, zdravotní záznamy, pojistky
│   └── Prirucky/        # ČČK, AČR, atlas hub, manuály k technice
├── Books/               # EPUB pro Librera FD
├── Maps/OsmAnd/         # OsmAnd mapy
├── Kiwix/               # ZIM soubory (Wikipedia CZ)
├── Videos/              # NewPipe offline
├── Backup/              # KeePass, Aegis export
└── Firmware/            # LineageOS ZIP, recovery.img (pro reinstalaci)

MicroSD jako Portable Storage. Při prvním vložení karty LineageOS se zeptá: „Použít jako přenosné úložiště” nebo „Jako rozšíření interní paměti”. Vždy vyber Portable Storage. Pokud telefon zemře, kartu vyndáš a dáš do jiného zařízení. Při „Internal Storage” je karta zašifrovaná klíčem konkrétního telefonu — jinde ji nepřečteš.

5.3 Instalačky offline (záložní APK)

V krizi z F-Droid nebo Play Store nic nestáhneš. Připrav si proto složku s instalačními APK všeho podstatného:

/sdcard/Krize/INSTALACKY/
├── F-Droid.apk
├── AuroraStore.apk
├── Signal.apk            # nebo Molly.apk
├── KeePassDX.apk
├── Aegis.apk
├── OsmAnd.apk            # nebo OrganicMaps.apk — podle volby v 4.4
├── Translator.apk        # Překladač Google z Aurora
├── LibreraFD.apk         # volitelně, pokud chceš e-knihy
├── Kiwix.apk             # volitelně, pokud máš Wikipedia ZIM
├── NetGuard.apk          # volitelně
└── README.txt            # poznámky k verzím a postupu reinstalace

Stáhni APK přímo z F-Droid (F-Droid → app → ⋮ → Show APK) nebo z webu vývojáře. Aktualizuj jednou za 6 měsíců.

Tahle drobnost zachraňuje krizi. Když po výpadku internetu nebo přeinstalaci telefonu nebudeš mít přístup k F-Droid, máš v ruce všechno potřebné. Bez tohoto kroku je krizový telefon po factory resetu k ničemu, dokud se nedostaneš online.

6. Backup strategie

6.1 Co a kam zálohovat

Interní zálohy (na telefonu, pro rychlou obnovu): - LineageOS Seedvault backup → lokální soubor na microSD - KeePass databáze → microSD + autoupload přes Syncthing (na NAS nebo desktop)

Externí zálohy (mimo telefon):

  1. USB-C flash disk (64 GB+, kvalitní značka):
    • LineageOS instalační ZIP
    • recovery.img + vbmeta.img (pro reinstalaci)
    • Stock Samsung firmware (pro případ návratu)
    • Všechny APK z /sdcard/Krize/INSTALACKY/
    • Export Aegis databáze (šifrovaný; heslo na papíře jinde)
    • Textový soubor s postupem obnovy
  2. Druhá microSD karta (stejná velikost jako ta v telefonu):
    • Kompletní obsah /sdcard/Krize/
  3. Papírová záloha (v trezoru nebo u rodiče):
    • Master heslo k KeePass
    • Heslo k Aegis exportu
    • Recovery seed k Seedvaultu (12 slov)
    • Telefonní čísla blízkých
    • Crypto recovery seeds (pokud máš)

6.2 Seedvault setup

LineageOS má vestavěný Seedvault — šifrované zálohy bez Googlu. V některých buildech LineageOS cesta Nastavení → Systém → Zálohy chybí (známý bug); pokud ji nevidíš, otevři přímo aplikaci Seedvault z menu aplikací.

Recovery seed bez papíru = ztracená záloha. Bez 12 slov nedešifruješ Seedvault zálohu. Pokud ji uložíš jen v telefonu (KeePass) a telefon ztratíš, záloha je k ničemu. Napiš na papír, dej do trezoru nebo k důvěryhodné osobě.

6.3 Pravidelnost

7. Aktualizace a údržba

7.1 LineageOS OTA

Aktualizace LineageOS chodí přes vestavěný Updater:

Nastavení → Systém → Aktualizace systému → zapnout automatické kontroly

Před major upgrade vždy zálohuj. Major verze LineageOS (např. 23 → 24) občas vyžaduje factory reset, takže přijdeš o všechna data. Před každým major upgrade udělej Seedvault zálohu a ověř, že obnovení funguje (ideálně na testovacím zařízení nebo z druhé microSD).

7.2 F-Droid auto-update

F-Droid → Settings → Updates → zapni automatické stahování (jen na Wi-Fi, šetří data).

7.3 Drilování — jednou měsíčně

Mít telefon nastavený je polovina práce. Druhá polovina je vědět, co s ním. Jednou měsíčně simuluj krizový scénář:

8. OPSEC (operational security)

Threat model — komu se vlastně bráníš? OPSEC není „skryj všechno”. Každá rada níže má smysl proti konkrétnímu soupeři. Než se rozhodneš, co skrývat, zeptej se: kdo by se na mě mohl zaměřit a co by tím získal?

  • Krádež v MHD — zámek a šifrování stačí, OPSEC neřeš.
  • Domácí násilník, bývalý partner, vlezlý kolega — skryj telefon fyzicky, šifruj silně, zvaž vlastní SIM.
  • Korporace sbírající data — vyhni se Googlu, používej DNS bez logů, anonymní účty.
  • Stát s cíleným zájmem o tebe (novinařina, aktivismus v autoritářském režimu) — plná diskrétnost, žádné stopy v sociálních sítích, anonymní SIM, Faraday.

Jsem vědomě výjimkou. Píšu o krizovém telefonu veřejně, protože vzdělávat ostatní pro mě převažuje nad rizikem cíleného útoku. Spoléhám na to, že skutečná ochrana stojí na kryptografii, ne na utajení — útočník nedokáže prolomit AES-256 šifrování jen proto, že ví, že ho používám. Bez mého hesla se k datům nedostane, ať ví nebo neví, co mám v telefonu. Naopak „bezpečnost přes obskuritu” — ochrana založená na tom, že o telefonu nikdo neví — je iluzorní: jakmile se to provalí, ochrana je nulová. Posuď svůj vlastní kontext, ne ten můj.

8.1 Co (ne)říkat a (ne)ukazovat

8.2 Fyzická bezpečnost

8.3 Digitální stopy

Bankovní aplikace v krizovém telefonu

České banky a Play Integrity / SafetyNet — orientační stav (mění se):

Banka Funguje bez Play Integrity Fix Poznámka
ČSOB Smart Banka obvykle ano citlivá na major OS upgrade
Air Bank obvykle ano nejstabilnější z českých
mBank obvykle ano ale mění se s každou verzí apky
Komerční banka problematická striktní Play Integrity check
Revolut problematická striktní detekce root/custom ROM
Fio obvykle ano webová verze funguje spolehlivě

Pro krizový telefon banku neřeš. Krizový telefon má jiný účel než denní bankovnictví. Bankovní apky nech v hlavním telefonu, v krizovém řeš platby přes webovou verzi banky (funguje vždy) nebo hotovost z evakuačního zavazadla.

Závěrečný checklist

Tři finální rady

1. Nejhorší krizový telefon je ten, který nefunguje, když ho potřebuješ. Nos ho denně, dobíjej průběžně (minimálně na 70 %) a jednou měsíčně zkontroluj aktualizace, zálohu a že se po aktualizaci nic nerozbilo. Bez téhle rutiny je krizový telefon po půl roce mrtvý.

2. Žádná technologie nenahradí skutečné dovednosti. Telefon s ČČK příručkou první pomoci je k ničemu, když jsi nikdy první pomoc nedělal. Kurz první pomoci > jakákoliv apka. Mapa v OsmAnd > GPS, když nevíš číst v terénu.

3. Méně je víc. Pokus mít 40 apek „pro každý případ” skončí tak, že baterie vydrží 6 hodin a telefon je nepoužitelný. 10 dobře vybraných apek, které znáš nazpaměť, je zlatý standard.

Doufám, že to nikdy nebudeš muset naostro použít.