Android 自带虚拟机——工作资料入门指南

简介

Android Work Profile (工作资料)是Google在 Android 5 引入的隔离机制，用于将工作应用和数据与个人应用和数据分开，一方面与生活分开，另一方面企业IT管理员可以统一配置。

Work Profile 的隔离性，可以发挥一个系统自带虚拟机的作用，将危险的App隔离其中，阻断个人数据泄漏。

隐私意义

手机不同于电脑，形态多样，贴近生活，意味着有更丰富的设备指纹，也关联更多个人信息。

对于临时使用的App，重新安装并不确保能刷新用户资料，App通过共享设备指纹、公共数据空间缓存等方式可以实现新装应用和之前删除关系的关联。虽然这对于误删或降级，有利于保持原有Profile，但是对于想无痕模式就很麻烦了。

借助工作资料，可以将不登入账号的临时App装在工作资料这个类似虚拟机的环境中，很容易的清空有限隔离环境，阻断App运营者的追踪。

当然，Work Profile 主要是隔离数据，对于设备指纹只能一定程度上破坏一致性。

机制

同一时间只能配置一个 Work Profile，配置新工作环境需要删除旧环境。
Work Profile 需要应用程序来配置启用，没有系统开关直接开启。
启用 Work Profile 后会有按钮可以随时suspend，非常利于限制后台。

使用

选型

一般的工作资料应用由企业运营，并不能做个人用途。

开源的 Work Profile 应用有 Shelter, Insular 等。这里推荐使用Shelter,考虑到其在AlternativeTo上有更高评分，相比Insular有文件互通传送功能。 Insular作者有个比较。

经测试在博主的几台设备上上Shelter均有更好的兼容性。

以LineageOS为例

⚠️操作前提醒
- 创建或启停 WorkProfile 可能唤醒一些应用如Telegram,需做好网络限制并及时用雹等应用批量强停无关应用。
参考操作流程
1. 删除已有的 WorkProfile (新装跳过)
  - Settings设置 -> Passwords,passkeys&accounts密码、通行密钥和账号 -> Work工作 -> Remove work profile 移除工作资料
  - 原 WorkProfile 中应用图标如果主系统也有会留在原位转为主系统应用图标，需删掉，重开不会转换回去。
2. 打开 Shelter 创建 WorkProfile。
  - 这里开发者会提示 Shelter 不是万能的，请自行处理兼容性问题。所以本文以最通用的开源系统LineageOS为例。
  - 一路下一步即可。
3. Shelter 右上角设置，开启文件穿梭功能。
  - 根据提示在 Work Profile 内外都赋予 Shelter 悬浮窗/档案管理权限。
  - Work Profile 管理App除了这两个可选权限还有很多特权，所以选择可信赖的开源应用就非常重要了。
4. 迁入浏览器 Fennec/Firefox 并设置。
  - 浏览器是非常必要的基础应用，而WorkProfile初始预设App并不包含。
  - 全面启用 HTTPS-Only
  - DoH https://1.1.1.1/dns-query
  - 退出时删除浏览数据
5. 迁入输入法
  - 如 fcixt5 小企鹅输入法
  - 桌面中间上划打开应用抽屉 -> Work工作 -> Settings设置 -> 系统 -> 键盘
6. 迁入应用批量管理App如雹Hail
  - 外部 Shizuku 给予 WorkProfile 中 雹Hail 权限以及时停止工作空间中闲置应用。
7. 通过Shelter迁移必要的应用，并创建图标，复刻权限设置和流量管理。
8. 下载Apk安装需隔离的App。
收尾事项
- 检查迁入应用是否创建桌面图标。
- 检查 WorkProfile 中应用的流量设置。
- WorkProfile 中应用批量管理App如雹Hail的清单是否完整

停用

虽然 Work Profile 启用需要专门的App进行，但关闭以至弃用则是Android的系统功能。

通常系统顶部下拉菜单中会有 Work Profile 的按钮，用于暂停/开启 Work Profile。

一般在系统设置的账户设置中，会有个人和工作两个标签页，进入工作标签页可以找到删除 Work Profile 的选项。删除后 Work Profile 中的内容就都没了。

展望

按照Google的介绍，Work Profile管理App是能访问其中数据的，也许可以通过Work Profile机制实现底层数据导出。