Pixel 11 perde una protezione hardware: GrapheneOS getta la spugna

GrapheneOS potrebbe non supportare la serie Pixel 11. La possibile decisione nasce da un elemento hardware che il progetto considera centrale per la sicurezza: il Memory Tagging Extension (MTE) di ARM.

Gli sviluppatori riferiscono di aver completato solo un port parziale del sistema operativo e di non poterlo portare a termine in assenza del supporto al memory tagging hardware necessario a livello di software e firmware, con un problema che potrebbe riguardare anche l’hardware. Per questo GrapheneOS raccomanda al momento di non acquistare Pixel 11 e indica Pixel 8, Pixel 9 e Pixel 10 come alternative. La posizione, tuttavia, non equivale ancora a una decisione definitiva sull’abbandono della nuova generazione.

Perché MTE è importante per GrapheneOS

MTE protegge da diverse vulnerabilità legate alla gestione della memoria associando tag a blocchi di memoria e ai relativi puntatori. Il processore può così verificare la corrispondenza tra i due valori e rilevare accessi non validi. ARM utilizza tag a 4 bit su blocchi da 16 byte: una tecnica che non elimina ogni possibile errore, ma può intercettare molte forme di use-after-free e corruzione della memoria.

GrapheneOS integra questa capacità con hardened_malloc e altri meccanismi, tra cui tag casuali e quarantena degli oggetti liberati. Il progetto ha introdotto il supporto MTE in hardened_malloc nel 2023 e, con Android 16, lo ha esteso ai principali allocatori del kernel attraverso Hardware Tag-Based KASAN. Per GrapheneOS, quindi, il memory tagging è parte dell’hardening del sistema e non una semplice funzione aggiuntiva.

Secondo gli sviluppatori, il Pixel 11 presenta una possibile regressione proprio su questo punto. Il port parziale non può essere completato perché manca il supporto necessario all’ARM hardware memory tagging. Se la limitazione dipendesse effettivamente dal silicio, un aggiornamento software o firmware non potrebbe ricreare una funzionalità hardware assente. GrapheneOS mantiene comunque una formulazione prudente sul livello esatto del problema.

Pixel 11 cambia le prospettive per GrapheneOS

Il nuovo modello introduce anche Titan M3, destinato a migliorare la protezione dei dati prima del primo sblocco. GrapheneOS riconosce questo vantaggio nello stato BFU, Before First Unlock, ma considera la perdita di MTE più grave nello stato AFU, After First Unlock. Le due tecnologie intervengono infatti su scenari di sicurezza differenti e non sono equivalenti.

La vicenda evidenzia inoltre quanto il sistema operativo dipenda dalle caratteristiche della piattaforma Pixel. Secondo GrapheneOS, il progressivo allontanamento del supporto Pixel da AOSP rende più complesso il mantenimento del porting, mentre driver e firmware proprietari restano componenti che il progetto non può sostituire integralmente. Anche un sistema operativo fortemente orientato alla sicurezza può quindi applicare le proprie mitigazioni soltanto quando l’hardware sottostante espone le capacità necessarie.

La decisione sul Pixel 11, però, non è ancora definitiva. GrapheneOS lascia aperta la possibilità che modelli successivi, come Pixel 11a, utilizzino una piattaforma derivata dalla generazione precedente e mantengano MTE. Il punto tecnico già espresso dagli sviluppatori è che il memory tagging rappresenta una componente fondamentale dell’hardening: per questo, un dispositivo più recente che ne fosse privo potrebbe risultare meno adatto a GrapheneOS rispetto a un modello precedente.