GrapheneOS overweegt de Pixel 11-serie over te slaan vanwege het ontbreken van ARM Hardware Memory Tagging (MTE) in de hardware en firmware. MTE is een cruciale beveiligingsfunctie die beschermt tegen bijna alle remote exploits en veel lokale exploits, en die door GrapheneOS intensief wordt gebruikt in het basis-besturingssysteem.
Hoewel de Pixel 11 enkele positieve punten heeft, zoals de Titan M3-chip en post-quantum secure verified boot, wordt dit overschaduwd door het wegvallen van MTE en een matige hardware-upgrade vergeleken met de vorige generatie. In contrast hiermee bieden de Snapdragon 8 Elite Gen 5 en Apple's A19-chip wel sterke implementaties van MTE/MIE.
Belangrijkste conclusies:
- GrapheneOS raadt aan om de Pixel 8, 9 of 10 te gebruiken in plaats van de 11.
- Er is een mogelijke verschuiving in focus naar Motorola-toestellen.
- De community is verdeeld over de vraag of de Pixel 11 als 'Tier-2' ondersteund moet worden of volledig genegeerd moet worden om veiligheidsstandaarden te bewaken.
Pixel 11 voldoet (nog) niet aan de beveiligingsnormen van GrapheneOS en wordt mogelijk overgeslagen
Wat is ARM Hardware Memory Tagging (MTE)?
ARM hardware memory tagging (MTE) wordt door GrapheneOS gebruikt in het gehele basis-besturingssysteem, inclusief de kernel en elk standaardproces van het basis-OS. Alleen voor een paar apparaatspecifieke processen is deze functie tijdelijk uitgeschakeld. MTE verbetert de bescherming aanzienlijk tegen bijna alle remote exploits en veel lokale exploits.
Implementatie bij andere fabrikanten en systemen
- Pixel 8: Deze serie werd in oktober 2023 gelanceerd met hardwarematige MTE-ondersteuning. GrapheneOS integreerde dit later die maand in het
hardened_malloc-project en begon het in het hele OS te gebruiken. Android en het standaard Pixel OS zijn hier echter nooit standaard mee begonnen. Alleen de Advanced Protection Mode in Android 16 activeert het voor een beperkt aantal processen.
- Apple: De iPhone 17 beschikt over Memory Integrity Enforcement (MIE), een functie die altijd is ingeschakeld. Dit is in feite een hoogwaardige implementatie van MTE met behulp van de nieuwste standaardextensies. Apple heeft MTE in de meest veilige modus geïntegreerd in de kernel en een groot deel van de gebruikersomgeving.
Verschillen in MTE-benadering
Zowel iOS als Android moedigen app-ontwikkelaars niet aan om MTE en andere agressieve beveiligingsfuncties te gebruiken. In de documentatie van Apple worden ontwikkelaars zelfs gewaarschuwd voor prestatie- en stabiliteitsproblemen.
Het verschil in aanpak is als volgt:
- iOS en Android 16+ AAPM: Gebruiken MTE voor door de gebruiker geïnstalleerde apps alleen als deze expliciet kiezen voor deze optie (opt-in).
- GrapheneOS: Schakelt MTE automatisch in voor meer apps en biedt gebruikers een schakelaar om het voor elke geïnstalleerde app te activeren. Er is een per-app schakelaar om MTE uit te schakelen voor incompatibele apps, wat ongebruikelijk is. GrapheneOS stelt het gebruik van MTE in de standaard allocators afdwingbaar, ongeacht de voorkeur van de ontwikkelaar.
Analyse van de Pixel 11
Positieve verbeteringen
De Pixel 11 bevat enkele beveiligingsverbeteringen, waaronder:
- Overstap naar post-quantum secure verified boot (ML-DSA).
- Vervanging van Samsung Shannon IMS door AOSP IMS.
- De Titan M3-chip, die de bescherming tegen data-extractie in de Before First Unlock (BFU) status aanzienlijk zou moeten verbeteren.
Negatieve punten en tekortkomingen
Ondanks de bovenstaande punten is het wegnemen van MTE een kritiek probleem. Daarnaast is de Pixel 11-serie aanzienlijk duurder, terwijl de verbeteringen minimaal zijn:
- Incrementele verbetering van de CPU.
- Dezelfde ondermaatse GPU.
- Verminderd RAM-geheugen voor de basismodellen van de Pro-serie.
- De modem is pas nu bijgekomen bij de vorige generatie van Qualcomm.
Vergelijking met Snapdragon 8 Elite Gen 5
In vergelijking met de Pixel 11 biedt de Snapdragon 8 Elite Gen 5:
- 40% hogere single-threaded CPU-prestaties.
- 80% hogere multi-threaded prestaties.
- Meer dan 100% hogere GPU-prestaties.
- Een veel betere cellulaire radio.
- Volledige ondersteuning voor MTE. (Deze chip zal worden gebruikt in de eerste Motorola-toestellen met GrapheneOS).
Ontwikkelingen binnen AOSP en GrapheneOS
De Pixel 9a en oudere modellen (inclusief Nexus-apparaten) waren de referentie-apparaten voor het Android Open Source Project (AOSP). Met Android 16 is de ondersteuning voor Pixels echter verwijderd uit AOSP. Hierdoor is het nu moeilijker om Pixels te ondersteunen dan veel andere apparaten, en is er veel vooruitgang op het gebied van open-source firmware en driver-bibliotheken verloren gegaan.
Hoewel GrapheneOS AOSP-patches en Linux-kernel-patches maanden eerder uitbrengt dan het standaard Pixel OS, blijft het project voor firmware en de meeste driver-updates afhankelijk van Google. De samenwerking met Motorola moet helpen om deze afhankelijkheid te verbeteren en eerder over te stappen naar nieuwe kernel-branches.
Advies en toekomstplannen
GrapheneOS raadt ten zeerste af om Pixel 11-toestellen te kopen. De Pixel 8, 9 en 10 bieden een veel betere algehele beveiliging voor GrapheneOS. De Pixel 10 is goedkoper, heeft vergelijkbare hardware en beschikt over MTE. Hoewel de Titan M3 van de Pixel 11 de BFU-beveiliging verbetert voor gebruikers zonder sterk wachtwoord, zorgt het ontbreken van MTE voor een enorme achteruitgang in de AFU-beveiliging (After First Unlock).
Het team heeft nog niet definitief besloten hoe ze met deze situatie omgaan, maar het is mogelijk dat de Pixel 11-serie volledig wordt overgeslagen. De focus zou dan volledig kunnen verschuiven naar de komende Motorola-toestellen. Er is hoop dat de Pixel 11a, net als de 10a (die feitelijk een 9e generatie Pixel was), gebruikmaakt van de 10e generatie hardware en dus MTE bevat.
***
Discussie uit de gemeenschap
Vraag over hardware: Er is discussie over de vraag of MTE fysiek aanwezig is op het apparaat maar door firmware is uitgeschakeld. Onderzoek wijst er momenteel op dat de hardware simpelweg niet aanwezig is.
Standpunten van gebruikers:
- Tegen compromise: Sommige gebruikers vinden dat de GrapheneOS Foundation niet moet concessies doen aan beveiligingseisen. MTE wordt gezien als een van de sterkste beveiligingsfuncties; als dit ontbreekt, zou het toestel niet ondersteund moeten worden om te voorkomen dat gebruikers denken dat "nieuwer altijd beter is".
- Voor behoud Pixel-support: Andere gebruikers suggereren om Pixels toch te ondersteunen, eventueel als "Tier-2", omdat MTE niet het enige voordeel van GrapheneOS is en het riskant is om volledig in te zetten op Motorola.
- Gebruikerservaring: Gebruikers die MTE al gebruiken op oudere Pixels melden dat vrijwel alle apps prima werken en dat slechts een handvol apps incompatibel is.
- Kritiek op Apple: Er wordt opgemerkt dat Apple een goede implementatie heeft met de A19-chip, maar dat het jammer is dat ontwikkelaars dit niet benutten en dat Apple deze bescherming niet breder inzet (bijv. in de MacBook Neo). Er wordt benadrukt dat MTE/MIE essentieel is in een tijdperk waarin AI wordt gebruikt om exploits razendsnel na het vrijkomen van security updates te genereren.
Pixel 11 voldoet (nog) niet aan de beveiligingsnormen van GrapheneOS en wordt mogelijk overgeslagen
Wat is ARM Hardware Memory Tagging (MTE)?
ARM hardware memory tagging (MTE) wordt door GrapheneOS gebruikt in het gehele basis-besturingssysteem, inclusief de kernel en elk standaardproces van het basis-OS. Alleen voor een paar apparaatspecifieke processen is deze functie tijdelijk uitgeschakeld. MTE verbetert de bescherming aanzienlijk tegen bijna alle remote exploits en veel lokale exploits.
Implementatie bij andere fabrikanten en systemen
- Pixel 8: Deze serie werd in oktober 2023 gelanceerd met hardwarematige MTE-ondersteuning. GrapheneOS integreerde dit later die maand in het
hardened_malloc-project en begon het in het hele OS te gebruiken. Android en het standaard Pixel OS zijn hier echter nooit standaard mee begonnen. Alleen de Advanced Protection Mode in Android 16 activeert het voor een beperkt aantal processen.
- Apple: De iPhone 17 beschikt over Memory Integrity Enforcement (MIE), een functie die altijd is ingeschakeld. Dit is in feite een hoogwaardige implementatie van MTE met behulp van de nieuwste standaardextensies. Apple heeft MTE in de meest veilige modus geïntegreerd in de kernel en een groot deel van de gebruikersomgeving.
Verschillen in MTE-benadering
Zowel iOS als Android moedigen app-ontwikkelaars niet aan om MTE en andere agressieve beveiligingsfuncties te gebruiken. In de documentatie van Apple worden ontwikkelaars zelfs gewaarschuwd voor prestatie- en stabiliteitsproblemen.
Het verschil in aanpak is als volgt:
- iOS en Android 16+ AAPM: Gebruiken MTE voor door de gebruiker geïnstalleerde apps alleen als deze expliciet kiezen voor deze optie (opt-in).
- GrapheneOS: Schakelt MTE automatisch in voor meer apps en biedt gebruikers een schakelaar om het voor elke geïnstalleerde app te activeren. Er is een per-app schakelaar om MTE uit te schakelen voor incompatibele apps, wat ongebruikelijk is. GrapheneOS stelt het gebruik van MTE in de standaard allocators afdwingbaar, ongeacht de voorkeur van de ontwikkelaar.
Analyse van de Pixel 11
Positieve verbeteringen
De Pixel 11 bevat enkele beveiligingsverbeteringen, waaronder:
- Overstap naar post-quantum secure verified boot (ML-DSA).
- Vervanging van Samsung Shannon IMS door AOSP IMS.
- De Titan M3-chip, die de bescherming tegen data-extractie in de Before First Unlock (BFU) status aanzienlijk zou moeten verbeteren.
Negatieve punten en tekortkomingen
Ondanks de bovenstaande punten is het wegnemen van MTE een kritiek probleem. Daarnaast is de Pixel 11-serie aanzienlijk duurder, terwijl de verbeteringen minimaal zijn:
- Incrementele verbetering van de CPU.
- Dezelfde ondermaatse GPU.
- Verminderd RAM-geheugen voor de basismodellen van de Pro-serie.
- De modem is pas nu bijgekomen bij de vorige generatie van Qualcomm.
Vergelijking met Snapdragon 8 Elite Gen 5
In vergelijking met de Pixel 11 biedt de Snapdragon 8 Elite Gen 5:
- 40% hogere single-threaded CPU-prestaties.
- 80% hogere multi-threaded prestaties.
- Meer dan 100% hogere GPU-prestaties.
- Een veel betere cellulaire radio.
- Volledige ondersteuning voor MTE. (Deze chip zal worden gebruikt in de eerste Motorola-toestellen met GrapheneOS).
Ontwikkelingen binnen AOSP en GrapheneOS
De Pixel 9a en oudere modellen (inclusief Nexus-apparaten) waren de referentie-apparaten voor het Android Open Source Project (AOSP). Met Android 16 is de ondersteuning voor Pixels echter verwijderd uit AOSP. Hierdoor is het nu moeilijker om Pixels te ondersteunen dan veel andere apparaten, en is er veel vooruitgang op het gebied van open-source firmware en driver-bibliotheken verloren gegaan.
Hoewel GrapheneOS AOSP-patches en Linux-kernel-patches maanden eerder uitbrengt dan het standaard Pixel OS, blijft het project voor firmware en de meeste driver-updates afhankelijk van Google. De samenwerking met Motorola moet helpen om deze afhankelijkheid te verbeteren en eerder over te stappen naar nieuwe kernel-branches.
Advies en toekomstplannen
GrapheneOS raadt ten zeerste af om Pixel 11-toestellen te kopen. De Pixel 8, 9 en 10 bieden een veel betere algehele beveiliging voor GrapheneOS. De Pixel 10 is goedkoper, heeft vergelijkbare hardware en beschikt over MTE. Hoewel de Titan M3 van de Pixel 11 de BFU-beveiliging verbetert voor gebruikers zonder sterk wachtwoord, zorgt het ontbreken van MTE voor een enorme achteruitgang in de AFU-beveiliging (After First Unlock).
Het team heeft nog niet definitief besloten hoe ze met deze situatie omgaan, maar het is mogelijk dat de Pixel 11-serie volledig wordt overgeslagen. De focus zou dan volledig kunnen verschuiven naar de komende Motorola-toestellen. Er is hoop dat de Pixel 11a, net als de 10a (die feitelijk een 9e generatie Pixel was), gebruikmaakt van de 10e generatie hardware en dus MTE bevat.
***
Discussie uit de gemeenschap
Vraag over hardware: Er is discussie over de vraag of MTE fysiek aanwezig is op het apparaat maar door firmware is uitgeschakeld. Onderzoek wijst er momenteel op dat de hardware simpelweg niet aanwezig is.
Standpunten van gebruikers:
- Tegen compromise: Sommige gebruikers vinden dat de GrapheneOS Foundation niet moet concessies doen aan beveiligingseisen. MTE wordt gezien als een van de sterkste beveiligingsfuncties; als dit ontbreekt, zou het toestel niet ondersteund moeten worden om te voorkomen dat gebruikers denken dat "nieuwer altijd beter is".
- Voor behoud Pixel-support: Andere gebruikers suggereren om Pixels toch te ondersteunen, eventueel als "Tier-2", omdat MTE niet het enige voordeel van GrapheneOS is en het riskant is om volledig in te zetten op Motorola.
- Gebruikerservaring: Gebruikers die MTE al gebruiken op oudere Pixels melden dat vrijwel alle apps prima werken en dat slechts een handvol apps incompatibel is.
- Kritiek op Apple: Er wordt opgemerkt dat Apple een goede implementatie heeft met de A19-chip, maar dat het jammer is dat ontwikkelaars dit niet benutten en dat Apple deze bescherming niet breder inzet (bijv. in de MacBook Neo). Er wordt benadrukt dat MTE/MIE essentieel is in een tijdperk waarin AI wordt gebruikt om exploits razendsnel na het vrijkomen van security updates te genereren.
Groetjes,