Hacker News Digest

GrapheneOS не может завершить порт на Pixel 11 из-за отсутствия поддержки аппаратного тегирования памяти (MTE) в прошивке, firmware и, вероятно, самом железе — функция, которую Google, по-видимому, отключил для экономии. MTE используется GrapheneOS по всей системе, включая ядро и стандартные процессы, и значительно повышает защиту от удалённых и локальных эксплойтов. В отличие от этого, Pixel 8 и новее имеют MTE, а Apple реализовала аналогичную технологию (MIE) в iPhone 17 как всегда включённую функцию высокого качества.

Хотя Pixel 11 получил улучшения вроде постквантовой проверки загрузки (ML-DSA), Titan M3 и замену модема на AOSP IMS, эти плюсы перевешиваются потерей MTE, удорожанием и слабыми аппаратными обновлениями: тот же GPU, уменьшенная RAM в базовых Pro-моделях и лишь догоняющий Qualcomm-модем. По сравнению с Snapdragon 8 Elite Gen 5, Pixel 11 отстаёт по производительности CPU и GPU, а также по радиомодулю. GrapheneOS настоятельно рекомендует не покупать Pixel 11, предлагая вместо этого Pixel 8, 9 или 10 — устройства с MTE и лучшим соотношением цены и безопасности, либо ждать поддержки Motorola-устройств, где MTE присутствует.

Pixel 11 имеет аппаратную поддержку MTE, но она отключена в прошивке. GrapheneOS не будет поддерживать устройство, пока MTE не будет включена официально на уровне ОС, даже если функция появится в Android 17 QPR2 Beta или в режиме developer option. Пользователи считают, что Google пожертвовал безопасностью ради снижения стоимости, что делает обновление нецелесообразным. Многие решили пропустить Pixel 11, оставшись на Pixel 8 или 10a из-за минимальных улучшений новой модели. При этом Pixel 8 подвержен массовым сбоям материнских плат через два года эксплуатации. Pixel 10a и 9a считаются последними надежными моделями с поддержкой GrapheneOS и без агрессивных функций вроде Gemini. Опыт владельцев Pixel 6, 7 и 10 подтверждает, что покупка предыдущих моделей по сниженной цене — оптимальная стратегия. Несмотря на это, выгодные предложения трейд-ин на Pixel 11 в 2024 году делают апгрейд экономически привлекательным. Среди пользователей ведутся споры: одни полагают, что MTE отключена из-за аппаратных проблем или в интересах спецслужб, другие обсуждают целесообразность использования устройств Google для обеспечения безопасности через GrapheneOS. Рекомендации: — Не обновлять работающий телефон и избегать новых моделей с отключенными функциями безопасности. — Выбирать Pixel 10 или 9a как стабильную альтернативу с поддержкой GrapheneOS. — Рассматривать устройства Motorola с предустановленной GrapheneOS от сторонних поставщиков. Отдельно отмечается медленная реакция EU-регуляторов на антиконкурентные действия Google. Сравнение с Apple считается неуместным, так как Apple полностью запрещает альтернативные ОС, в то время как Google лишь ограничивает открытость Android на практике.

GrapheneOS подтверждает, что Pixel 11 сохраняет базовую аппаратную поддержку MTE (Memory Tagging Extension), но её производительность была намеренно ухудшена из-за удаления аппаратного ускорения в кэше CPU для снижения стоимости. В результате MTE полностью отключён в прошивке, хотя сам чип теоретически способен его поддерживать. Это делает функцию практически непригодной для использования в стандартных условиях.

Однако существует способ активировать MTE вручную через команду fastboot oem mte on, загрузку нестандартного ядра, игнорирующего флаг arm64.nomte, и резервирование тег-памяти. GrapheneOS сейчас тестирует, полностью ли функциональна такая конфигурация и какие у неё характеристики производительности. Предполагается, что производительность останется крайне низкой, что объясняет решение Google полностью отключить поддержку в ПО и прошивке. Ожидается, что аналогичная ситуация может касаться и старших моделей Pixel 11 Pro и Pro XL, хотя это пока не подтверждено официально.

Тред дополняет статью: MTE в Pixel 11 отключён намеренно ради снижения стоимости, что вызывает серьёзные опасения в безопасности флагмана. MTE — критически важный механизм защиты от уязвимостей памяти (use-after-free, buffer overflow), а не нишевая функция. Отключение его на флагмане ради производительности и экономии неприемлемо, особенно когда Apple уже внедряет улучшенные версии MTE без потерь. При включении MTE в пользовательских сборках наблюдаются частые SIGSEGV, что делает его непригодным для массового использования без глубокой доработки. Google не включает MTE из-за нестабильности, а GrapheneOS готов принять этот компромисс ради безопасности, что подчёркивает разницу в приоритетах. Аппаратная поддержка MTE есть — её отключение в прошивке сознательное решение Google, а не ограничение чипа, что усиливает подозрения в намеренном ослаблении безопасности. Отключение MTE ради экономии на флагмане — признак системного игнорирования безопасности в пользу прибыли. GrapheneOS использует код Google, но добавляет критически важные ограничения, которые Google сознательно отключает, — это необходимая правка, а не «надстройка». Сотрудничество Motorola с GrapheneOS подтверждает, что запрос на высокую безопасность не нишевый — крупные производители видят в этом коммерческую и репутационную ценность. Пользователям, ценящим безопасность, стоит избегать Pixel 11 без GrapheneOS или аналогичной ОС, так как стандартная прошивка Google не обеспечивает базовую защиту. Сравнение с Huawei Nexus показывает, что снижение характеристик — не ошибка, а стратегическое решение, вызывающее более глубокую тревогу, чем технический сбой.

GrapheneOS обеспечивает мощную защиту данных на заблокированных устройствах, опираясь на аппаратные возможности современных Pixel и других совместимых устройств. Основа — защищённый элемент с жёстким ограничением попыток ввода: после 10 неудач — задержка 4 часа, после 15 — 41 день, всего разрешено лишь 20 попыток. При этом система блокирует повторные ошибки, а обновление прошивки защищённого элемента требует аутентификации владельца, что предотвращает принудительное отключение лимитов даже под угрозой. Устройства с Pixel 2 используют эту технологию с 2017 года, а с 2027 года поддержка расширится на устройства Motorola и Qualcomm.

Для усиления защиты GrapheneOS увеличивает максимальную длину пароля до 128 символов, позволяя использовать сложные фразы на основе Diceware. Введён дополнительный двухфакторный режим: после 5 неудачных попыток отпечатка требуется ввод короткого PIN-кода, который считается частью лимита попыток. Это позволяет использовать биометрию для удобства, но требует сильного пароля для полного разблокирования. Также отключена передача данных по USB при заблокированном экране, а система активно использует аппаратные механизмы защиты, включая MTE, для предотвращения эксплойтов. Такие меры особенно важны для защиты активистов, осведомителей и жертв репрессий.

Пользователи GrapheneOS должны обеспечивать полное резервное копирование данных для предотвращения потери при повреждении или конфискации устройства. Обсуждаются риски физических атак на заблокированные устройства — они требуют специального оборудования и экспертизы, но возможны. Для защиты рекомендуется включить автоматическую перезагрузку в режим Before First Unlock (BFU); стандартный интервал — 18 часов, но можно сократить для повышения безопасности. Использование паттерна блокировки менее безопасно, чем длинный пароль или PIN-код — их следует применять для усиления защиты.

Memory Integrity Enforcement (MIE) — пятилетняя разработка Apple, объединяющая возможности собственных чипов и ОС для постоянной защиты памяти без потери производительности. Это крупнейшее обновление безопасности памяти в истории потребительских ОС.

Атаки на iOS ограничены шпионским ПО уровня государств: ценой миллионы долларов, они используют цепочки эксплойтов, основанные на уязвимостях безопасности памяти. Чтобы закрыть этот вектор, Apple:

• создала безопасный язык Swift и переписывает на нём код;
• в iOS 15–17 ввели «типизированные» аллокаторы kalloc_type и xzone malloc, усложняющие эксплуатацию;
• в 2018 году первыми внедрили PAC в A12 для защиты целостности управления;

Оценив стандарт MTE (2019), Apple нашла в нём слабые места и совместно с Arm доработала спецификацию до Enhanced MTE (EMTE, 2022). Ключевые требования Apple: синхронная проверка тегов, постоянная работа и скрытность тегов от злоумышленника. Для этого потребовались глубокие доработки железа, ядра, драйверов и приложений.

• Apple представила Memory Integrity Enforcement (MIE) — систему аппаратно-программной защиты от повреждения памяти, работающую синхронно и по умолчанию на iPhone 17.
• MIE использует расширенное тегирование памяти (EMTE), что резко сокращает число рабочих эксплойт-цепочек: даже при наличии багов восстановить цепь не удалось.
• 4-битные теги (1/16 шанс угадать) защищены частым перевыбором seed и мгновенным крашем при промахе, что делает вероятностные атаки непрактичными.
• Критики отмечают: механизм не спасает от цепочек поставки и усложняет джейлбрейки, превращая устройства в «коммерческие терминалы» без возможности «покопаться внутри».
• Спор об «отсутствии массовых вредоносов» для iPhone: приводятся примеры XcodeGhost, Pegasus и других, но Apple считает их узкими кампаниями, а не эпидемиями.