Hacker News Digest

GrapheneOS подтверждает, что Pixel 11 сохраняет базовую аппаратную поддержку MTE (Memory Tagging Extension), но её производительность была намеренно ухудшена из-за удаления аппаратного ускорения в кэше CPU для снижения стоимости. В результате MTE полностью отключён в прошивке, хотя сам чип теоретически способен его поддерживать. Это делает функцию практически непригодной для использования в стандартных условиях.

Однако существует способ активировать MTE вручную через команду fastboot oem mte on, загрузку нестандартного ядра, игнорирующего флаг arm64.nomte, и резервирование тег-памяти. GrapheneOS сейчас тестирует, полностью ли функциональна такая конфигурация и какие у неё характеристики производительности. Предполагается, что производительность останется крайне низкой, что объясняет решение Google полностью отключить поддержку в ПО и прошивке. Ожидается, что аналогичная ситуация может касаться и старших моделей Pixel 11 Pro и Pro XL, хотя это пока не подтверждено официально.

Тред дополняет статью: MTE в Pixel 11 отключён намеренно ради снижения стоимости, что вызывает серьёзные опасения в безопасности флагмана. MTE — критически важный механизм защиты от уязвимостей памяти (use-after-free, buffer overflow), а не нишевая функция. Отключение его на флагмане ради производительности и экономии неприемлемо, особенно когда Apple уже внедряет улучшенные версии MTE без потерь. При включении MTE в пользовательских сборках наблюдаются частые SIGSEGV, что делает его непригодным для массового использования без глубокой доработки. Google не включает MTE из-за нестабильности, а GrapheneOS готов принять этот компромисс ради безопасности, что подчёркивает разницу в приоритетах. Аппаратная поддержка MTE есть — её отключение в прошивке сознательное решение Google, а не ограничение чипа, что усиливает подозрения в намеренном ослаблении безопасности. Отключение MTE ради экономии на флагмане — признак системного игнорирования безопасности в пользу прибыли. GrapheneOS использует код Google, но добавляет критически важные ограничения, которые Google сознательно отключает, — это необходимая правка, а не «надстройка». Сотрудничество Motorola с GrapheneOS подтверждает, что запрос на высокую безопасность не нишевый — крупные производители видят в этом коммерческую и репутационную ценность. Пользователям, ценящим безопасность, стоит избегать Pixel 11 без GrapheneOS или аналогичной ОС, так как стандартная прошивка Google не обеспечивает базовую защиту. Сравнение с Huawei Nexus показывает, что снижение характеристик — не ошибка, а стратегическое решение, вызывающее более глубокую тревогу, чем технический сбой.

GrapheneOS обеспечивает мощную защиту данных на заблокированных устройствах, опираясь на аппаратные возможности современных Pixel и других совместимых устройств. Основа — защищённый элемент с жёстким ограничением попыток ввода: после 10 неудач — задержка 4 часа, после 15 — 41 день, всего разрешено лишь 20 попыток. При этом система блокирует повторные ошибки, а обновление прошивки защищённого элемента требует аутентификации владельца, что предотвращает принудительное отключение лимитов даже под угрозой. Устройства с Pixel 2 используют эту технологию с 2017 года, а с 2027 года поддержка расширится на устройства Motorola и Qualcomm.

Для усиления защиты GrapheneOS увеличивает максимальную длину пароля до 128 символов, позволяя использовать сложные фразы на основе Diceware. Введён дополнительный двухфакторный режим: после 5 неудачных попыток отпечатка требуется ввод короткого PIN-кода, который считается частью лимита попыток. Это позволяет использовать биометрию для удобства, но требует сильного пароля для полного разблокирования. Также отключена передача данных по USB при заблокированном экране, а система активно использует аппаратные механизмы защиты, включая MTE, для предотвращения эксплойтов. Такие меры особенно важны для защиты активистов, осведомителей и жертв репрессий.

Пользователи GrapheneOS должны обеспечивать полное резервное копирование данных для предотвращения потери при повреждении или конфискации устройства. Обсуждаются риски физических атак на заблокированные устройства — они требуют специального оборудования и экспертизы, но возможны. Для защиты рекомендуется включить автоматическую перезагрузку в режим Before First Unlock (BFU); стандартный интервал — 18 часов, но можно сократить для повышения безопасности. Использование паттерна блокировки менее безопасно, чем длинный пароль или PIN-код — их следует применять для усиления защиты.

Memory Integrity Enforcement (MIE) — пятилетняя разработка Apple, объединяющая возможности собственных чипов и ОС для постоянной защиты памяти без потери производительности. Это крупнейшее обновление безопасности памяти в истории потребительских ОС.

Атаки на iOS ограничены шпионским ПО уровня государств: ценой миллионы долларов, они используют цепочки эксплойтов, основанные на уязвимостях безопасности памяти. Чтобы закрыть этот вектор, Apple:

• создала безопасный язык Swift и переписывает на нём код;
• в iOS 15–17 ввели «типизированные» аллокаторы kalloc_type и xzone malloc, усложняющие эксплуатацию;
• в 2018 году первыми внедрили PAC в A12 для защиты целостности управления;

Оценив стандарт MTE (2019), Apple нашла в нём слабые места и совместно с Arm доработала спецификацию до Enhanced MTE (EMTE, 2022). Ключевые требования Apple: синхронная проверка тегов, постоянная работа и скрытность тегов от злоумышленника. Для этого потребовались глубокие доработки железа, ядра, драйверов и приложений.

• Apple представила Memory Integrity Enforcement (MIE) — систему аппаратно-программной защиты от повреждения памяти, работающую синхронно и по умолчанию на iPhone 17.
• MIE использует расширенное тегирование памяти (EMTE), что резко сокращает число рабочих эксплойт-цепочек: даже при наличии багов восстановить цепь не удалось.
• 4-битные теги (1/16 шанс угадать) защищены частым перевыбором seed и мгновенным крашем при промахе, что делает вероятностные атаки непрактичными.
• Критики отмечают: механизм не спасает от цепочек поставки и усложняет джейлбрейки, превращая устройства в «коммерческие терминалы» без возможности «покопаться внутри».
• Спор об «отсутствии массовых вредоносов» для iPhone: приводятся примеры XcodeGhost, Pegasus и других, но Apple считает их узкими кампаниями, а не эпидемиями.