GrapheneOS dice addio ai Pixel 11: Google avrebbe rimosso una protezione hardware critica

🛡️ Executive Summary

• GrapheneOS ha completato un port parziale sui Pixel 11 ma afferma di non poterlo finalizzare per l’assenza del supporto hardware ARM MTE.
• Memory Tagging Extension protegge contro gran parte degli exploit basati sulla corruzione della memoria ed è utilizzata estesamente da GrapheneOS.
• Il progetto valuta di saltare l’intera serie Pixel 11 e concentrare il supporto sui futuri Motorola progettati insieme ai requisiti GrapheneOS.

GrapheneOS potrebbe interrompere per la prima volta la propria continuità con la famiglia Google Pixel e saltare completamente la serie Pixel 11. Dopo una settimana di lavoro, il team ha confermato di avere realizzato soltanto un port parziale del sistema operativo hardened perché i nuovi smartphone non offrirebbero più il supporto necessario ad ARM Memory Tagging Extension (MTE) a livello software, firmware e, secondo il progetto, quasi certamente hardware. La decisione assume un peso particolare perché i Pixel sono stati finora la piattaforma di riferimento di GrapheneOS proprio per la qualità delle protezioni hardware, un rapporto che aveva già iniziato a cambiare con l’annuncio del supporto ai Motorola dal 2027 e la ricerca di una seconda piattaforma hardware oltre Google.

GrapheneOS ha già un port parziale ma non vuole rinunciare a MTE

Il team di GrapheneOS afferma sul proprio forum ufficiale di avere un port parzialmente funzionante sui Pixel 11, ma di non essere disposto a completarlo eliminando una delle protezioni considerate fondamentali dal progetto. Secondo gli sviluppatori, l’assenza di MTE non riguarda soltanto una configurazione software disabilitata: il supporto mancherebbe nel sistema, nel firmware e “quasi certamente” anche nell’hardware della nuova piattaforma.

È un requisito molto più stringente rispetto alla semplice possibilità di sbloccare il bootloader e installare una ROM alternativa, principio già spiegato quando GrapheneOS ha definito hardware memory tagging, secure element e aggiornamenti completi come requisiti imprescindibili per i futuri Motorola. Il progetto sostiene che Google possa avere eliminato la funzione per ridurre i costi, ma questa motivazione rappresenta un’interpretazione di GrapheneOS e non una spiegazione confermata da Google.

ARM MTE protegge il sistema dagli exploit di corruzione della memoria

Memory Tagging Extension è una tecnologia ARM che associa tag alla memoria e ai puntatori utilizzati per accedervi. Quando i tag non corrispondono, il sistema può individuare accessi fuori dai limiti previsti o riferimenti a memoria già liberata, due categorie alla base di numerose vulnerabilità use-after-free, heap overflow e buffer overflow. GrapheneOS afferma di utilizzare MTE praticamente sull’intero sistema operativo di base, compresi kernel e processi standard, disabilitandolo temporaneamente soltanto su alcuni componenti specifici che presentano incompatibilità. La protezione è quindi integrata direttamente nel modello hardened del sistema e non rappresenta una semplice funzione opzionale destinata all’utente finale. Il peso della memory safety nel mobile è evidente anche nella catena zero-click che ha permesso a Project Zero di ottenere root sul Pixel 10 combinando corruzione della memoria e un bug nel driver Tensor G5: una singola primitive memory corruption può diventare l’inizio di una compromissione completa se le mitigazioni hardware non riescono a interrompere la catena.

Leggi anche: GrapheneOS prepara Motorola e Razr Fold: sette anni di aggiornamenti diventano requisito

Pixel 8 aveva introdotto MTE nel 2023 e GrapheneOS lo aveva subito adottato

La situazione è particolarmente significativa perché Google Pixel 8 aveva introdotto il supporto hardware a MTE nell’ottobre 2023, consentendo a GrapheneOS di integrarlo nello stesso mese dentro hardened_malloc e successivamente estenderlo a gran parte del sistema. Il Pixel OS non lo aveva attivato universalmente di default, mentre Android ha utilizzato progressivamente MTE in contesti selezionati; GrapheneOS ha invece costruito attorno alla tecnologia una parte fondamentale della propria strategia anti-exploit. L’assenza sui Pixel 11 rappresenterebbe quindi non una funzione semplicemente mai implementata, ma un passo indietro rispetto alle ultime tre generazioni Pixel. La scelta appare ancora più sorprendente perché Android continua a dipendere profondamente dal kernel Linux e dalle mitigazioni hardware per isolare processi, driver e memoria, rendendo queste protezioni particolarmente importanti sui dispositivi utilizzati da utenti con threat model elevati.

Pixel 11 migliora altri elementi della sicurezza ma per GrapheneOS non basta

Il giudizio del progetto non implica che Pixel 11 sia complessivamente meno sicuro in ogni aspetto. GrapheneOS riconosce esplicitamente la presenza di miglioramenti importanti, tra cui verified boot resistente a scenari post-quantum, il passaggio da Samsung IMS ad AOSP IMS e il nuovo chip di sicurezza Titan M3. Google ha infatti progettato la generazione Pixel 11 attorno a Tensor G6 e Titan M3, consolidando l’isolamento delle credenziali e delle funzioni di sicurezza in un componente dedicato, come già emerso nell’analisi del Pixel 11 che metteva Titan M3 al centro della separazione tra SoC principale e funzioni critiche. Per GrapheneOS, però, queste protezioni non compensano l’assenza di hardware memory tagging, perché MTE agisce su una superficie completamente diversa: gli exploit che corrompono la memoria prima ancora che secure boot o secure element possano diventare rilevanti.

Tensor G6 diventa il principale sospettato tecnico

La discontinuità coincide con il passaggio al nuovo Tensor G6, cuore della serie Pixel 11 e primo SoC della generazione 2026. GrapheneOS non dispone al momento di una conferma pubblica di Google che identifichi precisamente quale componente abbia perso MTE, ma il fatto che il supporto manchi nella nuova famiglia suggerisce un cambiamento nella piattaforma silicon rispetto a Tensor G5. I Pixel 11 sono stati presentati come una generazione concentrata su efficienza, intelligenza artificiale e nuovi componenti proprietari, con Tensor G6, modem MediaTek M90 e Titan M3 utilizzati per differenziare la nuova architettura. Queste scelte sono state analizzate nel lancio ufficiale di Pixel 11, Pixel 11 Pro XL e Pixel 11 Pro Fold con Tensor G6, ma Google non ha finora pubblicamente chiarito la situazione relativa a MTE. Di conseguenza, l’affermazione che il supporto sia stato “tagliato per risparmiare” deve restare attribuita al progetto GrapheneOS.

La decisione mostra perché GrapheneOS non è una normale custom ROM

La vicenda rende evidente una caratteristica spesso sottovalutata di GrapheneOS: il progetto non misura la compatibilità soltanto sulla capacità di avviare Android sull’hardware. Richiede verified boot affidabile anche dopo l’installazione di un sistema alternativo, rollback protection, secure element resistente agli attacchi interni, isolamento hardware, supporto completo degli aggiornamenti firmware e memory tagging. Un dispositivo tecnicamente potente può quindi essere rifiutato se non raggiunge il livello di sicurezza richiesto. Questa filosofia spiega perché il progetto abbia finora supportato un numero ristretto di smartphone e perché i futuri Motorola GrapheneOS dovranno essere sviluppati attorno a Snapdragon di nuova generazione e requisiti hardware concordati in anticipo. Pixel 11 dimostra il limite opposto: un port può essere tecnicamente possibile, ma GrapheneOS preferisce non pubblicarlo se per farlo deve abbassare il proprio modello di sicurezza.

Motorola diventa improvvisamente molto più importante per il progetto

Il problema Pixel 11 arriva pochi giorni dopo la conferma che GrapheneOS supporterà ufficialmente smartphone Motorola dal 2027, iniziando da flagship tradizionali e successivamente estendendosi a Razr Fold e Razr Ultra. Il team ha spiegato che la collaborazione permetterà di ottenere supporto diretto nel porting, sette anni di aggiornamenti e una piattaforma Snapdragon con MTE più maturo, secure element evoluto e migliore isolamento della baseband. Fino a poche settimane fa il progetto Motorola appariva soprattutto come una strategia per ridurre la dipendenza da Google; oggi può diventare il percorso principale per la nuova generazione di dispositivi. La trasformazione era già evidente nell’analisi sul passaggio dai Pixel ai Motorola e sulla necessità di mantenere sette anni di supporto software e firmware. Se Pixel 11 verrà realmente saltato, Motorola passerà da alternativa futura a possibile piattaforma di riferimento del progetto.

Pixel 10 resta quindi la scelta più sicura per chi vuole GrapheneOS oggi

In attesa di una decisione definitiva, il team raccomanda esplicitamente di non acquistare Pixel 11 con l’obiettivo di installare GrapheneOS. Pixel 8, Pixel 9 e Pixel 10 continuano a offrire le caratteristiche hardware richieste e il progetto indica Pixel 10 come scelta più razionale per chi necessita oggi di un nuovo dispositivo. La FAQ ufficiale di GrapheneOS conferma per la serie Pixel 10 sette anni di supporto OEM, con scadenze che arrivano al 2032 e 2033 a seconda del modello. È un vantaggio particolarmente importante per un sistema hardened, perché la sicurezza non può proseguire una volta cessati gli aggiornamenti proprietari di firmware e componenti hardware. Il valore del Pixel 10 come piattaforma di sicurezza emerge anche dalle ricerche di Project Zero che ne hanno analizzato dettagliatamente driver, VPU e superficie di attacco, fornendo al progetto un hardware ormai conosciuto e supportato invece di una nuova generazione privata di una mitigazione considerata essenziale.

Continua con:

• GrapheneOS arriverà sui Motorola nel 2027, ma i primi modelli costeranno più dei Pixel
• Google Pixel 11 porta Tensor G6 e HiLight e Pro Fold diventa più resistente

Pixel 11 apre un precedente importante per la sicurezza Android

La questione va quindi oltre il supporto di una singola custom ROM. GrapheneOS sta sostenendo che una nuova generazione flagship Google ha perso una mitigazione hardware presente dal Pixel 8 e considerata abbastanza importante da rendere inaccettabile il port del proprio sistema operativo. Google non ha ancora fornito, nelle fonti disponibili, una spiegazione pubblica che confermi o smentisca definitivamente l’assenza hardware di MTE, quindi la diagnosi resta attribuita al team GrapheneOS. Il caso è comunque rilevante perché mostra come la sicurezza di Android dipenda anche da decisioni silicon che non possono essere corrette successivamente con una patch software, un limite già visibile nelle vulnerabilità UNISOC dove l’assenza di corretto isolamento hardware permetteva al modem compromesso di raggiungere direttamente la memoria del kernel. Se l’assenza di MTE verrà confermata a livello hardware, Pixel 11 avrà guadagnato Titan M3 e nuove protezioni, ma avrà contemporaneamente perso una mitigazione che per GrapheneOS vale più della compatibilità con l’intera generazione.