Pixel 11 recupera MTE: GrapheneOS riapre il port ma teme un forte impatto sulle prestazioni

🛡️ Executive Summary

• GrapheneOS ha trovato riferimenti al supporto hardware MTE nei firmware Pixel 11 dopo aver inizialmente ritenuto che Google avesse eliminato completamente la funzione.
• Il progetto considera però l’implementazione soltanto minimale e sta verificando se MTE possa essere riattivato senza introdurre un impatto prestazionale troppo elevato.
• Il supporto ufficiale a Pixel 11 resta quindi incerto: il port è nuovamente possibile in teoria, ma GrapheneOS non ha ancora approvato la piattaforma.

La porta di GrapheneOS sui Pixel 11 non è più chiusa, ma non è nemmeno riaperta definitivamente. Dopo avere dichiarato che la nuova generazione Google sembrava priva del supporto necessario ad ARM Memory Tagging Extension, il team ha individuato nel firmware più recente elementi che indicano la presenza della capacità hardware. La scoperta modifica radicalmente la diagnosi iniziale: Tensor G6 sembra supportare MTE, ma Google non lo espone normalmente attraverso la configurazione attuale e l’implementazione potrebbe essere molto meno performante di quella delle generazioni precedenti. GrapheneOS sta ora tentando di forzare l’attivazione della mitigazione e misurarne il costo prima di decidere se completare il port.

GrapheneOS corregge la prima diagnosi: Pixel 11 possiede MTE nell’hardware

Il cambio di scenario arriva dopo l’analisi del firmware incluso con Android 17 QPR2 Beta 4, prima beta QPR2 distribuita anche sulla famiglia Pixel 11. Secondo quanto comunicato dal progetto GrapheneOS e ricostruito dopo l’analisi dei nuovi file, il firmware contiene riferimenti che indicano la presenza del supporto hardware a Memory Tagging Extension. Soltanto pochi giorni prima il team aveva invece annunciato di avere completato un port parziale ma di non poter procedere perché MTE risultava assente a livello software, firmware e “quasi certamente” hardware. Quel giudizio aveva portato anche alla raccomandazione di non acquistare Pixel 11 con l’obiettivo di installare GrapheneOS. La nuova evidenza cambia quindi un punto sostanziale della precedente analisi di Matrice Digitale sulla possibile esclusione completa dei Pixel 11: l’hardware non sembra aver perso completamente MTE, anche se resta da capire in che forma Google lo abbia implementato e quanto sia realmente utilizzabile.

Leggi anche: GrapheneOS prepara Motorola e Razr Fold: sette anni di aggiornamenti diventano requisito

Memory Tagging Extension resta una condizione fondamentale per il progetto

MTE è una protezione hardware introdotta dall’architettura ARMv9 per rendere più difficile lo sfruttamento delle vulnerabilità di memory corruption. Come spiega la documentazione Android Open Source Project, ogni allocazione di memoria può essere associata a un tag che viene confrontato con quello del puntatore quando avviene un accesso. Una mancata corrispondenza permette di identificare errori come use-after-free e buffer overflow, due classi che ricorrono frequentemente nelle catene di exploit mobile. GrapheneOS utilizza hardware memory tagging come una delle mitigazioni centrali del proprio modello di sicurezza, attivandolo per gran parte del sistema operativo di base e per le applicazioni compatibili. La FAQ ufficiale di GrapheneOS include infatti hardware memory tagging tra i requisiti hardware espliciti per i dispositivi che il progetto considera candidati al supporto. Per questo la semplice possibilità di avviare GrapheneOS su Pixel 11 non è mai stata sufficiente: senza MTE il progetto avrebbe dovuto abbassare una delle proprie baseline anti-exploit.

Il problema ora è capire perché Google abbia lasciato MTE disabilitato

La scoperta dell’hardware non risolve però il problema software. Nei Pixel 11 MTE non risulta normalmente disponibile nel modo atteso dal sistema e GrapheneOS sta sperimentando modifiche al boot e al kernel per ignorare le restrizioni imposte dalla configurazione firmware. Il progetto sta valutando un approccio che modifica l’allocazione della memoria all’avvio e forza il kernel ad accettare l’attivazione della funzione. La documentazione AOSP sul supporto MTE nel bootloader chiarisce infatti che l’attivazione dipende anche da proprietà del sistema e messaggi conservati nel bootloader, come arm64.memtag.bootctl. Nei dispositivi pienamente supportati queste informazioni permettono di abilitare MTE per userspace e kernel. Nei Pixel 11 il problema sembra essere proprio il divario tra ciò che l’hardware può fare e ciò che firmware e software espongono normalmente.

Il supporto trovato sarebbe il minimo indispensabile e senza piena accelerazione della cache

Il vero dubbio riguarda le prestazioni. GrapheneOS descrive la capacità individuata come una forma di supporto MTE “bare minimum” e sospetta che Google abbia rimosso o ridotto una parte dell’accelerazione relativa alla cache della CPU utilizzata per rendere il memory tagging meno costoso. Se questa interpretazione verrà confermata, MTE potrebbe tecnicamente funzionare ma introdurre un overhead sensibilmente superiore rispetto a Pixel 8, Pixel 9 e Pixel 10. Non esistono ancora benchmark affidabili che permettano di quantificare il degrado e GrapheneOS sta precisamente testando questo aspetto prima di decidere se rendere la piattaforma ufficialmente compatibile. L’ipotesi che la scelta derivi da una riduzione dei costi resta inoltre un’interpretazione del progetto, non una motivazione confermata da Google. È quindi corretto separare tre fatti: MTE sembrava inizialmente mancare; il nuovo firmware mostra elementi compatibili con la presenza hardware; la qualità e le prestazioni dell’implementazione sono ancora sotto verifica.

Pixel 8, 9 e 10 offrivano un percorso molto più lineare per GrapheneOS

Il contrasto con le generazioni precedenti resta notevole. Pixel 8 aveva introdotto il supporto hardware MTE nel 2023 e GrapheneOS lo aveva integrato quasi immediatamente in hardened_malloc, estendendone poi l’utilizzo al sistema. Sui Pixel compatibili il progetto può usare memory tagging di default sulla base OS e sulle app note per essere compatibili, oltre a permetterne l’attivazione per applicazioni di terze parti. La serie Pixel 11, invece, costringe gli sviluppatori a investigare firmware, configurazione del boot e registri hardware per stabilire se la stessa protezione possa essere recuperata. È un’anomalia particolarmente significativa perché i Pixel 11 hanno introdotto contemporaneamente Tensor G6, Titan M3 e nuove protezioni legate alla sicurezza. Il problema non è quindi che la generazione 2026 sia priva di investimenti security, ma che una mitigazione specifica considerata essenziale da GrapheneOS non sia disponibile con la stessa semplicità delle generazioni precedenti.

Titan M3 e verified boot non sostituiscono la protezione dalla memory corruption

GrapheneOS aveva già riconosciuto che Pixel 11 introduce miglioramenti significativi, compreso il nuovo Titan M3, un verified boot più resistente agli scenari post-quantum e il passaggio da Samsung IMS ad AOSP IMS. Queste protezioni agiscono però su superfici differenti. Titan M3 può isolare credenziali e operazioni critiche, mentre verified boot protegge l’integrità della catena di avvio; MTE punta invece a interrompere direttamente una classe di errori sfruttabili durante l’esecuzione del codice. È proprio questa complementarità a rendere insufficiente, per GrapheneOS, la presenza di altre difese. La generazione Pixel 11, presentata con Tensor G6 e un’architettura profondamente orientata ad AI e sicurezza, può quindi risultare complessivamente più evoluta e allo stesso tempo creare una regressione pratica per un sistema hardened che dipende in modo estensivo dal memory tagging.

Continua con:

• GrapheneOS arriverà sui Motorola nel 2027, ma i primi modelli costeranno più dei Pixel
• Google Pixel 11 porta Tensor G6 e HiLight e Pro Fold diventa più resistente

Pixel 11 passa da incompatibile a possibile, ma GrapheneOS non ha ancora detto sì

La scoperta evita per ora uno scenario molto più netto: GrapheneOS non può più affermare che Pixel 11 sia certamente privo di hardware MTE, ma non può neppure considerarlo già una piattaforma supportabile. Il team deve dimostrare che la mitigazione possa essere attivata stabilmente, che firmware e kernel consentano un’integrazione affidabile e soprattutto che l’eventuale perdita di accelerazione non produca un costo prestazionale incompatibile con l’utilizzo quotidiano. La situazione cambia quindi da “port probabilmente impossibile” a “port tecnicamente possibile ma ancora da validare”. Ed è proprio questo il punto più interessante della vicenda: il supporto di un sistema come GrapheneOS non dipende soltanto dalla presenza nominale di una funzione nella CPU. Dipende da quanto quella funzione sia accessibile, mantenibile e utilizzabile senza compromettere il modello di sicurezza o rendere il dispositivo impraticabile. Pixel 11 ha recuperato una possibilità; deve ancora dimostrare di meritare il supporto.