Le Pixel 11 est moins sécurisé que ses prédécesseurs et GrapheneOS va le snober

GrapheneOS a travaillé une semaine sur un portage de son système vers les Pixel 11, mais l'équipe annonce qu'elle n'ira pas plus loin. Les développeurs pointent l'absence d'une protection mémoire matérielle qui structure une bonne partie de son modèle de sécurité.

L'équipe l'a annoncé sur Mastodon ce weekend : le portage de GrapheneOS sur les Pixel 11 reste inachevé. Les développeurs pointent le retrait d'une fonction de sécurité qui équipait les Pixel depuis 2023, mais retirée du logiciel, du micrologiciel et très probablement du matériel des Pixel 11.

Le MTE, une protection mémoire que GrapheneOS ne peut pas contourner

Le MTE (Memory Tagging Extension) est une fonction des processeurs ARM récents. Chaque zone de mémoire reçoit une étiquette bien spécifique. Si une application tente d'accéder à une zone qui ne lui appartient pas, l'étiquette ne correspond plus et le processeur bloque l'accès. GrapheneOS explique que cela neutralise la quasi-totalité des exploits à distance, et une bonne partie des exploits locaux aussi. Google a introduit le MTE avec le Pixel 8, en octobre 2023. GrapheneOS l'utilise depuis pour tout son système.

Et c'est bien là toute la différence. Google, lui, ne l'a jamais activé par défaut sur Android, même sur les Pixel compatibles. Depuis Android 16, le mode protection avancée ne l'active que pour quelques processus. Du côté de l'iPhone, Apple active Memory Integrity Enforcement sur l'iPhone 17 en permanence sur le noyau et une large partie du système, mais pas sur les applications tierces. Les développeurs tiers doivent l'activer eux-mêmes. GrapheneOS va plus loin en imposant le MTE à la plupart des applications, avec ou sans l'accord des développeurs. Une option pour le désactiver est quand même disponible au cas par cas si une appli pose problème.

Sur les Pixel 11 Google a quand même étoffé les options de sécurité. Le démarrage vérifié, qui contrôle l'intégrité du système à chaque allumage, s'appuie désormais sur des signatures cryptographiques post-quantiques (algorithme ML-DSA). Google a aussi remplacé la pile IMS de Samsung par une version AOSP, et amélioré la puce Titan M3 pour mieux protéger les données avant déverrouillage. Mais pour GrapheneOS, ça ne compense pas la perte du MTE, surtout pour la sécurité après déverrouillage du téléphone. Rappelons qu'en parallèle, Google a rendu l'accès au code source des noyaux Pixel plus compliqué, ce qui ralentit aussi les travaux de GrapheneOS et LineageOS.

Quoi qu'il en soit, GrapheneOS déconseille l'achat d'un Pixel 11. Mieux vaut donc se tourner vers un Pixel 8, 9 ou 10. D'autant que ce dernier, commercialisé moins cher, présente des caractéristiques techniques qui ne sont pas si éloignées du Pixel 11. L'équipe envisage même de délaisser complètement les Pixel 11 pour miser sur les futurs Motorola compatibles, un partenariat dont nous rapportions récemment le coût, plus élevé qu'un Pixel. Reste à savoir si le Pixel 11a reprendra l'architecture de la génération précédente, comme l'a fait le Pixel 10a, le MTE pourrait y revenir.