N’achetez pas de Pixel 11. C’est la recommandation de l’équipe de GrapheneOS, après avoir rencontré un échec. En effet, GrapheneOS n’est pas parvenu à finaliser le portage de son Android durci vers la nouvelle gamme de Google. Mais alors, pourquoi ?
Google a-t-il envie de tuer le projet GrapheneOS ? Je n’irais jusque-là, d’autant plus que GrapheneOS a finalisé un partenariat avec Motorola. Toutefois, il y a un point de discorde entre GrapheneOS et Google à propos de la dernière génération de smartphones Pixel, à savoir la gamme Pixel 11. En effet, le portage partiel réalisé sur le Pixel 11 ne peut pas aller plus loin : le support du marquage mémoire matériel est absent au niveau logiciel, au niveau du firmware, et quasi certainement au niveau du silicium lui-même.
“Il semble que Google ait supprimé une fonction de sécurité importante pour économiser de l’argent”, écrit l’équipe de GrapheneOS. De son côté, Google n’a fourni aucune explication et il pourrait s’agir d’un défaut matériel qui n’aurait pas été divulgué. GrapheneOS affirme d’ailleurs que le MTE pourrait disparaître d’une future génération de Pixel : cette information proviendrait d’une source interne chez Google.
Le MTE, c’est quoi ? En pratique, le MTE (Memory Tagging Extension) associe une étiquette aléatoire à chaque zone mémoire allouée. Si un programme accède à une zone dont l’étiquette ne correspond pas, le matériel repère l’anomalie et peut arrêter l’exécution avant qu’un exploit n’aboutisse. Autrement dit, il coupe l’herbe sous le pied de toute une famille de vulnérabilités liées à la corruption mémoire, ce qui est fréquent sur Android. D’ailleurs, beaucoup de failles critiques Android sont liées à de la corruption de mémoire… Pourtant, ce mécanisme de sécurité n’est pas vieux : le Google Pixel 8 d’octobre 2023 a été le premier à intégrer le MTE. GrapheneOS l’a intégré dans la foulée à son allocateur mémoire, puis l’a généralisé au noyau et à l’ensemble des processus système.
Pourtant, Android et l’OS des Pixel n’ont jamais activé le MTE par défaut. Il est activé au compte-gouttes pour quelques processus. En réalité, sur mobile, GrapheneOS était donc le principal utilisateur réel de la fonction, aux côtés de l’implémentation équivalente chez Apple (Memory Integrity Enforcement), activée en permanence sur l’iPhone 17.
Il y a pourtant des améliorations avec le Pixel 11
Pour autant, même si le Pixel 11 a ce défaut, il n’arrive pas les mains vides. GrapheneOS reconnaît la présence de trois avancées :
Des signatures post-quantiques ML-DSA pour le démarrage vérifié
Le remplacement des composants IMS propriétaires de Samsung (Shannon) par l’implémentation AOSP
La nouvelle puce de sécurité Titan M3
En pratique, la puce Titan M3 devrait renforcer la résistance à l’extraction de données tant que l’appareil n’a pas été déverrouillé depuis son démarrage. Ceci fait référence à l’état BFU (Before First Unlock) dans lequel se situe un appareil qui vient de reboot. J’en parlais en août dans mon article à propos de l’institut forensique néerlandais qui est parvenu à déverrouiller un Google Pixel dans une affaire criminelle.
Le problème, c’est que la perte du MTE dégrade nettement la protection en état AFU (After First Unlock), c’est-à-dire dans la situation d’usage courant. Autrement dit, la sécurité est renforcée à l’arrêt ou lorsque l’appareil vient de redémarrer (et qu’il n’a pas été déverrouillé), mais on perd beaucoup en fonctionnement.
Sauter le Pixel 11 pour se concentrer sur Motorola
Pour l’heure, GrapheneOS déconseille l’achat d’un Pixel 11 et renvoie vers les Pixel 8, 9 et 10, qui embarquent le MTE. Ceux qui ont acheté un Pixel 11 spécifiquement pour y installer GrapheneOS sont invités à le retourner.
GrapheneOS pourrait abandonner l’idée d’être compatible Pixel 11. En réalité, sauter cette génération permettrait à l’équipe de GrapheneOS de concentrer ses ressources sur le partenariat avec Motorola que j’évoquais en mars dernier, dont le futur modèle haut de gamme doit respecter ses exigences matérielles, MTE compris.
“Nous n’avons pas encore décidé comment gérer cette situation. Il vaudrait peut-être mieux que nous laissions de côté les appareils de la gamme Pixel 11. Nous pourrions plutôt nous concentrer entièrement sur les prochains appareils Motorola. Le Pixel 10a était en réalité un Pixel de 9e génération ; espérons donc que le Pixel 11a fasse de même avec la 10e génération et intègre la technologie MTE.”, peut-on lire sur X.
Reste une inconnue : le Pixel 11a réintégrera-t-il le MTE ? GrapheneOS l’espère, mais rien d’officiel à ce sujet.
Cofondateur d’IT-Connect et Microsoft MVP “Cloud and Datacenter Management”. Mon obsession depuis près de 15 ans ? Rendre l’administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu’un métier, l’IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.