GrapheneOS encontra corrupção de memória Bluetooth via ARM MTE

Artigo original ↗ Discussão no Hacker News ↗

Modelo de segurança do GrapheneOS e requisitos de hardware

  • Muitos comentadores veem o GrapheneOS (GOS) como significativamente mais seguro do que outros sistemas baseados em Android, principalmente devido a recursos suportados por hardware (MTE, PAC, BTI, forte attestation, etc.).
  • Os Pixels são atualmente os únicos dispositivos que atendem aos requisitos de hardware e atualização publicados pelo GOS; diz-se que outros OEMs Android carecem de recursos-chave ou de suporte adequado para sistemas operacionais alternativos.
  • Os mantenedores do GOS reiteram repetidamente que o trabalho deles é, principalmente, melhorar a privacidade por meio de segurança mais forte, e não apenas “segurança por si só”.
  • Eles argumentam que ports como “GrapheneOS Minus” em hardware mais fraco basicamente reduziriam a segurança, especialmente em dispositivos onde o desbloqueio desativa ou rebaixa permanentemente as proteções de hardware.

Janelas de suporte e suporte estendido

  • O GOS acompanha as janelas de suporte do fabricante e às vezes fornece 1–2 anos de “suporte estendido” para Pixels fora de vida útil, mas rotula explicitamente essas builds como inseguras e tenta desencorajar o uso de longo prazo.
  • Alguns usuários defendem suporte estendido por motivos de lixo eletrônico e acessibilidade; o GOS responde que dispositivos inseguros para usuários mais pobres é uma preocupação séria e que 5–7 anos de suporte nos Pixels mais novos resolve em grande parte isso daqui em diante.

GrapheneOS vs outros ROMs personalizados (CalyxOS, Lineage, etc.)

  • Vários comentários contrastam o GOS com CalyxOS e outros:
    • O GOS é descrito como um sistema operacional endurecido com mitigação extensa (hardened_malloc, integração com MTE, SELinux forte, verified boot estrito, permissões por escopo de app).
    • O CalyxOS é criticado por alguns por superfície de ataque adicional, retrocesso de segurança, patches mais lentos e dependência do microG.
  • O GOS afirma oferecer melhor privacidade do que esses ROMs por meio de recursos como Contact/Storage Scopes, alternâncias de rede/sensores por app e randomização de MAC por conexão.

MTE (Memory Tagging Extension) e mitigação de exploração

  • A discussão gira em torno do GOS usar ARM MTE em dispositivos Pixel 8 para detectar um bug de corrupção de memória no Bluetooth.
  • O GOS usa um alocador personalizado com suporte a MTE e estratégias de tagging mais fortes, além de relatórios de falha voltados ao usuário; também corrigiu a integração do Chromium com MTE.
  • O sistema operacional de fábrica do Pixel expõe MTE como uma opção de desenvolvedor, mas, segundo o GOS, não o habilita amplamente em produção por preocupações de desempenho, memória e compatibilidade.
  • Há debate sobre se o Google deveria ao menos habilitar o MTE de baixo overhead “async” para o sistema base e os apps do Google; o GOS defende isso fortemente, enquanto outros destacam riscos de ecossistema e regressões.

Usabilidade, instalação e compatibilidade de apps

  • Muitos relatam que a instalação pelo instalador baseado na web é simples, exigindo apenas um navegador compatível e um cabo USB.
  • Como sistema de uso diário, o GOS é geralmente descrito como estável e “igual ao Android de fábrica”, especialmente com Google Play em sandbox.
  • Principais pontos de atrito funcional:
    • Pagamentos NFC do Google Pay são bloqueados porque o Google não certifica sistemas operacionais que não sejam o de fábrica.
    • Alguns apps de banco, parques temáticos e DRM podem quebrar devido a verificações do Play Integrity ou a listagens de apps mal configuradas.
    • Não há root; o GOS desencoraja ativamente o root por motivos de segurança.

iOS, segurança e comparações de privacidade

  • Vários comentários observam que Pixels modernos com o sistema de fábrica e iOS têm segurança alta comparável.
  • O GOS busca superar ambos em privacidade por meio de controles adicionais, ao mesmo tempo em que reconhece que o iOS ainda faz melhor em algumas áreas.
  • O Lockdown Mode da Apple é apresentado como algo que reduz principalmente a superfície de ataque dos serviços da Apple, enquanto muitos desses serviços não existem em dispositivos GOS.