O Pixel 11 perdeu suporte para Memory Tagging Extension (MTE), uma funcionalidade central de segurança, o que levou a equipa do GrapheneOS a não recomendar a compra dos smartphones da série.
A equipa do GrapheneOS, um sistema operativo alternativo baseado no Android Open Source Project (AOSP) que reduz significativamente a dependência dos serviços Google – e que irá surgir instalado nos smartphones da Motorola – conseguiu avançar com uma port parcial do sistema para a série Pixel 11, mas esbarrou num impasse técnico que impede a conclusão do projeto: a aparente ausência de suporte para a extensão de marcação de memória por hardware (MTE) da arquitetura ARM.
De acordo com os responsáveis, esta limitação – que pode estar presente no software, no firmware e, muito provavelmente, no próprio hardware – inviabiliza a integração completa do sistema, uma vez que o MTE é um pilar central da segurança do GrapheneOS.
O MTE (Memory Tagging Extension) é utilizado pelo GrapheneOS em toda a base do sistema operativo, incluindo o kernel e todos os processos padrão do sistema, e somente é temporariamente desativada em alguns processos específicos do dispositivo. Esta tecnologia reforça significativamente a proteção contra a maioria dos exploits remotos e muitos dos locais, tornando-se uma peça fundamental na arquitetura de segurança do projeto.
A implementação do MTE no GrapheneOS começou em outubro de 2023, com o lançamento do Pixel 8, que foi o primeiro dispositivo Pixel a incluir suporte hardware para esta funcionalidade. A equipa integrou o MTE no projeto hardened_malloc e passou a utilizá-lo em todo o sistema operativo ainda nesse mês. Curiosamente, nem o Android padrão nem o sistema operativo oficial da Pixel alguma vez ativaram o MTE por defeito. Apenas o modo Advanced Protection do Android 16 passou a habilitá-lo para alguns processos específicos.
E enquanto a Google parece ter recuado nesta frente, a Apple seguiu o caminho oposto. No iPhone 17, a funcionalidade Memory Integrity Enforcement (MIE) está permanentemente ativa. Trata-se, essencialmente, de uma implementação de alta qualidade do MTE, recorrendo às extensões padrão mais recentes. A Apple utiliza o MTE no modo mais seguro no kernel e numa grande parte do espaço de utilizador, numa integração que os responsáveis do GrapheneOS classificam como muito bem executada.
Tanto o MIE da Apple como o modo Advanced Protection do Android 16 não aplicam o MTE a aplicações instaladas pelo utilizador, a menos que estas optem explicitamente por o fazer. O GrapheneOS, por sua vez, ativa automaticamente o MTE para mais aplicações e oferece aos utilizadores um interruptor global para forçar a sua utilização em todas as apps instaladas. Existe ainda uma opção por aplicação para desativar a funcionalidade em casos de incompatibilidade, uma situação descrita como pouco comum.
Nem a iOS nem o Android incentivam ativamente os programadores a ativar o MTE ou outras funcionalidades de segurança mais agressivas utilizadas no sistema base. A documentação da Apple alerta inclusive para potenciais problemas de desempenho e estabilidade. Mesmo aplicações com fortes requisitos de segurança, como o Signal, não optam por ativar o MTE. Ora, a abordagem do GrapheneOS contorna esta limitação, permitindo forçar a utilização do MTE nos alocadores de memória padrão, independentemente da decisão dos programadores.
Mas o Pixel 11 não deixa de trazer algumas melhorias de segurança. Entre elas, destaca-se a transição para um processo de boot verificado pós-quântico (ML-DSA) e a substituição do IMS Shannon da Samsung pelo IMS padrão do AOSP. O novo chip Titan M3 deverá também melhorar significativamente a proteção contra extração de dados no estado “Before First Unlock” (BFU), ou seja, quando o dispositivo está ligado mas ainda não foi desbloqueado pelo utilizador.
No entanto, e segundo a equipa do GrapheneOS, estas melhorias não compensam a remoção do MTE. A perda desta funcionalidade compromete severamente a segurança no estado “After First Unlock” (AFU), ou seja, após o primeiro desbloqueio do dispositivo, que é o estado em que o telemóvel passa a maior parte do tempo. Para os responsáveis, a Google sacrificou uma característica de segurança importante para poupar custos.
A crítica ao Pixel 11 não se limita à segurança. A equipa sublinha ainda que a série Pixel 11 é significativamente mais cara, oferecendo apenas melhorias incrementais no processador, mantendo a mesma GPU, considerada insuficiente, e reduzindo a memória RAM nos modelos de base da versão Pro. O único aspeto positivo assinalado é o facto de os dispositivos terem finalmente igualado os modems da geração anterior da Qualcomm. No conjunto, a avaliação é de que os telemóveis estão demasiado caros, com atualizações pouco impressionantes e a perda do MTE classificada como “aterradora”.
Até recentemente, os dispositivos Pixel – desde o 9a e modelos anteriores, incluindo a linha Nexus – funcionavam como dispositivos de referência para o Android Open Source Project (AOSP). Esta dinâmica mudou com o Android 16, que removeu o suporte oficial aos Pixel. Segundo a equipa, suportar os dispositivos Pixel tornou-se agora mais difícil do que muitos outros dispositivos, e progressos significativos rumo a firmware e bibliotecas de drivers open source foram descartados.
Face a este cenário, a recomendação do GrapheneOS é clara e enfática: não comprar dispositivos da série Pixel 11. Os modelos Pixel 8, 9 e 10 oferecem segurança global muito superior quando executam o GrapheneOS. O Pixel 10, em particular, é mais barato, tem hardware semelhante e mantém o suporte a MTE. Embora o Titan M3 do Pixel 11 possa melhorar a segurança BFU para utilizadores sem uma palavra-passe forte, a perda do MTE compromete gravemente a segurança AFU.
A equipa ainda não decidiu qual será o próximo passo face a esta situação. Uma das possibilidades em cima da mesa é saltar completamente a série Pixel 11 e deslocar o foco inteiramente para os próximos dispositivos Motorola. Existe ainda a esperança de que o Pixel 11a, seguindo o padrão do Pixel 9a (que era essencialmente um Pixel de 9.ª geração), possa herdar o hardware da 10.ª geração e incluir novamente o MTE.
