Sızan belgeler, Google'ın GrapheneOS için Pixel 11'in önemli bir güvenlik özelliğini planladığını, ancak daha sonra bu özelliği kaldırdığını gösteriyor

Yıllardır yalnızca Google'ın Pixel telefonlarında sunulan, gizlilik açısından güçlendirilmiş Android çatalı GrapheneOS, yeni Pixel 11 serisini düzgün bir şekilde destekleyemeyeceğini açıkladı. Bir hafta boyunca uyumu zorlamaya çalıştıktan sonra ekip, Pixel 11'in Tensor G6 yongasında, 2023'teki Pixel 8'den beri her Pixel yongasında bulunan bir güvenlik özelliği olan Memory Tagging Extension (MTE) adlı özellik için donanım desteğinin eksik olduğunu tespit etti.

MTE temel olarak şunu yapar: Telefonunuzun belleği, küçük depolama kutularından oluşan devasa bir ızgaradır. Birçok istismar, bir uygulamayı kandırarak, dokunmaması gereken yanlış kutuya okuma veya yazma yapmasını sağlayarak çalışır. MTE, belleğin her 16 baytlık parçasına ve bu parçaya erişime izin verilen her işaretçiye görünmez bir yapışkan not yapıştırarak bunu engeller. Bir program okuma veya yazma girişiminde bulunduğunda yapışkan notlar eşleşmezse, yonga aniden fren yapar ve güvenlik açığını sessizce geçmesine izin vermek yerine işlemi sonlandırır. GrapheneOS, işletim sisteminin her yerinde MTE kullanıyor ve bunun, uzaktan saldırı girişimlerinin tamamını daha başlamadan ortadan kaldırdığını savunuyor. Ekip, Google’ın maliyet tasarrufu amacıyla Pixel 11’den MTE’yi çıkardığını öne sürüyor; Google ise bu konuda herhangi bir yorumda bulunmadı. GrapheneOS, GrapheneOS’u çalıştırmak isteyen kullanıcılara Pixel 11’i es geçip bunun yerine Pixel 8, 9 veya 10’u satın almalarını tavsiye ediyor.

UT Austin, UC Berkeley, Google ve Ampere Computing'den araştırmacılar tarafından hazırlanan bir araştırma makalesi (arXiv:2601.11786), MTE'nin gerçek donanımda uygulanmasının ne kadara mal olacağına dair bir fikir veriyor; bu da bir şirketin bunu atlayarak ne kadar tasarruf edeceğini gösteriyor.

Yapışkan notların kendisi oldukça küçüktür: Her 16 bayt bellek için 4 bit, yani yaklaşık %3,125 ek yük. ARM’ın kural kitabında, yonga üreticilerinin bu yapışkan notları nereye depolamaları gerektiği belirtilmemiştir; sadece bir yerde bulunmaları gerektiği belirtilmiştir. Bu yüzden şirketler bunu farklı şekillerde yapmaktadır. ARM'ın kendi referans tasarımı, RAM'de özel bir bölüm ayırır ve önbellek ıskalaması durumunda iki ayrı bellek erişimi gerçekleştirir; biri veriler için, diğeri yapışkan not için. Sunucu yongaları üreten Ampere ise, notları normalde hata düzeltme için kullanılan bitlerin üzerine ekler ve verilerle notu tek bir işlemde birlikte alır. Her iki yaklaşımın da bir diğeri daha doğru olduğu söylenemez; ARM bu esnekliği kasıtlı olarak tasarlamıştır.

Asıl maliyet, yongada ihtiyaç duyulan ekstra %3,125'lik bellek değil, yonganın her bellek erişiminde yapmak zorunda olduğu ekstra iş yüküdür. Telefonunuz belleğe her eriştiğinde, o küçük etiketi kontrol etmek zorundadır ve bu da özel bir karşılaştırma devresi gerektirir. Saldırganların etiketleri tahmin edememesi için etiketleri rastgele atamak, çipe entegre bir rasgele sayı üretecini gerektirir; yeterli entropiye sahip hızlı bir üreteci, kaliteden ödün vermeden geliştirmek zordur. Etiket yazmak için kullanılan birkaç özel komut, normal yolu yeniden kullanmak yerine çip içinde kendine ait bir yol gerektirir.

Sırasız çalışan bir CPU çekirdeğini, siparişin farklı kısımlarını aynı anda, siparişin geldiği sırayla olmasa da, henüz hazır olmayan bir şeye bağlı olmadığı sürece, birkaç aşçının çalıştığı bir mutfak gibi düşünün. Modern bir sıra dışı çekirdek normalde bu şekilde hızlı kalır: beklemez; daha yavaş adımlar yetişene kadar elinden gelen her şey üzerinde çalışır.

MTE'nin katı SYNC modu, bu mutfağın bir kısmına çomak sokar: belleğe yazma işlemi. Normalde bir çekirdek, verileri belleğe yazabilir ve bu yazma işlemi arka planda tamamlanırken sonraki birkaç komut üzerinde çalışmaya devam edebilir. Ancak MTE SYNC modunda, her yazma işleminin önce küçük etiketinin kontrol edilmesi ve geçerli olduğu onaylanması gerekir; bu kontrol tamamlanana kadar çekirdeğin bir sonraki yazma işlemine geçmesine izin verilmez. Bu, tüm mutfağın durduğu anlamına gelmez: pişirme (okuma, hesaplama, dallanma vb.) işlemler sırasız olarak sorunsuz bir şekilde devam eder. Özellikle “hazır olan tabağı masaya koyma” adımı artık her seferinde etiket kontrolünü beklerken, tek tek ve sırayla gerçekleşmek zorundadır. Sıkı bir döngü içinde belleğe tekrar tekrar yazan kodlar bunu sürekli hisseder; işte bu yüzden bazı performans testlerinde hız 6,64 kata kadar düştü. Çoğunlukla okuma, hesaplama veya dallanma işlemleri yapan kodlar ise bunu neredeyse fark etmez; çünkü yavaşlayan boru hattı kısmı, bu kodların dayandığı kısım değildir.

MTE’nin hafif modunda bile, normal “Big” çekirdekte 1,82 kat’a varan yavaşlamalar gözlemlendi ve bu, Google’ın kendi Gelişmiş Koruma özelliğinin bugün kullandığı modun aynısıdır. Öte yandan, Ampere'nin sunucu yongası ve Apple’ın yeni M5 yongası, MTE’nin açık olduğunu neredeyse hiç fark etmedi; ortalama ek yük sadece %2–3 civarında kaldı ve en kötü durumda %10’luk bir yavaşlama yaşandı. Bu fark, bu yavaşlamaların kaçınılmaz bir fizik kuralı olmadığını kanıtlıyor; bunlar, belirli bir yonganın mühendislerinin bu özelliği ne kadar iyi (ya da kötü) uyguladığını yansıtıyor. Tensor'u tanıdığımızdan, ondan pek bir şey beklemiyoruz.

Aynı şeyleri Pixel 11'in önyükleyicisinde ararsanız hiçbir şey bulamazsınız. Tek bir iz bile yok. Bu oldukça anlamlı bir fark: Google, MTE'yi kapatmak için sadece bir düğmeye basmış olsaydı, bu işlev adlarının ve mesajların kodda hâlâ yer almasını, sadece kullanılmamış olarak beklerdiniz. Bunların tamamen yokluğu, kodun sadece kapatılmadığını, tamamen kaldırıldığını gösteriyor. Bu, GrapheneOS'un portlamadan vazgeçtikten sonra söylediği şeyi tam olarak doğruluyor.

Bununla ayrı olarak, GrapheneOS, işletim sistemini ilk kez bir Pixel dışı telefona getirmek üzere Motorola ile bir anlaşmayı sonlandırmak üzeredir; Qualcomm ise Snapdragon 8 Elite Gen 5 dahil olmak üzere en yeni yongalarına MTE desteği eklemeye başlamıştır.

NotebookCheck'in edindiği bilgilere göre, Motorola, 22 Eylül'deki Snapdragon Zirvesi'nde tam olarak tanıtılması planlanan Qualcomm'un bir sonraki amiral gemisi yongası olan Snapdragon 8 Elite Extreme Gen 6 (SM8975) üzerine kurulu ve şirket içinde "Wukong" kod adıyla anılan bir amiral gemisi telefon üzerinde çalışıyor. Şu an itibarıyla, bu yonga etrafında planlanan tek Motorola cihazı budur. Eğer Wukong, Motorola ile birlikte GrapheneOS'un lansman telefonu olursa, tam MTE desteği, amiral gemisi bir Qualcomm yongası ve GrapheneOS desteğini bir araya getiren ilk telefon olacak; bu, ne kadar para harcarsanız harcayın şu anda bir Pixel 11'de elde edemeyeceğiniz bir özellik.

Her zamanki uyarı geçerlidir: Geliştirme sürecinin bu kadar erken bir aşamasında, teknik özellikler ve hatta "Wukong" kod adı şirket içi kaynaklardan alınmıştır ve resmi bir açıklama yapılana kadar değişiklik gösterebilir. Motorola, bu telefonun varlığını henüz doğrulamamıştır.

Pixel 11 satın alan ortalama bir kullanıcı için, MTE'nin kaybedilmesinin bu haberde anlatıldığı kadar büyük bir felaket olduğunu düşünmüyorum.

MTE olasılıksal bir durumdur, kesin bir garanti değildir. Belirli bir sınır dışı erişimin etiket kontrolünden tamamen geçip gitme olasılığı 16'da 1'dir ve aynı makalede alıntılanan araştırma (TikTag), spekülatif yürütme kullanarak gerçek Pixel donanımında etiket gizliliğini ihlal etmiştir; bu da, sunduğu korumanın pratikte "15/16" oranının ima ettiği kadar güvenilir olmadığı anlamına gelir. Ve en önemlisi, ortalama bir telefon sahibinin gerçekten endişelenmesi gereken istismarların neredeyse hiçbiri, başlangıçta bellek güvenliği hataları değildir. Kimlik avı, kötü amaçlı uygulama izinleri, SIM kart değiştirme, takip yazılımları ve hesap ele geçirme; bunların hiçbiri MTE'nin koruduğu alanlarla ilgili değildir. GrapheneOS'un kendisi bile üçüncü taraf uygulamalar için korumanın isteğe bağlı olduğunu ve nadiren kullanıldığını kabul ediyor; Signal bu özelliği etkinleştirmiyor.

MTE’nin asıl değerini ortaya koyduğu alan, GrapheneOS’un kendisinin tasarlandığı tehdit modelidir: pahalı, güvenilirliğe dayalı sıfır tıklamalı istismar zincirleri; milyonlarca dolara satılan ve neredeyse tamamen gazeteciler, muhalifler ve devlet hedeflerine karşı kullanılan, ortalama bir tüketiciye yönelik olmayan türden olanlar. Bu gerçek ve önemli bir kullanım örneğidir. Ancak kapsamı dardır. Devlet aktörleri tarafından izlenen yüksek riskli bir hedefseniz, sessizce ele geçirilmek yerine çöküp kapanan bir telefon gerçekten büyük bir öneme sahiptir. Asıl riskiniz bir barda telefonunuzu kaybetmek ya da bir mesajdaki zararlı bir bağlantıya tıklamaksa, bu çok daha az önemlidir. İyi bir OPSEC uygulamak, benzersiz şifreler kullanmak, rastgele QR kodlarından kaçınmak ve kişisel bilgilerinizi bunu isteyen her web sitesine dağıtmamak, çoğu insan için silikon düzeyindeki herhangi bir bellek güvenliği özelliğinin sağlayabileceğinden çok daha fazla gerçek hayattaki koruma sağlar.

Bunların hiçbiri, Pixel 11’in silikon gerilemesini önemsiz bir konu haline getirmez. GrapheneOS’un kullanıcı kitlesi, bu konunun en çok önem taşıdığı kesimdir ve bir nesil Pixel desteğini kaybetmek, bu proje için ciddi bir darbedir. Ancak şunu dürüstçe söylemek gerekir ki, MTE, Pixel 11 satın alan ortalama bir kişinin eksikliğini fark edeceği bir özellikten çok, tesadüfen tüketici silikonuna dahil olmuş, kurumsal kullanıcılar veya yüksek riskli kullanıcılar için yüksek değerli bir risk azaltma önlemi gibi görünüyor. Google’ın bu noktaya gelme sürecinde bir miktar ironi var: MTE’yi ilk etapta ana akıma taşıyan, Android’deki neredeyse herkesten önce Tensor’da bu özelliği sunan, bu konudaki araştırmalara fon sağlayan ve bunun etrafında tam bir güvenlik modu oluşturan şirket Google’dı. Şimdi ise kendi iç belgeleri, MTE’yi bir sonraki yongasına entegre ettiğini, bunu ayrıntılı olarak belgelediğini ve ardından piyasaya sürülmeden önce sessizce kaldırdığını gösteriyor. Bu konuda kimse Google’ı mühendislik açısından geride bırakmadı. Google, kendi kendini bu özellikten mahrum bıraktı.