Das neue Google-Smartphone wird als „unsicher“ vorgeworfen, aber dahinter stecken womöglich unausgesprochene Schwierigkeiten.

Wenn Sie großen Wert auf Gerätesicherheit und den Schutz der persönlichen Privatsphäre legen, haben Sie mit großer Wahrscheinlichkeit schon von „GrapheneOS“ gehört.

Wie sicher ist GrapheneOS eigentlich? Einfach ausgedrückt ermöglicht es Benutzern, die Berechtigungen jeder einzelnen App auf dem Smartphone unabhängig zu steuern und jeden Sensor auf dem Handy separat ein- und auszuschalten. Am wichtigsten ist, dass GrapheneOS durch sein einzigartiges Mechanismusdesign einige der berüchtigtsten Spyware-Programme (NSO Pegasus, Predator) funktionsunfähig machen kann.

Aus diesem Grund hat die Ankündigung des GrapheneOS-Teams, dass sie keine Anpassung für die neu erschienene Pixel 11-Serie von Google anbieten werden, praktisch eine offene Anschuldigung, dass diese Geräte „nicht sicher“ sind.

Ist die neue Pixel 11-Serie nicht sicher? Das stimmt tatsächlich

Warum weigert sich GrapheneOS, die neue Pixel 11-Serie anzupassen? Der Grund liegt darin, dass Google im Tensor G6-Prozessor der Pixel 11-Geräte einen hardwarebasierten Sicherheitsmechanismus namens MTE entfernt hat, der genau das zentrale Verkaufsargument von GrapheneOS ist. Ohne dieses Feature geht der größte Vorteil des Systems vollständig verloren.

Was ist MTE eigentlich? Die vollständige Bezeichnung lautet „Memory Tagging Extension“, ein hardwarebasierter Sicherheitsmechanismus, der von ARM ab der Befehlssatzarchitektur ARM V8.5-A eingeführt wurde.

Einfach ausgedrückt können einige Spyware-Programme die Berechtigungen des Zielhandys unbemerkt erlangen, weil sie die CPU dazu verleiten können, auf falsche Speicheradressen zuzugreifen, was zu bestimmten Programmfehlern führt.

MTE fügt allen Speicheradressen ein sogenanntes „Tag“ hinzu und prüft nach jeder ausgeführten Anweisung der CPU vor dem Schreiben in den Speicher, ob das Tag der zu beschreibenden Speicheradresse korrekt ist. Wenn eine Abweichung festgestellt wird, wird die aktuelle Anweisung zwangsweise beendet. Offensichtlich kann dies die Speichersicherheit des Geräts wirksam stärken und verhindern, dass viele bösartige Programme ihre Ziele erreichen.

Ironischerweise war Google eigentlich einer der ersten Hersteller, der MTE im Android-Ökosystem verbreitet hat. Bereits zur Zeit der Pixel 8-Generation haben sie den MTE-Mechanismus in ihrem selbst entwickelten Tensor G3-Prozessor eingeführt, und auch die nachfolgenden Tensor G4 und G5 verfügen über dieses Design.

Aus geleakten internen Dokumenten geht hervor, dass MTE ursprünglich als hochpriorisierte Funktion für den Tensor G6 vorgesehen war

Sogar einige kürzlich veröffentlichte Dokumente zeigen, dass der Tensor G6-Prozessor der Pixel 11-Serie in der Entwurfsphase MTE tatsächlich als hochpriorisierte Funktion vorgesehen hatte, diese Funktion dann aber später entfernt wurde. Das führt nun zu der Situation, dass die Geräte als „nicht sicher genug“ eingestuft und von GrapheneOS öffentlich kritisiert werden.

Warum hat Google MTE entfernt? Neben Kosteneinsparungen kann dies auch die Leistung verbessern

Warum hat Google also das MTE-Sicherheitsmerkmal entfernt, das sie über mehrere Generationen hinweg beibehalten hatten, beim Tensor G6?

Eine Forschungsarbeit, an der interne Mitarbeiter von Google beteiligt waren, zeigt, dass nach der Aktivierung von MTE pro 16 Byte Speicher zusätzliche 4 Bit (also 0,5 Byte) Speicherplatz für die Speicherung der für MTE erforderlichen Speicheradress-Tag-Informationen verbraucht werden.

MTE führt zu einem geringen Anstieg des Speicherverbrauchs, der Anteil ist aber sehr niedrig

Das bedeutet, dass Nutzer nach der Aktivierung dieser Funktion etwa 3,25% des verfügbaren Speicherplatzes verlieren. Da dieser Anteil sehr gering ist, gehen entsprechende Studien davon aus, dass Google kaum absichtlich das MTE-Merkmal im Chip-Design entfernen würde, um Speicherplatz zu sparen.

Die größere Wahrscheinlichkeit liegt in zwei Aspekten: Erstens kann das Entfernen von MTE das Chip-Design selbst wirksam vereinfachen, da MTE spezielle Leitungen im Speichercontroller erfordert und zusätzlich einen zuverlässigen hardwarebasierten Zufallszahlengenerator im Chip vorgesehen werden muss. Wenn diese Designbestandteile entfernt werden, lassen sich die Herstellungskosten des Chips in gewissem Maße senken, ohne andere Funktionen wesentlich zu beeinträchtigen.

Bei aktiviertem MTE auf dem Tensor G3 tritt ein erheblicher Leistungseinbruch auf

Noch wichtiger ist, dass einige Testergebnisse zeigen, dass die Aktivierung von MTE auf bestimmten CPUs zu einem schwerwiegenden Leistungsabfall führt. Das liegt daran, dass MTE die CPU zwingt, vor jedem Schreibvorgang in den Speicher zuerst die Sicherheitsprüfung abzuschließen, was zu deutlichen Verzögerungen führen kann. Bei einigen speziellen Tests führt die Aktivierung von MTE sogar zu einem Leistungsverlust von über 80%.

Apple hat in den Prozessoren der A19-Serie und M5-Serie ebenfalls einen Sicherheitsmechanismus hinzugefügt, der MTE ähnelt

Aber beachten Sie bitte, wir haben den Ausdruck „bestimmte CPUs“ hervorgehoben. Denn in der Branche hat nicht nur Google MTE über Generationen hinweg verwendet: Auch Hersteller von ARM-Serverchips wie Ampere sowie der bekannte Hersteller Apple haben in ihren aktuellen Chip-Generationen spezielle Schaltkreise für MTE integriert. Tests an diesen Chips zeigen, dass nach der Aktivierung von MTE der Leistungsverlust in den meisten Fällen unter 5% liegt.

Daraus geht hervor, dass Google MTE zwar entfernt haben könnte, um ihre Prozessoren noch schneller zu machen, dies aber möglicherweise auf einen Mangel an Fähigkeiten im Chip-Design hindeutet.

Denken Sie, das ist schon alles? Dahinter könnte es noch andere Gründe geben

Man muss zugeben, dass das Entfernen des MTE-Merkmals im Tensor G6 die Pixel 11-Serie tatsächlich weniger sicher macht als die Vorgängermodelle. Und wenn Konkurrenten MTE in ihre Chips integrieren können, ohne die Leistung wesentlich zu beeinträchtigen, aber das Entwicklungsteam von Google dies nicht schafft, zeigt dies, dass ihre Fähigkeiten möglicherweise nicht ausreichend sind.

Aber die Entscheidung von Google, das MTE-Merkmal aufzugeben, liegt möglicherweise nicht nur daran, dass sie nach kleinen Kosteneinsparungen und Leistungssteigerungen streben, sondern hängt möglicherweise mit den tiefgreifenden Kontroversen zusammen, die durch diese Sicherheitsfunktion ausgelöst werden.

Obwohl MTE die Geräte tatsächlich sicherer machen und die Ausnutzung bestimmter Speicherlücken verhindern kann, ist zu beachten, dass es die meisten Viren nicht abwehren kann und auch nicht verhindert, dass alle bösartigen Programme die Privatsphäre der Nutzer ausspionieren.

Das liegt daran, dass die meisten Handy-Viren und bösartigen Programme nicht so „hoch entwickelt“ sind: Meistens müssen sie Nutzer dazu verleiten, bestimmte Aktionen durchzuführen (z. B. manchmal gefährliche Berechtigungen zu erteilen oder auf eine nicht erlaubte Option zu klicken), um ihre schädliche Wirkung zu entfalten.

Die MTE-Technologie zielt tatsächlich auf waffenfähige Überwachungs- und Spionagewerkzeuge ab (im Bild ist das bekannte Spyware-Unternehmen NSO zu sehen)

Was MTE tatsächlich blockieren kann, sind die heimlicheren und hochwertigeren Spionage- und Überwachungsprogramme. Diese Programme haben kein Symbol und funktionieren nicht durch Fehlbedienungen der Nutzer: Sie können Nutzer vollständig unbemerkt überwachen und ihre persönlichen Daten stehlen, weshalb sie schädlicher sind als herkömmliche Viren und bösartige Programme.

Am wichtigsten ist, dass diese „hochwertigen Spionageprogramme“ extrem teuer sind, die meisten Hacker sie sich gar nicht leisten können, und diese Programme praktisch nie gegen normale Nutzer eingesetzt werden. Manchmal werden diese Spionageprogramme von Strafverfolgungsbehörden verwendet, um besonders gefährliche Kriminelle zu verfolgen, als Hilfsmittel, um Beweise heimlich zu sammeln.

Wenn Sie einige verwandte Nachrichten aus der Vergangenheit gelesen haben, erinnern Sie sich möglicherweise an ein Gerücht: Grenzkontrollpersonal an einigen Orten schenkt Personen, die Geräte der Pixel 8- bis Pixel 10-Serie verwenden, besondere Aufmerksamkeit, weil sie annehmen, dass diese Smartphones mit GrapheneOS geflasht wurden, um sich dieser heimlichen Überwachung zu entziehen.

moto hat bereits die Zusammenarbeit mit GrapheneOS angekündigt

Da solche Vorfälle bereits stattgefunden haben, kann man sich vorstellen, ob Google als Gerätehersteller nicht unter anderen „Druck“ geraten ist. Man kann zwar sagen, dass Google technisch nicht so gut ist wie Apple (das die MTE-ähnliche Technologie standardmäßig in allen neuen Geräten integriert) oder moto (das bald Geräte mit GrapheneOS auf den Markt bringen wird), aber welche Abwägungen hinter dieser Entscheidung stehen, weiß vermutlich nur Google selbst.

Dieser Artikel stammt aus dem WeChat-Offiziellen Konto „San Yi Sheng Huo“ (ID: IT-3eLife), Autor: San Yi Jun, veröffentlicht mit Genehmigung von 36Kr.