GrapheneOS、Pixel 11対応を完了できず　必須要件のメモリタグ付けに非対応

プライバシーとセキュリティを重視するAndroidベースのOS「GrapheneOS」は、Googleの「Pixel 11」シリーズがハードウェアメモリタグ付けに対応していないため、正式対応に必要な移植作業を完了できないと明らかにした。Pixel 11世代のサポートは見送られる可能性があり、GrapheneOSの利用を前提に端末を選ぶ場合は、現在サポートされているPixel 8〜10シリーズが候補となる。

■Pixel 11への移植を阻むメモリタグ付けの非対応

GrapheneOSプロジェクトは8月29日、Pixel 11シリーズへの部分的な移植を約1週間かけて進めたものの、ARMのハードウェアメモリタグ付けに対応していないため作業を完了できないと発表した。ソフトウェアとファームウェアで利用できず、ハードウェア自体も対応していない可能性が極めて高いとしている。

GrapheneOSは、ハードウェアメモリタグ付けをサポート対象端末の重要な要件に位置付けている。Pixel 11で同機能が利用できない以上、部分的な移植版を構築できたとしても、プロジェクトが正式版に求めるセキュリティ基準を満たせない。

GrapheneOSは、Googleがコスト削減のために重要なセキュリティ機能を省いたように見えるとの見方も示した。ただし、GoogleはPixel 11におけるメモリタグ付け非対応の理由を公表しておらず、コスト削減が目的だったかどうかは確認されていない。

Pixel 11シリーズは、Google Tensor G6とTitan M3セキュリティコプロセッサを搭載する。日本のGoogleストアでは、標準モデルのPixel 11が税込13万6800円から販売されている。GoogleはTensor G6とTitan M3について、量子耐性のあるハードウェアベースのセキュアブートに対応すると説明している。

■メモリ破損の検出を支えるMTE

ARM Memory Tagging Extension（MTE）は、メモリ領域と、その領域を参照するポインタにタグを割り当て、メモリアクセス時に両者を照合する仕組みである。ARMv8.5-Aで導入され、16バイト単位のメモリ領域に4ビットのタグを関連付ける。

タグが一致しない場合、設定された動作モードに応じて例外を発生させることができる。これにより、確保された領域の外側へアクセスするバッファオーバーフローや、解放済みのメモリを参照するuse-after-freeなどのメモリ安全性の問題を検出し、攻撃への悪用を難しくする。

同期モードでは、不一致を起こしたメモリアクセスの時点で例外が通知されるため、不具合の発生箇所を特定しやすい。一方、MTEのタグは4ビットであり、あらゆる不正アクセスを必ず検出する完全な境界検査ではない。連続した領域を越えるアクセスなど確実に検出できる場合がある一方、任意のメモリ位置へのアクセスについては確率的な防御として働く。

MTEは、アドレス空間配置のランダム化やスタックカナリアなどと同様、複数の防御層を構成する技術の一つである。ソフトウェアによる緩和策を置き換えるのではなく、プロセッサによるタグ照合を加えることで、メモリ破損を利用した攻撃の難易度を引き上げる。

■Pixel 8から本格利用したGrapheneOS

Googleは2023年、Tensor G3を搭載するPixel 8シリーズでMTEを利用できるようにした。標準のAndroidでは開発者向け機能として導入されたが、GrapheneOSはPixel 8の登場後、独自のメモリアロケーターやベースOSの広い範囲へハードウェアメモリタグ付けを組み込んだ。

この仕組みは実際の不具合発見にも役立っている。GrapheneOSは2024年3月、Pixel 8シリーズのハードウェアメモリタグ付けによって、Android 14 QPR2のBluetooth LEオーディオに関係するuse-after-freeの問題を発見した。

この問題にはCVE-2024-23694が割り当てられ、Googleは深刻度を「高」と評価した。ペアリング済みのBluetooth LEオーディオ機器を利用してコード実行につながる可能性があるローカル権限昇格の脆弱性で、2024年5月のPixel向けセキュリティ更新で修正された。

Pixel 8以降で利用してきたこの防御機能がPixel 11では使えないことは、GrapheneOSにとって単なる移植上の不具合ではない。端末を正式にサポートするかどうかを判断するセキュリティ要件そのものに関わる。

■ソフトウェア更新だけでは解決できない可能性

MTEはARMv8.5-A以降で定義されているが、対応する命令セットを採用したすべてのプロセッサで必ず提供される機能ではない。チップ設計者は、MTEに必要なタグの保存機構や照合機能をハードウェアに実装する必要がある。

GrapheneOSは、Pixel 11ではソフトウェアとファームウェアの双方にサポートがなく、ハードウェアもほぼ確実に対応していないとしている。実機で読み出されたプロセッサの機能情報でも、Pixel 8 Proでは確認できるMTE関連機能がPixel 11 Proでは確認できないとの報告がある。

ハードウェア側に必要な機構が存在しない場合、OSやファームウェアの更新だけでMTEを追加することはできない。そのためGrapheneOSが現在のセキュリティ要件を維持する限り、Pixel 11向けの正式対応をソフトウェア上の修正だけで完了させるのは困難となる。

■Titan M3とは異なる領域を保護

Pixel 11には、Titan M3セキュリティコプロセッサや量子耐性のあるハードウェアベースのセキュアブートなど、新しいセキュリティ機能も導入されている。

セキュアブートは、端末の起動時に正当なソフトウェアが読み込まれていることを検証する。一方、MTEは起動後にメインプロセッサ上で動くソフトウェアのメモリアクセスを監視する。両者は異なる段階と攻撃経路に対処するものであり、Titan M3の導入によってMTEの役割が置き換えられるわけではない。

Appleも、メモリタグ付けを利用した防御を強化している。2025年に発表した「Memory Integrity Enforcement」は、ARMのEnhanced Memory Tagging Extensionを基盤とし、対応する新しいiPhoneで常時有効になるようハードウェアとOSを統合した仕組みである。

AppleとGrapheneOSでは実装範囲やOSの設計が異なるが、メモリ破損を利用した攻撃に対し、プロセッサによるタグ照合を防御層として活用する点は共通している。こうした動きのなかで、Pixel 11がハードウェアメモリタグ付けを利用できないことは、GrapheneOSが対応端末を選ぶうえで大きな制約となった。

■Pixel以外の対応端末を目指すMotorolaとの提携

GrapheneOSはこれまで、主にGoogle Pixelを正式な対応端末としてきた。代替OSを導入した後もブートローダーを再ロックできることや、ハードウェアに基づく検証、長期的なファームウェアとドライバの更新など、プロジェクトが定める要件をPixelが満たしてきたためである。

一方、Motorolaは2026年3月、GrapheneOS Foundationとの長期的な提携を発表した。両者は、GrapheneOSとの互換性を設計段階から考慮した将来の端末や、新たなセキュリティ機能の開発に共同で取り組むとしている。

GrapheneOS側は、最初の対応機種を通常形状のフラッグシップモデルとし、その後に折りたたみ端末へ対象を広げる構想を示している。ただし、Motorolaの公式発表では具体的な製品名、仕様、価格、発売日は明らかにされていない。現時点で購入できるMotorola製端末がGrapheneOSに正式対応したわけではない。

Motorolaとの提携は、GrapheneOSがPixelだけに依存しない端末基盤を築くための選択肢となる。もっとも、将来の端末がハードウェアメモリタグ付けを含むすべての要件を満たし、正式サポートに加わるかどうかは、製品の詳細が公表されるまで確定しない。

■GrapheneOS利用者が選べる端末

GrapheneOSの利用を前提に新しいスマートフォンを購入する場合、Pixel 11は現時点で適切な選択肢ではない。GrapheneOSは移植を完了できておらず、Pixel 11世代についてはサポートを見送る可能性がある。

既存のPixel 8、Pixel 9、Pixel 10シリーズについては、引き続きGrapheneOSのリリース対象に含まれている。これらの端末を利用中のユーザーは、Pixel 11の問題によって現在のサポートが直ちに変更されるわけではない。

今後、Googleが別の形で対応策を示す可能性までは否定できないが、ハードウェアがMTEに対応していないとの現在の判断を前提にすれば、Pixel 11がGrapheneOSの正式な対応端末に加わる見通しは立っていない。将来のPixelが同じ設計を引き継ぐかどうかについても、現時点では判断できない。

今回の問題は、GrapheneOSとPixelの関係が直ちに終了したことを意味するものではない。GrapheneOSは既存の対応機種を引き続きサポートする一方、将来のPixelについては、それぞれの端末がプロジェクトの要件を満たすかどうかを確認して対応を判断する方針である。

元記事: Google Removed Pixel 11 Memory Safety Hardware, Blocking GrapheneOS Port