Why does GrapheneOS not run on the Fairphone 4?

As Reddit is a walled garden now, I want to repost Daniel Micays answer why GrapheneOS is not supporting this “suitable device”.

english original> Fairphone 4 doesn’t provide proper privacy/security patches, which is the most bare minimum requirement for a device. > …fairphone.com/…/4405858220945-FP4-Fairphone-OS-R…> They released the November 2022 security patch meant to be published on November 7th on December 19th instead. Bear in mind they receive early access to these security patches not available to GrapheneOS. > Please note that the monthly security patches described on that patch are only a subset of the Android security patches. Android divides up the security patches into the mandatory patches listed in the Android Security Bulletin and recommended patches listed in the Pixel Update Bulletin. The latest monthly, quarterly or yearly Android release contains the recommended patches. The mandatory patches are backported to the older releases. > As an example, this is the mandatory subset of the December security patch not shipped for the Fairphone 4: > source.android.com/docs/security/…/2022-12-01> Most of the 2022-12-05 patches require the vendor to release an update. > This is the Pixel Update Bulletin for December 2022: > source.android.com/docs/security/…/2022-12-01> The first sections not marked as Pixel are recommended patches for other devices. The section marked as Pixel are largely applicable to other devices with either a Snapdragon SoC, Exynos SoC or a separate Qualcomm/Samsung cellular modem. The Pixel Update Bulletins provide a lot more patches than what other vendors are required to fix to claim the latest patch level. This means the patch level elsewhere doesn’t mean as much as you think, and it means almost nothing on alternate operating systems setting it incorrectly. > > As far as I can tell, the fairphone 4 does have a secure element. The Qualcomm SM7225 chip the phone uses lists that it has a “trusted execution environment”, “platform security foundations”, “secure processing unit” and “type-1 hypervisor”, these are slightly different terminology, but appear to be all the things graphene are always saying would be needed. > TrustZone, virtualization that’s not usable by us (we can use the virtualization support on the Pixel 6 and later, but not Snapdragon support since that’s for Qualcomm and must be licensed by an OEM for their particular usage) along with marketing buzzwords are not a secure element. Qualcomm SPU is a secure element, but does not implement the required functionality. The functionality implemented by the TEE (TrustZone, not a secure element) and SPU depend on the OEM. Fairphone hasn’t filled in the functionality that’s expected. Qualcomm doesn’t provide it out-of-the-box. > > I had a quick look at qualcomm’s exploit disclosures for the SOC, and admittedly there are a lot, but all I could find were firmware exploits that have presumably been patched. I couldn’t find anything related to fundamental problems with the underlying hardware that would make it insecure. Would you mind linking to whatever active hardware exploits in the Qualcomm SM7225 chip you know of? > Qualcomm and Android security bulletins are published monthly. There are usually firmware security patches every month. There are also usually patches to Qualcomm’s proprietary libraries. On the Fairphone 4, all the userspace SoC support would be for Android 11, and while still usable for Android 13 not at all ideal and with major caveats. > > The update schedule of the fairphone shouldn’t matter for discussions about potential for graphene given that all the software would be replaced anyway, besides perhaps the firmware, but if the patches are available it should be easy to apply them from the upstream with OS support. I haven’t seen any evidence of fairphone 4 shipping security critical firmware updates late btw, but I’m not going to contest it since it would be irrelevant anyway. > That’s not at all correct. The firmware would come from them which is a substantial portion of the security patches and no less important. The software would largely come from them too whether the components are open or closed source. > The evidence of them shipping security patches late is right there on their site. They ship each monthly Android security patch significantly late, and those are just the mandatory Android security patches, not the recommended patches. The Android security patches are just a baseline and often include upstream fixes months late or longer. Shipping these on time is a low bar, not a high bar, especially if a vendor is only shipping the mandatory ones and not all recommended patches. Fairphone is missing literally years of recommended patches due to being based on Android 11. This does matter when using another OS because you are still going to be using their vendor code, via Treble. Since their vendor code isn’t updated to Android 13 QPR1, the most straightforward way to support it is via Treble, meaning the vendor portion of userspace will not have recommended patches and hardening beyond Android 11. On Pixels, we can built a lot of vendor ourselves since it matches the OS version, and we can freely replace components case-by-case. > > I can’t find any sources for exploit disclosures surrounding fairphone’s secure boot implementation. It’s possible you’re referring to the general misnomer that “devices other than pixels don’t support relocking the bootloader”, if so then it should be pointed out that fairphone 4 does. If there’s something else specific please link the CVE. > Their verified boot implementation is incomplete and broken. This has been confirmed by us and multiple independent search researchers. This has to work in order for it to be relevant. It’s also missing features. Most vulnerabilities don’t get a CVE assigned, that’s simply not how the real world works. > > Not trying to shill for fairphone or anything, I can’t even buy their products in my country, and I only did like 5 minutes of research, but it seems like a perfectly valid candidate to me. > It is not a valid candidate, and as you said you only did 5 minutes of research. You had an answer you wanted and you looked for bits of information to try to confirm what you wanted to see. > This phone doesn’t come close to meeting our requirements. The SoC is also old and has already gone through a lot of Qualcomm’s 4 year guaranteed support for the SoC. Compare it to the recently launched Pixel 6a with 5 years of support guarantee from launch. That also means something much different for the Pixel 6a, which receives every monthly security patch on time. It also receives every monthly, quarterly and yearly release of AOSP on time which bring the recommended privacy/security patches and other improvements. We need this software support. We could make some sacrifices but not shipping even the mandatory ASB patches almost 2 months late every month. > Giving people something branded as GrapheneOS but which doesn’t come close to providing the basics that are expected goes against what we believe in doing. We cannot support this device and call it GrapheneOS.

deutsche Übersetzung> Das Fairphone 4 bietet keine geeigneten Datenschutz-/Sicherheitspatches, was die absolute Mindestanforderung für ein Gerät darstellt. > …fairphone.com/…/4405858220945-FP4-Fairphone-OS-R…> Stattdessen wurde der Sicherheitspatch vom November 2022, der am 7. November veröffentlicht werden sollte, am 19. Dezember veröffentlicht. Bedenken Sie, dass sie frühzeitig Zugriff auf diese Sicherheitspatches erhalten, die für GrapheneOS nicht verfügbar sind. > Bitte beachten Sie, dass die in diesem Patch beschriebenen monatlichen Sicherheitspatches nur eine Teilmenge der Android-Sicherheitspatches sind. Android unterteilt die Sicherheitspatches in die im Android Security Bulletin aufgeführten obligatorischen Patches und die im Pixel Update Bulletin aufgeführten empfohlenen Patches. Die neueste monatliche, vierteljährliche oder jährliche Android-Version enthält die empfohlenen Patches. Die obligatorischen Patches werden auf die älteren Versionen zurückportiert. > Dies ist beispielsweise die obligatorische Teilmenge des Dezember-Sicherheitspatches, der nicht für das Fairphone 4 ausgeliefert wurde: > source.android.com/docs/security/…/2022-12-01> Die meisten Patches vom 05.12.2022 erfordern die Veröffentlichung eines Updates durch den Anbieter. > Dies ist das Pixel-Update-Bulletin für Dezember 2022: > source.android.com/docs/security/…/2022-12-01> Die ersten Abschnitte, die nicht als Pixel gekennzeichnet sind, sind empfohlene Patches für andere Geräte. Der als Pixel gekennzeichnete Abschnitt gilt weitgehend für andere Geräte mit einem Snapdragon-SoC, Exynos-SoC oder einem separaten Qualcomm/Samsung-Mobilfunkmodem. Die Pixel-Update-Bulletins stellen viel mehr Patches bereit, als andere Anbieter reparieren müssen, um die neueste Patch-Stufe zu erhalten. Das bedeutet, dass der Patch-Level anderswo nicht so viel bedeutet, wie Sie denken, und dass er bei alternativen Betriebssystemen fast nichts bedeutet, wenn er falsch eingestellt wird. > > Soweit ich das beurteilen kann, verfügt das Fairphone 4 über ein sicheres Element. Der Qualcomm SM7225-Chip, den das Telefon verwendet, gibt an, dass es über eine „vertrauenswürdige Ausführungsumgebung“, „Plattformsicherheitsgrundlagen“, „sichere Verarbeitungseinheit“ und „Typ-1-Hypervisor“ verfügt. Dies sind leicht unterschiedliche Terminologien, scheinen aber alles zu sein Graphen wird immer benötigt. > TrustZone, Virtualisierung, die von uns nicht genutzt werden kann (wir können die Virtualisierungsunterstützung auf dem Pixel 6 und höher nutzen, aber nicht die Snapdragon-Unterstützung, da diese für Qualcomm ist und von einem OEM für ihre jeweilige Verwendung lizenziert werden muss) sowie Marketing-Schlagworte sind nicht sicher Element. Qualcomm SPU ist ein sicheres Element, implementiert jedoch nicht die erforderliche Funktionalität. Die von TEE (TrustZone, kein sicheres Element) und SPU implementierte Funktionalität hängt vom OEM ab. Fairphone bietet nicht die erwartete Funktionalität. Qualcomm bietet es nicht sofort an. > > Ich habe einen kurzen Blick auf die Exploit-Offenlegungen von Qualcomm für das SOC geworfen, und zugegebenermaßen gibt es viele, aber alles, was ich finden konnte, waren Firmware-Exploits, die vermutlich gepatcht wurden. Ich konnte nichts im Zusammenhang mit grundlegenden Problemen mit der zugrunde liegenden Hardware finden, die sie unsicher machen würden. Würde es Ihnen etwas ausmachen, auf alle Ihnen bekannten aktiven Hardware-Exploits im Qualcomm SM7225-Chip zu verlinken? > Qualcomm- und Android-Sicherheitsbulletins werden monatlich veröffentlicht. Normalerweise gibt es jeden Monat Firmware-Sicherheitspatches. In der Regel gibt es auch Patches für die proprietären Bibliotheken von Qualcomm. Auf dem Fairphone 4 würde die gesamte Userspace-SoC-Unterstützung für Android 11 gelten, und obwohl sie für Android 13 noch nutzbar ist, ist sie überhaupt nicht ideal und mit großen Einschränkungen. > > Der Update-Zeitplan des Fairphone sollte für Diskussionen über das Potenzial von Graphen keine Rolle spielen, da sowieso die gesamte Software ersetzt würde, außer vielleicht der Firmware, aber wenn die Patches verfügbar sind, sollte es einfach sein, sie vom Upstream mit Betriebssystemunterstützung anzuwenden . Ich habe übrigens keine Beweise dafür gesehen, dass das Fairphone 4 spätestens sicherheitskritische Firmware-Updates ausgeliefert hat, aber ich werde es nicht bestreiten, da es sowieso irrelevant wäre. > Das ist überhaupt nicht richtig. Von ihnen würde die Firmware stammen, die einen wesentlichen Teil der Sicherheitspatches ausmacht und nicht weniger wichtig ist. Auch die Software würde größtenteils von ihnen stammen, unabhängig davon, ob es sich bei den Komponenten um Open-Source- oder Closed-Source-Komponenten handelt. > Der Beweis dafür, dass sie Sicherheitspatches verspätet versendet haben, finden Sie direkt auf ihrer Website. Sie versenden jeden monatlichen Android-Sicherheitspatch mit erheblicher Verspätung, und dabei handelt es sich nur um die obligatorischen Android-Sicherheitspatches, nicht um die empfohlenen Patches. Bei den Android-Sicherheitspatches handelt es sich lediglich um eine Baseline und sie enthalten oft Monate später oder länger Upstream-Korrekturen. Die rechtzeitige Lieferung dieser Patches ist eine niedrige und keine hohe Hürde, insbesondere wenn ein Anbieter nur die obligatorischen Patches und nicht alle empfohlenen Patches liefert. Fairphone fehlt buchstäblich jahrelang an empfohlenen Patches, da es auf Android 11 basiert. Dies ist jedoch wichtig, wenn Sie ein anderes Betriebssystem verwenden, da Sie über Treble weiterhin den Code des Herstellers verwenden. Da der Code ihres Anbieters nicht auf Android 13 QPR1 aktualisiert ist, ist die einfachste Möglichkeit zur Unterstützung die Verwendung von Treble. Dies bedeutet, dass der Anbieterteil des Benutzerbereichs über Android 11 hinaus keine empfohlenen Patches und Härtungen aufweist. Auf Pixeln können wir viele davon erstellen Wir liefern den Hersteller selbst, da er mit der Betriebssystemversion übereinstimmt, und wir können Komponenten von Fall zu Fall frei austauschen. > > Ich kann keine Quellen für Exploit-Offenlegungen im Zusammenhang mit der sicheren Boot-Implementierung von Fairphone finden. Möglicherweise beziehen Sie sich auf die allgemeine Fehlbezeichnung, dass „andere Geräte als Pixel das erneute Sperren des Bootloaders nicht unterstützen“. Wenn dies der Fall ist, sollte darauf hingewiesen werden, dass Fairphone 4 dies tut. Wenn es noch etwas Spezifisches gibt, verlinken Sie bitte das CVE. > Ihre verifizierte Boot-Implementierung ist unvollständig und fehlerhaft. Dies wurde von uns und mehreren unabhängigen Suchforschern bestätigt. Das muss funktionieren, damit es relevant ist. Es fehlen auch Funktionen. Den meisten Schwachstellen wird kein CVE zugewiesen, so funktioniert die reale Welt einfach nicht. > > Ich versuche nicht, für Fairphone oder so etwas zu werben, ich kann deren Produkte in meinem Land nicht einmal kaufen und ich habe nur 5 Minuten recherchiert, aber es scheint mir ein absolut gültiger Kandidat zu sein. > Es handelt sich nicht um einen gültigen Kandidaten, und wie Sie sagten, haben Sie nur 5 Minuten recherchiert. Sie hatten eine Antwort, die Sie wollten, und suchten nach Informationen, um zu bestätigen, was Sie sehen wollten. > Dieses Telefon entspricht nicht annähernd unseren Anforderungen. Auch der SoC ist alt und hat bereits einen Großteil des 4-Jahres-Garantie-Supports von Qualcomm für den SoC durchlaufen. Vergleichen Sie es mit dem kürzlich eingeführten Pixel 6a mit 5 Jahren Support-Garantie ab Markteinführung. Das bedeutet auch etwas ganz anderes für das Pixel 6a, das jeden monatlichen Sicherheitspatch pünktlich erhält. Außerdem erhält es pünktlich jede monatliche, vierteljährliche und jährliche Veröffentlichung von AOSP, die die empfohlenen Datenschutz-/Sicherheitspatches und andere Verbesserungen enthält. Wir brauchen diese Softwareunterstützung. Wir könnten einige Abstriche machen, würden aber nicht einmal die obligatorischen ASB-Patches jeden Monat fast zwei Monate zu spät versenden. > Den Menschen etwas zu geben, das als GrapheneOS bezeichnet wird, das aber nicht annähernd die erwarteten Grundlagen bietet, widerspricht unseren Vorstellungen. Wir können dieses Gerät nicht unterstützen und es GrapheneOS nennen.