Прескачане към съдържанието

SMAP

Архитектурна справкаFeex

Наричано още OS Guard (SMAP)

SMAP, Supervisor-Mode Access Prevention, ограничава достъпа на супервайзора до данни в достъпни за потребителя страници, освен ако не са в сила архитектурните условия за пренебрегване. Тя се различава от SMEP, често брандирана като Intel OS Guard.

Какво трябва да знаете

SMAP, Supervisor-Mode Access Prevention, ограничава достъпа на супервайзора до данни в достъпни за потребителя страници, освен ако не са в сила архитектурните условия за пренебрегване. Тя се различава от SMEP, често брандирана като Intel OS Guard.

Как работи

ОС може да активира SMAP, така че непредвидените привилегировани достъпи до данни в потребителски съпоставяния да предизвикват грешка (fault). Рутините на ядрото, които умишлено копират потребителски данни, използват внимателно контролирани прозорци за достъп съгласно правилата на архитектурата. Разрешението за изпълнение е отделен въпрос, управляван от механизми като SMEP и NX.

Къде е полезно

Рутина на ядрото, получаваща потребителски указател, трябва да го валидира и осъществи достъп до него чрез установените от ОС средства за копиране на потребителски данни. SMAP е защитна граница около такива достъпи, а не заместител на проверките за дължина, управлението на жизнения цикъл или правилните решения за привилегии.

Как се проверява поддръжката и активирането

CPUID.07H.00H:EBX бит 20 изброява SMAP, докато CR4.SMAP контролира активирането. SMEP използва различен бит. Проверявайте документацията и интерфейсите за състояние на ОС; не изключвайте защитата като обща стъпка за отстраняване на неизправности в приложенията.

Възможността, активирането и прилагането трябва да се проверяват отделно. Процесорът може да поддържа дадена защита, докато операционната система, приложението или политиката на виртуалната машина не я активират. Полето за поддръжка в база данни не представлява атестация на работеща система.

Какво не гарантира тази функция

Импортираният етикет OS Guard (SMAP) не трябва да се тълкува като доказателство, че SMEP и SMAP са идентични или че и двете са активирани. Възможност на процесора не установява състоянието на защита на конкретно ядро, гост или драйвер.

Съвместимост и производителност на практика

Поддържайте операционната система, фърмуера и засегнатата среда за изпълнение актуални. Ако дадена защита разкрие проблем със съвместимостта, първо използвайте диагностиката на производителя и поддържаните актуализации. Глобалното превключване на защити може да засегне несвързани приложения и трябва да следва ясна политика за внедряване и възстановяване.

Практически контролен списък за проверка

  1. Запишете точния модел на процесора или платформата, както и използваните версии на приложението, операционната система и средата за изпълнение. Запазете точния текст на действителната грешка или изискване.
  2. Проверете документацията от производителя за този точен модел, след което инспектирайте действителните възможности и активираното състояние в средата, където работи програмата.
  3. Сравнете всяко изискване на избрания двоичен файл или бекенд. Подобно наименувана функция, псевдоним или общ технологичен етикет не са достатъчни.
  4. Потвърдете, че приложението е избрало планираната реализация. Използвайте неговата документирана диагностика и поддържан резервен вариант, когато изискванията не са изпълнени.
  5. Правете по една поддържана промяна наведнъж и повтаряйте същото работно натоварване. Запазете достъпни оригиналната конфигурация и плана за възстановяване.

Ако функцията е посочена, но софтуерът не може да я използва

Започнете с точния компонент, който дава грешка. Хардуерната база данни описва записаните възможности; операционната система или хипервайзорът могат да предоставят различна ефективна среда. Грешка за невалидна инструкция (illegal-instruction) също изисква разследване на действителната сриваща се инструкция и компилацията на двоичния файл, тъй като повреда или несвързана неподдържана инструкция може да предизвика подобен симптом.

Инсталирайте версията на приложението, драйвера или средата за изпълнение, която се поддържа за точната платформа, и използвайте документираната от производителя базова или резервна компилация, ако е необходимо. Софтуерна актуализация не може да създаде инструкция, която липсва в процесора. Промените във фърмуера и политиките за сигурност трябва да следват процедурата на производителя на системата и план за възстановяване, а не общи съвети за оптимизация.

Източници и обхват на това обяснение

Intel 64 and IA-32 Architectures Software Developer's Manual · Функции за сигурност на Intel, свързани с атаки чрез преходно изпълнение

Тези източници установяват архитектурното поведение и софтуерните изисквания. Те не проверяват независимо всяка стойност на параметър на свързана страница за хардуерен модел. За поддръжка на даден модел използвайте данните от производителя на съответната страница и проверете ефективната системна конфигурация. Тази статия не предоставя бенчмарк, сертификация или дата на независим преглед.

Източници и проверка

Редакционна собственост: Feex. Не е записана дата на независим преглед. Как проучваме.

Беше ли полезна тази статия?

Достатъчно е "да" или "не". Изберете причина, ако желаете, или добавете кратка бележка.

Беше ли полезна тази статия?