OS Guard i SMEP

Šta treba da znate

Kako funkcioniše

Kada operativni sistem omogući SMEP, preuzimanja instrukcija u supervizorskom režimu provjeravaju se u odnosu na korisničke/supervizorske dozvole u tabeli stranica. Ovo pomaže u sprječavanju greške u toku kontrole kernela da direktno izvrši kod mapiran kao dostupan korisniku. Operativni sistem i dalje kontroliše mapiranja stranica i sopstveni privilegovani kod.

Đe je korisno

Kernel koji slučajno preusmjeri izvršavanje na korisničku stranicu može izazvati prekid (fault) pod SMEP-om. Ovo je specifična granica izvršavanja; ona ne provjerava nezavisno logiku kernela, učitane drajvere niti dozvoljena supervizorska mapiranja.

Kako provjeriti podršku i omogućenost

CPUID.07H.00H:EBX bit 7 nabraja SMEP; CR4.SMEP je kontrola operativnog sistema. SMAP ima zaseban bit i kontrolu. Provjerite dokumentovanu konfiguraciju zaštite operativnog sistema koji se izvršava, umjesto pokušaja promjene privilegovanih kontrola iz aplikacije.

Sposobnost, omogućenost i primjena moraju se provjeriti odvojeno. Procesor može podržavati zaštitu dok je OS, aplikacija ili politika virtuelne mašine ne aktiviraju. Polje podrške u bazi podataka nije atestacija sistema koji radi.

Šta ova funkcija ne utvrđuje

OS Guard nije Boot Guard. Polje baze podataka u kojem piše OS Guard (SMAP) miješa dva različita arhitektonska koncepta i ne može uspostaviti oba; provjerite SMEP i SMAP nezavisno. Ova mogućnost ne čini ranjivi drajver bezbjednim.

Kompatibilnost i performanse u praksi

Održavajte OS, firmver i pogođeni runtime aktuelnim. Ako zaštita izloži problem sa kompatibilnošću, prvo upotrijebite dijagnostiku proizvođača i podržana ažuriranja. Široki prekidač zaštite može uticati na nepovezane aplikacije i treba da prati eksplicitnu politiku implementacije i oporavka.

Praktična lista za provjeru verifikacije

1. Zabilježite tačan model procesora ili platforme, kao i verzije aplikacije, OS-a i runtime-a koji se koriste. Sačuvajte formulaciju stvarne greške ili zahtjeva.
2. Provjerite referencu proizvođača za taj tačan model, a zatim pregledajte efektivnu sposobnost i omogućeno stanje u okruženju đe se program izvršava.
3. Uporedite svaki zahtjev odabranog binarnog koda ili backend-a. Funkcija sličnog naziva, alias ili široka tehnološka oznaka nijesu dovoljni.
4. Potvrdite da je aplikacija odabrala predviđenu implementaciju. Koristite njenu dokumentovanu dijagnostiku i podržanu rezervnu varijantu kada zahtjevi nijesu ispunjeni.
5. Napravite po jednu podržanu promjenu u isto vrijeme i ponovite isto radno opterećenje. Držite originalnu konfiguraciju i putanju oporavka dostupnima.

Ako je funkcija navedena, ali je softver ne može koristiti

Počnite sa tačnom komponentom koja otkazuje. Baza podataka hardvera opisuje zabilježenu sposobnost; operativni sistem ili hipervizor mogu izložiti drugačije efektivno okruženje. Greška nelegalne instrukcije takođe zahtijeva istragu stvarne instrukcije koja je izazvala kvar i binarne verzije, jer oštećenje ili nepovezana nepodržana instrukcija mogu proizvesti sličan simptom.

Instalirajte verziju aplikacije, drajvera ili runtime-a podržanu za tačnu platformu i koristite dokumentovanu osnovnu ili rezervnu verziju proizvođača ako je potrebno. Ažuriranje softvera ne može stvoriti instrukciju koja procesoru nedostaje. Promjene firmvera i bezbjednosnih politika treba da prate proceduru proizvođača sistema i plan oporavka, a ne generički recept za optimizaciju.

Povezane funkcije i korisne razlike

SMAP · Execute Disable (NX) · Boot Guard · Control-flow Enforcement (CET)

Izvori i obim ovog objašnjenja

Intel 64 and IA-32 Architectures Software Developer's Manual · Intel bezbjednosne funkcije povezane sa napadima prolaznog izvršavanja (transient execution)

Ove reference utvrđuju arhitekturno ponašanje i softverske zahtjeve. One ne verifikuju nezavisno svaku vrijednost funkcije na povezanoj stranici hardverskog modela. Za podršku modela, koristite dokaze proizvođača sa te stranice i provjerite efektivnu konfiguraciju sistema. Ovaj članak ne pruža benčmark, sertifikaciju niti datum nezavisnog pregleda.

Povezano

Ovi entiteti su povezani sa ovim člankom. Tip je prikazan na svakom linku.

Izvori i verifikacija

Uredničko vlasništvo: Feex. Nije zabilježen datum nezavisne recenzije. Kako istražujemo.

• Intel 64 and IA-32 Architectures Software Developer's Manual · Tomovi 1 i 2 opisuju imenovane familije instrukcija i CPUID; Tom 3 opisuje stanje, straničenje, VMX i kontrole zaštite. Dokumentacija o arhitekturi ne utvrđuje podršku za određeni model.
• Intel bezbjednosne funkcije povezane sa napadima prolaznog izvršavanja (transient execution) · Poistovjećuje Intel OS Guard sa SMEP. Ovo se razlikuje od SMAP-a, uprkos tome što neke uvezene oznake funkcija miješaju ta imena.