SMAP

Co potřebujete vědět

Jak to funguje

Operační systém může povolit SMAP, takže nezamýšlené privilegované přístupy k datům v uživatelských mapováních vyvolají chybu. Rutiny jádra, které záměrně kopírují uživatelská data, používají pečlivě řízená přístupová okna podle pravidel architektury. Oprávnění k provádění kódu je samostatnou záležitostí, kterou řeší mechanismy jako SMEP a NX.

Kde je funkce užitečná

Rutina jádra přijímající uživatelský ukazatel jej musí ověřit a přistupovat k němu pomocí zavedených mechanismů operačního systému pro kopírování uživatelských dat. SMAP představuje obrannou hranici kolem takových přístupů, nikoli náhradu za kontrolu délky, správu životního cyklu nebo správná rozhodnutí o oprávněních.

Jak ověřit podporu a aktivaci

CPUID.07H.00H:EBX bit 20 enumeruje SMAP, zatímco CR4.SMAP řídí jeho povolení. SMEP používá jiný bit. Zkontrolujte dokumentaci operačního systému a stavová rozhraní; nevypínejte tuto ochranu jako obecný krok při odstraňování problémů s aplikacemi.

Dostupnost, aktivaci a vynucování je nutné kontrolovat samostatně. Procesor může ochranu podporovat, zatímco operační systém, aplikace nebo zásady virtuálního počítače ji neaktivují. Pole podpory v databázi není atestací běžícího systému.

Co tato funkce nezajišťuje

Převzaté označení OS Guard (SMAP) by nemělo být interpretováno jako důkaz, že SMEP a SMAP jsou totožné nebo že jsou obě funkce povoleny. Schopnost procesoru neurčuje stav ochrany konkrétního jádra, hosta nebo ovladače.

Kompatibilita a výkon v praxi

Udržujte operační systém, firmware a dotčené běhové prostředí aktuální. Pokud ochrana odhalí problém s kompatibilitou, použijte nejprve diagnostiku výrobce a podporované aktualizace. Plošné přepnutí ochrany může ovlivnit nesouvisející aplikace a mělo by se řídit explicitními pravidly pro nasazení a obnovu.

Praktický kontrolní seznam pro ověření

1. Zaznamenejte přesný model procesoru nebo platformy a použité verze aplikace, operačního systému a běhového prostředí. Uchovejte přesné znění chybové zprávy nebo požadavku.
2. Zkontrolujte dokumentaci výrobce pro daný konkrétní model a poté prověřte skutečně dostupnou kapacitu a stav aktivace v prostředí, kde program běží.
3. Porovnejte veškeré požadavky vybraného binárního souboru nebo backendu. Podobně pojmenovaná funkce, alias nebo obecné technologické označení nestačí.
4. Ověřte, že aplikace vybrala zamýšlenou implementaci. Pokud nejsou požadavky splněny, použijte její zdokumentovanou diagnostiku a podporované náhradní řešení.
5. Provádějte vždy jen jednu podporovanou změnu a zopakujte identickou zátěž. Původní konfiguraci a postup obnovy mějte neustále k dispozici.

Pokud je funkce uvedena, ale software ji nemůže použít

Začněte u přesné komponenty, u níž dochází k selhání. Databáze hardwaru popisuje zaznamenané schopnosti; operační systém nebo hypervizor však může vystavit odlišné efektivní prostředí. Chyba neplatné instrukce vyžaduje také prozkoumání skutečné chybující instrukce a sestavení binárního souboru, protože poškození dat nebo nesouvisející nepodporovaná instrukce mohou vyvolat podobný projev.

Nainstalujte verzi aplikace, ovladače nebo běhového prostředí podporovanou pro danou platformu a v případě potřeby použijte výrobcem zdokumentované základní nebo náhradní sestavení. Aktualizace softwaru nemůže vytvořit instrukci, kterou procesor fyzicky postrádá. Změny firmwaru a zásad zabezpečení by se měly řídit postupem výrobce systému a plánem obnovy, nikoli obecným návodem na optimalizaci.

Související funkce a užitečná rozlišení

OS Guard a SMEP · Execute Disable (NX) · Control-flow Enforcement (CET)

Zdroje a rozsah tohoto vysvětlení

Intel 64 and IA-32 Architectures Software Developer's Manual · Intel security features related to transient execution attacks

Tyto referenční dokumenty stanovují architektonické chování a softwarové požadavky. Neověřují nezávisle každou hodnotu funkce na odkazované stránce hardwarového modelu. Informace o podpoře konkrétního modelu čerpejte z podkladů výrobce na příslušné stránce a zkontrolujte platnou konfiguraci systému. Tento článek neposkytuje benchmark, certifikaci ani datum nezávislého přezkumu.

Související

Tyto entity odkazují na tento článek. Typ je zobrazen u každého odkazu.

Zdroje a ověření

Redakční vlastnictví: Feex. Není zaznamenáno žádné datum nezávislého přezkoumání. Jak provádíme výzkum.

• Intel 64 and IA-32 Architectures Software Developer's Manual · Svazky 1 a 2 popisují jmenovité rodiny instrukcí a CPUID; Svazek 3 popisuje stav, stránkování, VMX a řízení ochrany. Architektonická dokumentace nepotvrzuje podporu pro konkrétní model.
• Intel security features related to transient execution attacks · Ztotožňuje Intel OS Guard se SMEP. To je odlišné od SMAP, přestože některé importované štítky funkcí tyto názvy směšují.