Control-flow Enforcement (CET)

Αναφορά αρχιτεκτονικήςFeex

Ονομάζεται επίσης CET

Το CET, Control-flow Enforcement Technology, προσθέτει μηχανισμούς υλικού για την προστασία της ροής ελέγχου, κυρίως σκιώδεις στοίβες (shadow stacks) και παρακολούθηση έμμεσων διακλαδώσεων (indirect branch tracking). Η υποστήριξη υλικού και η ενεργή προστασία σε μια συγκεκριμένη διεργασία είναι διαφορετικές καταστάσεις.

Τι πρέπει να γνωρίζετε

Πώς λειτουργεί

Οι σκιώδεις στοίβες διατηρούν προστατευμένη κατάσταση διευθύνσεων επιστροφής, ενώ η παρακολούθηση έμμεσων διακλαδώσεων περιορίζει τους προορισμούς των παρακολουθούμενων έμμεσων διακλαδώσεων. Αντιμετωπίζουν διαφορετικές μεταφορές ροής ελέγχου και έχουν ξεχωριστή απαρίθμηση και ενεργοποίηση. Το λειτουργικό σύστημα, ο φορτωτής (loader), το εκτελέσιμο της εφαρμογής και οι βιβλιοθήκες συμμετέχουν στη λειτουργία ενός προστατευμένου περιβάλλοντος εκτέλεσης.

Πού είναι χρήσιμο

Μια κατάλληλα δομημένη εφαρμογή μπορεί να εκτελεστεί με μια σκιώδη στοίβα διαχειριζόμενη από το λειτουργικό σύστημα, έτσι ώστε μια διεύθυνση επιστροφής που δεν ταιριάζει να προκαλεί την καθορισμένη εξαίρεση αντί να ανακατευθύνει σιωπηρά την εκτέλεση. Η πολιτική συμβατότητας μπορεί να διαφέρει για παλαιότερες μονάδες και για προστασία λειτουργίας χρήστη έναντι λειτουργίας επόπτη.

Πώς να ελέγξετε την υποστήριξη και την ενεργοποίηση

Ελέγξτε το bit 7 του CPUID.07H.00H:ECX για δυνατότητα σκιώδους στοίβας και το bit 20 του EDX για παρακολούθηση έμμεσων διακλαδώσεων, και στη συνέχεια ελέγξτε την τεκμηριωμένη κατάσταση προστασίας διεργασίας του λειτουργικού συστήματος. Ένα διαθέσιμο bit CPU από μόνο του δεν μπορεί να επιβεβαιώσει την επιβολή για ένα εκτελούμενο πρόγραμμα.

Η δυνατότητα, η ενεργοποίηση και η επιβολή πρέπει να ελέγχονται ξεχωριστά. Ένας επεξεργαστής μπορεί να υποστηρίζει μια προστασία ενώ το λειτουργικό σύστημα, η εφαρμογή ή η πολιτική της εικονικής μηχανής δεν την ενεργοποιεί. Ένα πεδίο υποστήριξης σε βάση δεδομένων δεν αποτελεί πιστοποίηση γνησιότητας ενός συστήματος που εκτελείται.

Τι δεν καθορίζει η δυνατότητα

Ένα πεδίο CET δεν αποδεικνύει ότι και οι δύο επιμέρους δυνατότητες είναι παρούσες ή ενεργοποιημένες. Το CET δεν καθιστά ένα εκτελέσιμο αξιόπιστο, δεν αποτρέπει κάθε σφάλμα αλλοίωσης μνήμης ούτε αντικαθιστά τις ενημερώσεις. Η καθολική απενεργοποίηση μιας προστασίας δεν αποτελεί συνήθη λύση για τη διακοπή λειτουργίας μιας εφαρμογής.

Συμβατότητα και απόδοση στην πράξη

Διατηρείτε ενημερωμένο το λειτουργικό σύστημα, το υλικολογισμικό και το επηρεαζόμενο περιβάλλον εκτέλεσης. Εάν μια προστασία εμφανίσει πρόβλημα συμβατότητας, χρησιμοποιήστε πρώτα τα διαγνωστικά του κατασκευαστή και τις υποστηριζόμενες ενημερώσεις. Μια γενική εναλλαγή προστασίας μπορεί να επηρεάσει άσχετες εφαρμογές και θα πρέπει να ακολουθεί μια ρητή πολιτική ανάπτυξης και επαναφοράς.

Μια πρακτική λίστα ελέγχου επαλήθευσης

Καταγράψτε το ακριβές μοντέλο επεξεργαστή ή πλατφόρμας και τις εμπλεκόμενες εκδόσεις εφαρμογής, λειτουργικού συστήματος και περιβάλλοντος εκτέλεσης (runtime). Διατηρήστε τη διατύπωση του πραγματικού σφάλματος ή της απαίτησης.
Ελέγξτε τις αναφορές του κατασκευαστή για το συγκεκριμένο μοντέλο και, στη συνέχεια, εξετάστε την πραγματική δυνατότητα και την ενεργοποιημένη κατάσταση στο περιβάλλον όπου εκτελείται το πρόγραμμα.
Συγκρίνετε κάθε απαίτηση του επιλεγμένου εκτελέσιμου αρχείου (binary) ή του backend. Μια δυνατότητα με παρόμοιο όνομα, ένα ψευδώνυμο ή μια ευρεία ετικέτα τεχνολογίας δεν επαρκεί.
Επιβεβαιώστε ότι η εφαρμογή επέλεξε την προβλεπόμενη υλοποίηση. Χρησιμοποιήστε τα τεκμηριωμένα διαγνωστικά της και μια υποστηριζόμενη εναλλακτική λύση (fallback) όταν δεν πληρούνται οι απαιτήσεις.
Κάντε μία υποστηριζόμενη αλλαγή τη φορά και επαναλάβετε τον ίδιο φόρτο εργασίας. Διατηρήστε διαθέσιμη την αρχική διαμόρφωση και τη διαδρομή επαναφοράς.

Εάν η δυνατότητα αναφέρεται αλλά το λογισμικό δεν μπορεί να τη χρησιμοποιήσει

Ξεκινήστε με το ακριβές στοιχείο που αποτυγχάνει. Μια βάση δεδομένων υλικού περιγράφει την καταγεγραμμένη δυνατότητα· το λειτουργικό σύστημα ή ο hypervisor μπορεί να εκθέσει ένα διαφορετικό πραγματικό περιβάλλον. Ένα σφάλμα μη έγκυρης εντολής (illegal-instruction error) απαιτεί επίσης διερεύνηση της πραγματικής εντολής που προκάλεσε το σφάλμα και της έκδοσης του εκτελέσιμου (binary build), καθώς η αλλοίωση δεδομένων ή μια άσχετη μη υποστηριζόμενη εντολή μπορεί να προκαλέσει παρόμοιο σύμπτωμα.

Εγκαταστήστε την έκδοση της εφαρμογής, του προγράμματος οδήγησης ή του περιβάλλοντος εκτέλεσης που υποστηρίζεται για την ακριβή πλατφόρμα και χρησιμοποιήστε τη βασική γραμμή (baseline) ή την εναλλακτική έκδοση (fallback build) που τεκμηριώνει ο κατασκευαστής, εάν χρειάζεται. Μια ενημέρωση λογισμικού δεν μπορεί να δημιουργήσει μια εντολή που λείπει από τον επεξεργαστή. Οι αλλαγές στο υλικολογισμικό (firmware) και στην πολιτική ασφαλείας θα πρέπει να ακολουθούν τη διαδικασία του κατασκευαστή του συστήματος και ένα σχέδιο επαναφοράς και όχι μια γενική συνταγή βελτιστοποίησης.

Πηγές και πεδίο εφαρμογής αυτής της επεξήγησης

Intel 64 and IA-32 Architectures Software Developer's Manual · Πυρήνας Linux: σκιώδης στοίβα Control-flow Enforcement Technology

Αυτές οι αναφορές καθορίζουν την αρχιτεκτονική συμπεριφορά και τις απαιτήσεις λογισμικού. Δεν επαληθεύουν ανεξάρτητα κάθε τιμή δυνατότητας σε μια συνδεδεμένη σελίδα μοντέλου υλικού. Για την υποστήριξη του μοντέλου, χρησιμοποιήστε τα στοιχεία τεκμηρίωσης του κατασκευαστή αυτής της σελίδας και ελέγξτε την πραγματική διαμόρφωση του συστήματος. Αυτό το άρθρο δεν παρέχει ημερομηνία δοκιμής επιδόσεων (benchmark), πιστοποίησης ή ανεξάρτητης αξιολόγησης.

Πηγές και επαλήθευση

Συντακτική ιδιοκτησία: Feex. Δεν έχει καταγραφεί ημερομηνία ανεξάρτητης αναθεώρησης. Πώς ερευνούμε.

Intel 64 and IA-32 Architectures Software Developer's Manual · Οι τόμοι 1 και 2 περιγράφουν τις κατονομαζόμενες οικογένειες εντολών και το CPUID· ο τόμος 3 περιγράφει την κατάσταση, τη σελιδοποίηση, το VMX και τους ελέγχους προστασίας. Η τεκμηρίωση αρχιτεκτονικής δεν καθορίζει την υποστήριξη για ένα συγκεκριμένο μοντέλο.
Πυρήνας Linux: σκιώδης στοίβα Control-flow Enforcement Technology · Διακρίνει την υποστήριξη υλικού, τους δείκτες δυαδικών αρχείων, την ενεργοποίηση φορτωτή και την ενεργή προστασία ανά νήμα. Περιγράφει το IBT και τις σκιώδεις στοίβες ως ξεχωριστές δυνατότητες.

Ήταν χρήσιμο αυτό το άρθρο;

Ένα ναι ή όχι είναι αρκετό. Επιλέξτε έναν λόγο εάν θέλετε ή προσθέστε μια σύντομη σημείωση.