Control-flow Enforcement (CET)

Ce trebuie să știți

Cum funcționează

Stivele umbră mențin o stare protejată a adreselor de retur, în timp ce urmărirea ramificărilor indirecte limitează destinațiile ramificărilor indirecte monitorizate. Acestea vizează transferuri diferite ale fluxului de control și au enumerare și activare separate. Sistemul de operare, încărcătorul, binarul aplicației și bibliotecile participă la realizarea unui mediu de execuție protejat.

Unde este utilă

O aplicație compilată adecvat poate rula cu o stivă umbră gestionată de SO, astfel încât o adresă de retur necorespunzătoare declanșează excepția definită în loc să redirecționeze silențios execuția. Politica de compatibilitate poate diferi pentru modulele moștenite și pentru protecția în modul utilizator față de modul supervizor.

Cum se verifică suportul și activarea

Verificați CPUID.07H.00H:ECX bitul 7 pentru capabilitatea de stivă umbră și EDX bitul 20 pentru urmărirea ramificărilor indirecte, apoi inspectați starea documentată a protecției proceselor din SO. Un bit CPU disponibil nu poate stabili singur aplicarea protecției pentru un program care rulează.

Capacitatea, activarea și aplicarea trebuie verificate separat. Un procesor poate suporta o protecție în timp ce sistemul de operare, aplicația sau politica mașinii virtuale nu o activează. Un câmp de suport dintr-o bază de date nu constituie o atestare a unui sistem aflat în rulare.

Ce nu stabilește această caracteristică

Un câmp CET nu dovedește că ambele subcaracteristici sunt prezente sau activate. CET nu face un binar de încredere, nu previne orice eroare de corupere a memoriei și nu înlocuiește actualizările. Dezactivarea globală a unei protecții nu este o soluție de rutină pentru blocarea unei aplicații.

Compatibilitatea și performanța în practică

Mențineți la zi sistemul de operare, firmware-ul și mediul de execuție afectat. Dacă o protecție generează o problemă de compatibilitate, utilizați mai întâi diagnosticele și actualizările acceptate de producător. O comutare generală a protecției poate afecta aplicații fără legătură și ar trebui să respecte o politică explicită de implementare și recuperare.

O listă practică de verificare

1. Înregistrați modelul exact de procesor sau platformă și versiunile aplicației, sistemului de operare și mediului de execuție (runtime) implicate. Păstrați formularea exactă a erorii sau a cerinței.
2. Verificați documentația de referință a producătorului pentru acel model exact, apoi inspectați capacitatea efectivă și starea activată în mediul în care rulează programul.
3. Comparați fiecare cerință a binarului sau backend-ului selectat. O caracteristică cu nume similar, un alias sau o etichetă tehnologică generală nu este suficientă.
4. Confirmați că aplicația a selectat implementarea dorită. Utilizați diagnosticele documentate ale acesteia și o soluție de rezervă acceptată atunci când cerințele nu sunt îndeplinite.
5. Aplicați câte o singură modificare acceptată pe rând și repetați aceeași sarcină de lucru. Păstrați disponibile configurația inițială și calea de recuperare.

Dacă funcția este listată, dar software-ul nu o poate folosi

Începeți cu componenta exactă care eșuează. O bază de date hardware descrie capacitatea înregistrată; sistemul de operare sau hipervizorul poate expune un mediu efectiv diferit. O eroare de tip instrucțiune ilegală (illegal-instruction) necesită, de asemenea, investigarea instrucțiunii reale care a generat eroarea și a versiunii compilate a binarului, deoarece coruperea datelor sau o instrucțiune neacceptată fără legătură poate produce un simptom similar.

Instalați versiunea de aplicație, driver sau mediu de execuție compatibilă exact cu acea platformă și utilizați versiunea de bază sau de rezervă documentată de producător, dacă este necesar. O actualizare software nu poate crea o instrucțiune care îi lipsește procesorului. Modificările de firmware și de politici de securitate ar trebui să respecte procedura producătorului sistemului și un plan de recuperare, mai degrabă decât o rețetă generică de optimizare.

Caracteristici conexe și distincții utile

CET-IBT · Stive umbră CET · Execute Disable (NX) · OS Guard și SMEP

Sursele și domeniul de aplicare al acestei explicații

Intel 64 and IA-32 Architectures Software Developer's Manual · Kernelul Linux: stivă umbră bazată pe Control-flow Enforcement Technology

Aceste referințe stabilesc comportamentul arhitectural și cerințele software. Ele nu verifică independent fiecare valoare de caracteristică de pe o pagină de model hardware asociată. Pentru suportul la nivel de model, utilizați dovezile furnizate de producător pe acea pagină și verificați configurația efectivă a sistemului. Acest articol nu furnizează date din benchmark-uri, certificări sau recenzii independente.

Asociate

Aceste entități au legătură cu acest articol. Tipul este afișat pe fiecare link.

Surse și verificare

Proprietate editorială: Feex. Nu este înregistrată nicio dată de verificare independentă. Cum cercetăm.

• Intel 64 and IA-32 Architectures Software Developer's Manual · Volumele 1 și 2 descriu familiile de instrucțiuni numite și CPUID; Volumul 3 descrie starea, paginarea, VMX și controalele de protecție. Documentația de arhitectură nu stabilește suportul pentru un anumit model.
• Kernelul Linux: stivă umbră bazată pe Control-flow Enforcement Technology · Distinge între suportul hardware, marcatorii binari, activarea încărcătorului și protecția activă per fir de execuție. Descrie IBT și stivele umbră ca facilități separate.