Stivat hije të CET

Çfarë duhet të dini

Si funksionon

Një stivë hije mban një kopje të mbrojtur të informacionit të kthimit krahas stivës së zakonshme të ekzekutimit. Një kthim i mbrojtur kontrollon qëndrueshmërinë sipas rregullave të arkitekturës. OS-i menaxhon aktivizimin, lejet e memories dhe gjendjen e fijeve të ekzekutimit, ndërsa mjediset e ekzekutimit duhet të trajtojnë siç duhet përjashtimet dhe kalimet e kontekstit.

Ku është e dobishme

Një mbishkrim i stivës që ndryshon një adresë të zakonshme kthimi mund të prodhojë një përjashtim të mbrojtjes së kontrollit kur nuk përputhet me gjendjen e mbrojtur të kthimit. Një korrigjues gabimesh ose një mjedis ekzekutimi duhet ta kuptojë mjedisin e stivës hije dhe të mos e trajtojë atë si një stivë të zakonshme të shkrueshme.

Si të kontrollohet mbështetja dhe aktivizimi

CPUID.07H.00H:ECX biti 7 numëron aftësinë e stivës hije. Përdorni ndërfaqen e dokumentuar të OS-it për gjendjen për çdo proces ose për çdo fije ekzekutimi për të përcaktuar aktivizimin. Një ndërprerje e pashpjegueshme kërkon kontrollimin e përditësimeve të mbështetura të softuerit dhe përputhshmërisë përpara se të ndryshohet politika e mbrojtjes.

Aftësia, aktivizimi dhe zbatimi duhet të kontrollohen veçmas. Një procesor mund të mbështesë një mbrojtje ndërsa OS-i, aplikacioni ose politika e makinës virtuale nuk e aktivizojnë atë. Një fushë mbështetjeje në bazën e të dhënave nuk është një atestim i një sistemi që ekzekutohet.

Çfarë nuk përcakton kjo veçori

Stivat hije nuk vendosin mbështetje për IBT, nuk mbrojnë të gjitha të dhënat e aplikacionit dhe nuk eliminojnë çdo sulm të rrjedhës së kontrollit. Një etiketë e CPU-së nuk provon që çdo skedar i ekzekutueshëm dhe bibliotekë e ngarkuar mbulohet sipas politikës së përputhshmërisë së OS-it.

Përputhshmëria dhe performanca në praktikë

Mbani të përditësuar sistemin operativ, firmware-in dhe mjedisin e prekur të ekzekutimit. Nëse një mbrojtje nxjerr në pah një problem përputhshmërie, përdorni fillimisht diagnostikimet e prodhuesit dhe përditësimet e mbështetura. Një ndryshim i gjerë i mbrojtjes mund të prekë aplikacione të palidhura dhe duhet të ndjekë një politikë eksplicite vendosjeje dhe rikuperimi.

Një listë praktike kontrolli për verifikim

1. Regjistroni modelin e saktë të procesorit ose platformës dhe versionet e përfshira të aplikacionit, sistemit operativ dhe mjedisit të ekzekutimit. Ruani formulimin e gabimit ose kërkesës aktuale.
2. Kontrolloni referencën e prodhuesit për atë model të saktë, më pas inspektoni aftësinë efektive dhe gjendjen e aktivizuar në mjedisin ku ekzekutohet programi.
3. Krahasoni çdo kërkesë të binarit ose prapavijës së zgjedhur. Një veçori me emër të ngjashëm, një pseudonim ose një etiketë e gjerë teknologjike nuk mjafton.
4. Konfirmoni që aplikacioni ka zgjedhur implementimin e synuar. Përdorni diagnostikimet e dokumentuara të tij dhe një alternativë të mbështetur kur kërkesat nuk plotësohen.
5. Bëni një ndryshim të mbështetur në një moment dhe përsëritni të njëjtën ngarkesë pune. Mbajeni të disponueshme konfigurimin origjinal dhe rrugën e rikuperimit.

Nëse veçoria listohet por softueri nuk mund ta përdorë atë

Filloni me komponentin e saktë që dështon. Një bazë të dhënash harduerike përshkruan aftësinë e regjistruar; sistemi operativ ose hipervizori mund të ekspozojë një mjedis efektiv të ndryshëm. Një gabim instruksioni të paligjshëm kërkon gjithashtu hetim të instruksionit aktual me defekt dhe të ndërtimit të binarit, sepse dëmtimi ose një instruksion i palidhur i pambështetur mund të prodhojë një simptomë të ngjashme.

Instaloni versionin e aplikacionit, drajverit ose mjedisit të ekzekutimit të mbështetur për platformën e saktë, dhe përdorni versionin bazë ose alternativ të dokumentuar nga prodhuesi nëse është e nevojshme. Një përditësim softueri nuk mund të krijojë një instruksion që procesorit i mungon. Ndryshimet në firmware dhe politikat e sigurisë duhet të ndjekin procedurën e prodhuesit të sistemit dhe një plan rikuperimi në vend të një recete të përgjithshme optimizimi.

Veçoritë e ndërlidhura dhe dallimet e dobishme

Control-flow Enforcement (CET) · CET-IBT · Execute Disable (NX)

Burimet dhe fusha e këtij shpjegimi

Intel 64 and IA-32 Architectures Software Developer's Manual · Kerneli i Linux: stiva hije e Control-flow Enforcement Technology

Këto referenca përcaktojnë sjelljen arkitekturore dhe kërkesat e softuerit. Ato nuk verifikojnë në mënyrë të pavarur çdo vlerë të veçorive në faqen e lidhur të modelit të harduerit. Për mbështetjen e modelit, përdorni dëshmitë e prodhuesit në atë faqe dhe kontrolloni konfigurimin efektiv të sistemit. Ky artikull nuk ofron një test standard vlerësimi, certifikim ose datë shqyrtimi të pavarur.

Të lidhura

Këto entitete lidhen me këtë artikull. Lloji shfaqet në çdo lidhje.

Burimet dhe verifikimi

Pronësia editoriale: Feex. Nuk është regjistruar asnjë datë shqyrtimi të pavarur. Si hulumtojmë.

• Intel 64 and IA-32 Architectures Software Developer's Manual · Vëllimet 1 dhe 2 përshkruajnë familjet e emërtuara të instruksioneve dhe CPUID; Vëllimi 3 përshkruan gjendjen, faqosjen, VMX dhe kontrollet e mbrojtjes. Dokumentacioni i arkitekturës nuk përcakton mbështetjen për një model të caktuar.
• Kerneli i Linux: stiva hije e Control-flow Enforcement Technology · Dallon mbështetjen harduerike, shënuesit binarë, aktivizimin nga ngarkuesi dhe mbrojtjen aktive për çdo fije ekzekutimi. Përshkruan IBT dhe stivat hije si veçori të ndara.