Control-flow Enforcement (CET)

Çfarë duhet të dini

Si funksionon

Stivat hije ruajnë gjendjen e mbrojtur të adresave të kthimit, ndërsa gjurmimi i degëzimeve të tërthorta kufizon destinacionet e degëzimeve të tërthorta të gjurmuara. Ato trajtojnë transferime të ndryshme të rrjedhës së kontrollit dhe kanë numërim dhe aktivizim të veçantë. OS-i, ngarkuesi, binarët e aplikacionit dhe bibliotekat marrin pjesë në funksionimin e një mjedisi të mbrojtur ekzekutimi.

Ku është e dobishme

Një aplikacion i ndërtuar siç duhet mund të funksionojë me një stivë hije të menaxhuar nga OS-i, në mënyrë që një adresë kthimi e papërputhshme të shkaktojë përjashtimin e përcaktuar në vend që të ridrejtojë ekzekutimin në heshtje. Politika e përputhshmërisë mund të ndryshojë për modulet e trashëguara dhe mbrojtjen në modalitetin e përdoruesit përkundrejt modalitetit të mbikëqyrësit.

Si të kontrollohet mbështetja dhe aktivizimi

Kontrolloni bitin 7 të CPUID.07H.00H:ECX për aftësinë e stivës hije dhe bitin 20 të EDX për gjurmimin e degëzimeve të tërthorta, më pas inspektoni gjendjen e dokumentuar të mbrojtjes së procesit në OS. Një bit i disponueshëm i CPU-së vetëm nuk mund të përcaktojë zbatimin për një program që po ekzekutohet.

Aftësia, aktivizimi dhe zbatimi duhet të kontrollohen veçmas. Një procesor mund të mbështesë një mbrojtje ndërsa OS-i, aplikacioni ose politika e makinës virtuale nuk e aktivizojnë atë. Një fushë mbështetjeje në bazën e të dhënave nuk është një atestim i një sistemi që ekzekutohet.

Çfarë nuk përcakton kjo veçori

Një fushë CET nuk vërteton që të dyja nënveçoritë janë të pranishme ose të aktivizuara. CET nuk e bën një binar të besueshëm, nuk parandalon çdo defekt të korruptimit të memories dhe nuk zëvendëson përditësimet. Çaktivizimi i një mbrojtjeje në nivel global nuk është një zgjidhje rutinë për një ndërprerje të papritur të aplikacionit.

Përputhshmëria dhe performanca në praktikë

Mbani të përditësuar sistemin operativ, firmware-in dhe mjedisin e prekur të ekzekutimit. Nëse një mbrojtje nxjerr në pah një problem përputhshmërie, përdorni fillimisht diagnostikimet e prodhuesit dhe përditësimet e mbështetura. Një ndryshim i gjerë i mbrojtjes mund të prekë aplikacione të palidhura dhe duhet të ndjekë një politikë eksplicite vendosjeje dhe rikuperimi.

Një listë praktike kontrolli për verifikim

1. Regjistroni modelin e saktë të procesorit ose platformës dhe versionet e përfshira të aplikacionit, sistemit operativ dhe mjedisit të ekzekutimit. Ruani formulimin e gabimit ose kërkesës aktuale.
2. Kontrolloni referencën e prodhuesit për atë model të saktë, më pas inspektoni aftësinë efektive dhe gjendjen e aktivizuar në mjedisin ku ekzekutohet programi.
3. Krahasoni çdo kërkesë të binarit ose prapavijës së zgjedhur. Një veçori me emër të ngjashëm, një pseudonim ose një etiketë e gjerë teknologjike nuk mjafton.
4. Konfirmoni që aplikacioni ka zgjedhur implementimin e synuar. Përdorni diagnostikimet e dokumentuara të tij dhe një alternativë të mbështetur kur kërkesat nuk plotësohen.
5. Bëni një ndryshim të mbështetur në një moment dhe përsëritni të njëjtën ngarkesë pune. Mbajeni të disponueshme konfigurimin origjinal dhe rrugën e rikuperimit.

Nëse veçoria listohet por softueri nuk mund ta përdorë atë

Filloni me komponentin e saktë që dështon. Një bazë të dhënash harduerike përshkruan aftësinë e regjistruar; sistemi operativ ose hipervizori mund të ekspozojë një mjedis efektiv të ndryshëm. Një gabim instruksioni të paligjshëm kërkon gjithashtu hetim të instruksionit aktual me defekt dhe të ndërtimit të binarit, sepse dëmtimi ose një instruksion i palidhur i pambështetur mund të prodhojë një simptomë të ngjashme.

Instaloni versionin e aplikacionit, drajverit ose mjedisit të ekzekutimit të mbështetur për platformën e saktë, dhe përdorni versionin bazë ose alternativ të dokumentuar nga prodhuesi nëse është e nevojshme. Një përditësim softueri nuk mund të krijojë një instruksion që procesorit i mungon. Ndryshimet në firmware dhe politikat e sigurisë duhet të ndjekin procedurën e prodhuesit të sistemit dhe një plan rikuperimi në vend të një recete të përgjithshme optimizimi.

Veçoritë e ndërlidhura dhe dallimet e dobishme

CET-IBT · Stivat hije të CET · Execute Disable (NX) · OS Guard dhe SMEP

Burimet dhe fusha e këtij shpjegimi

Intel 64 and IA-32 Architectures Software Developer's Manual · Kerneli i Linux: stiva hije e Control-flow Enforcement Technology

Këto referenca përcaktojnë sjelljen arkitekturore dhe kërkesat e softuerit. Ato nuk verifikojnë në mënyrë të pavarur çdo vlerë të veçorive në faqen e lidhur të modelit të harduerit. Për mbështetjen e modelit, përdorni dëshmitë e prodhuesit në atë faqe dhe kontrolloni konfigurimin efektiv të sistemit. Ky artikull nuk ofron një test standard vlerësimi, certifikim ose datë shqyrtimi të pavarur.

Të lidhura

Këto entitete lidhen me këtë artikull. Lloji shfaqet në çdo lidhje.

Burimet dhe verifikimi

Pronësia editoriale: Feex. Nuk është regjistruar asnjë datë shqyrtimi të pavarur. Si hulumtojmë.

• Intel 64 and IA-32 Architectures Software Developer's Manual · Vëllimet 1 dhe 2 përshkruajnë familjet e emërtuara të instruksioneve dhe CPUID; Vëllimi 3 përshkruan gjendjen, faqosjen, VMX dhe kontrollet e mbrojtjes. Dokumentacioni i arkitekturës nuk përcakton mbështetjen për një model të caktuar.
• Kerneli i Linux: stiva hije e Control-flow Enforcement Technology · Dallon mbështetjen harduerike, shënuesit binarë, aktivizimin nga ngarkuesi dhe mbrojtjen aktive për çdo fije ekzekutimi. Përshkruan IBT dhe stivat hije si veçori të ndara.