Control-flow Enforcement (CET)

Šta treba da znate

Kako funkcioniše

Stekovi u senci održavaju zaštićeno stanje povratnih adresa, dok praćenje indirektnih skokova ograničava odredišta praćenih indirektnih skokova. Oni rešavaju različite prenose toka kontrole i imaju zasebno navođenje i omogućavanje. Operativni sistem, učitavač, binarna datoteka aplikacije i biblioteke učestvuju u funkcionisanju zaštićenog okruženja za izvršavanje.

Gde je korisno

Prikladno izgrađena aplikacija može raditi sa stekom u senci kojim upravlja operativni sistem, tako da nepoklapanje povratne adrese izaziva definisani izuzetak umesto tihog preusmeravanja izvršavanja. Politika kompatibilnosti može se razlikovati za zastarele module, kao i za zaštitu u korisničkom u odnosu na režim nadzornika.

Kako proveriti podršku i omogućavanje

Proverite CPUID.07H.00H:ECX bit 7 za mogućnost steka u senci i EDX bit 20 za praćenje indirektnih skokova, a zatim pregledajte dokumentovani status zaštite procesa u operativnom sistemu. Dostupan bit procesora sam po sebi ne može potvrditi primenu zaštite za pokrenuti program.

Sposobnost, omogućavanje i primena moraju se proveravati odvojeno. Procesor može podržavati zaštitu dok je operativni sistem, aplikacija ili politika virtuelne mašine ne aktiviraju. Polje podrške u bazi podataka nije atestiranje pokrenutog sistema.

Šta ova funkcija ne utvrđuje

Polje CET ne dokazuje da su obe podfunkcije prisutne ili omogućene. CET ne čini binarnu datoteku pouzdanom, ne sprečava svaku grešku oštećenja memorije niti zamenjuje ažuriranja. Globalno onemogućavanje zaštite nije rutinsko rešenje za rušenje aplikacije.

Kompatibilnost i performanse u praksi

Održavajte operativni sistem, firmver i zahvaćeno izvršno okruženje ažurnim. Ako zaštita izloži problem kompatibilnosti, najpre upotrebite dijagnostiku i podržana ažuriranja dobavljača. Široko prebacivanje zaštite može uticati na nepovezane aplikacije i treba da prati eksplicitnu politiku primene i oporavka.

Praktična kontrolna lista za verifikaciju

1. Zabeležite tačan model procesora ili platforme, kao i verzije aplikacije, operativnog sistema i izvršnog okruženja koji se koriste. Sačuvajte formulaciju stvarne greške ili zahteva.
2. Proverite referencu proizvođača za taj tačan model, a zatim pregledajte efektivnu sposobnost i omogućeno stanje u okruženju u kojem se program izvršava.
3. Uporedite svaki zahtev izabrane binarne datoteke ili pozadinskog podsistema. Slično nazvana funkcija, alias ili široka oznaka tehnologije nisu dovoljni.
4. Potvrdite da je aplikacija izabrala predviđenu implementaciju. Koristite njenu dokumentovanu dijagnostiku i podržanu rezervnu varijantu kada zahtevi nisu ispunjeni.
5. Primenite jednu po jednu podržanu promenu i ponovite isto radno opterećenje. Zadržite originalnu konfiguraciju i putanju za oporavak na raspolaganju.

Ako je funkcija navedena, ali softver ne može da je koristi

Počnite od tačne komponente koja otkazuje. Baza podataka hardvera opisuje zabeležene mogućnosti; operativni sistem ili hipervizor mogu izložiti drugačije efektivno okruženje. Greška nelegalne instrukcije takođe zahteva ispitivanje stvarne instrukcije koja izaziva grešku i binarne verzije, jer oštećenje ili nepovezana nepodržana instrukcija mogu proizvesti sličan simptom.

Instalirajte verziju aplikacije, drajvera ili izvršnog okruženja podržanu za tačnu platformu i po potrebi koristite dokumentovanu osnovnu ili rezervnu verziju proizvođača. Softversko ažuriranje ne može stvoriti instrukciju koja procesoru nedostaje. Promene firmvera i bezbednosnih smernica treba da prate proceduru proizvođača sistema i plan oporavka, a ne generički recept za optimizaciju.

Povezane funkcije i korisne razlike

CET-IBT · CET shadow stacks · Execute Disable (NX) · OS Guard i SMEP

Izvori i obuhvat ovog objašnjenja

Intel 64 and IA-32 Architectures Software Developer's Manual · Linux kernel: Control-flow Enforcement Technology shadow stack

Ove reference utvrđuju arhitektonsko ponašanje i softverske zahteve. One ne verifikuju nezavisno svaku vrednost funkcije na povezanoj stranici modela hardvera. Za podršku modela koristite dokaze proizvođača sa te stranice i proverite efektivnu konfiguraciju sistema. Ovaj članak ne pruža referentni rezultat, sertifikaciju niti datum nezavisnog pregleda.

Povezano

Ovi entiteti su povezani sa ovim člankom. Tip je prikazan na svakoj vezi.

Izvori i verifikacija

Urednička pripadnost: Feex. Nije zabeležen datum nezavisne recenzije. Kako istražujemo.

• Intel 64 and IA-32 Architectures Software Developer's Manual · Tomovi 1 i 2 opisuju imenovane porodice instrukcija i CPUID; Tom 3 opisuje kontrole stanja, straničenja, VMX i zaštite. Dokumentacija o arhitekturi ne utvrđuje podršku za određeni model.
• Linux kernel: Control-flow Enforcement Technology shadow stack · Pravi razliku između hardverske podrške, binarnih markera, omogućavanja u učitavaču i aktivne zaštite po niti. Opisuje IBT i stekove u senci kao zasebne mehanizme.