Google пренаписа фърмуера pvmfm, използван в Android, на Rust.

В контекста на усилията за подобряване на сигурността на критично важните програмни компоненти на платформата Android, компанията Google е презаписала фърмуера pvmfm на езика Rust, използван за управление на виртуалните машини, стартирани от хипервизора pVM в рамките на Android Virtualization Framework. Преди това, фърмуерът беше написан на C и реализиран над зареждачът U-Boot, в чийто код преди това бяха откривани уязвимости, причинени от проблеми с паметта.

Презаписаният на Rust фърмуер е включен в Android 14, а създадените по време на разработката универсални библиотеки са форматирани като crate-пакети и предадени на общността на Rust. Например, публикуван е пакетът smccc за поддръжка на ARM интерфейсите PSCI (Power State Coordination Interface) и извикванията SMCCC (SMC Calling Convention), и пакетът aarch64-paging за манипулиране на таблиците на страниците в паметта. Също така е извършена работа по отстраняване на грешки и разширяване на функционалността на съществуващия пакет virtio-drivers с реализация на драйвери VirtIO. Освен платформата Android, посочените пакети са използвани и в проекта Oak, който развива компоненти за предаване, съхранение и обработка на данни в защитени среди (TEE, Trusted Execution Environment).

Хипервизорът pVM получава управление на ранния етап от зареждането и осигурява пълна изолация на паметта виртуални машини и хост-средата, без да позволява на хост-системата достъп до защитените виртуални машини, в които се обработват конфиденциални данни. Фърмуерът pvmfm (Protected Virtual Machine Firmware) получава управление веднага след стартирането на виртуалната машина, извършва проверка на създадената среда и взема решение за аварийно прекратяване на зареждането в случай на откритие на проблеми с целостта или генерира сертификат за зареждане за гост-системата в случай на потвърждаване на веригата на доверие.

Преработката на езика Rust позволява по-просто и безопасно спазване на „правилото на двете“, прилагано от Google за поддържане на сигурността на системните компоненти на Android. Според това правило всеки добавен код трябва да отговаря на не повече от две от три условия: работа с непроверени входни данни, използване на небезопасен език за програмиране (C/C++) и изпълнение с повишени привилегии. От това правило следва, че кодът за обработка на външни данни трябва или да бъде ограничен до минимални привилегии (изолиран), или да бъде написан на безопасен език за програмиране. Според статистиката на Google около 70% от всички опасни уязвимости, открити в Android, са причинени от грешки при работа с паметта.

Rust е съсредоточен върху безопасната работа с паметта и позволява да се намали рискът от възникване на уязвимости, причинени от проблеми като достъп до област памет след освобождаването ѝ и излизане извън границите на буфера. В Rust безопасната работа с паметта се осигурява по време на компилация чрез проверка на препратките, проследяване на притежанието на обекти и вземане предвид на времето на живот на обектите (области на видимост), а също и чрез оценка на коректността на достъпа до паметта по време на изпълнението на кода. Rust също така предоставя средства за защита от преливане на цели числа, изисква задължителна инициализация на стойностите на променливите преди употреба, по-добре обработва грешките в стандартната библиотека, прилага концепцията за неизменяемост (immutable) на препратките и променливите по подразбиране, предлага силна статична типизация за минимизиране на логическите грешки.

От трудностите, възникващи в процеса на разработка на нискоуровневи компоненти на езика Rust, като например драйвери, се споменава необходимостта от работа с голи указатели в режим unsafe, тъй като Rust е създаден с оглед на използването на паметта, предоставяна в програмата, а в кода, работещ без прослойки над железото, е необходимо да се обраща към споделена памет и MMIO. В момента възможностите на Rust за работа с голи указатели оставят да се желае, но ситуацията трябва да се промени след стабилизацията на поддръжката на макросите offset_of, slice_ptr_get и slice_ptr_len.

Сред недостатъците заслужава внимание нуждата от подобрен синтаксис за достъп до полета на структури и индекси на масиви чрез голи указатели, без да се създават референции, както и ограниченията при създаването на безопасни обвивки над unsafe-операции, които могат да предизвикат неопределено поведение и не могат да бъдат проверени от компилатора. Например, подобни обвивки не могат да бъдат създадени за операции с таблици за страници в паметта, тъй като картографирането на страниците в една част от програмата може да повлияе на други части.

Що се отнася до размера на резултантния код, старият вариант на фърмуера pVM заемаше 220 kB, а новият - 460 kB, но при това в пренаписаната версия бяха добавени нови функции, благодарение на които успяхме да се отървем от някои от другите компоненти, използвани при зареждането. В резултат сумарният размер на всички стари и нови компоненти за зареждане се оказа сравним. Подчертава се, че когато размерът е по-важен от производителността, подобни на езика C резултати могат да се постигнат, като се включат в компилатора допълнителни режими за оптимизация по размер, да се отхвърлят излишните зависимости и да не се използват средствата за форматиране на низове.

Допълнително се споменава продължаването на работата по реализирането на възможността за стартиране на написани на езика Rust приложения, заслужаващи доверие (Trusted Application) в операционната система Trusty, предоставяща TEE-среда (Trusted Execution Environment) за Android, работеща паралелно с Android на същия процесор в отделна изолирана среда. Trusty се използва в устройствата Pixel и вече използва Rust в библиотеките и системните компоненти (ядрото остава на C).

Източник: opennet.ru