Fil-C — компилатор за езици C и C++, гарантиращ безопасна работа с паметта

Филип Пизло (Filip Pizlo) представи на конференцията SPLASH’24 отворен компилатор на C/C++ Fil-C, който предлага защита от проблеми, причинени от грешки при работа с паметта. Проектът е насочен към осигуряване на пълна съвместимост с вече съществуващия код на C и C++ – за безопасна работа с паметта е достатъчно просто да се преобработи съществуващият код. Компилаторът е построен с използване на компоненти от проекта LLVM и се разпространява под лиценза Apache 2.0. Runtime се предоставя под лиценза BSD. За разлика от наскоро анонсирания проект TrapC, който е в етап на проектиране, компилаторът Fil-C вече е готов за компилиране на съществуващ код.

Проектът също така предлага безопасни версии на стандартните библиотеки на C (libc) и C++ (libc++), базирани на библиотеките Musl и LLVM libc++. Сред другото, в компилираните програми могат да се използват възможности като многопоточност, обработка на сигнали, мапиране на файлове в паметта (mmap), longjmp/setjmp и обработка на изключения в C++. С помощта на Fil-C могат без промени да се компилират проекти bzip2, zip, pcre и ncurses. С незначителни модификации се поддържа компилирането на OpenSSH, OpenSSL, CPython, SQLite, Lua, Curl, Lynx, jpeg6b, zsh, xzutils и simdutf.

Защитата от проблеми с паметта се осигурява благодарение на прилагането на 128-битови указатели MonoCaps с метаданни за проверка на типовете и проследяване на границите на буферите, както и чрез използването на сборщика на боклук FUGC, който контролира всички операции по разпределение и освобождаване на паметта. В случай на грешки при работа с паметта, приложението незабавно аварийно се приключва, което не позволява експлоатацията на възможни уязвимости.

Заявено е, че комбинацията от MonoCaps и FUGC позволява откриването и блокирането на всички грешки, свързани с излизане извън границите на буфера в стека и купа, достъп до вече освободена памет, състояния на състезание при работа с указатели, както и некоректна обработка на типове (Type Confusion) в контекста на пресичането на типове указатели и не указатели, проблеми при динамично свързване (linking) и неправилна употреба на va_lists. Освен това, Fil-C допълнително проверява границите и типовете в буферите, предавани при системни извиквания.

Цената за използването на Fil-C за защита на съществуващи проекти, без необходимост от пренаписване на кода или използването на специални езикови конструкции, е намаляване на производителността. В периода на настоящото развитие, програмите, събрани в Fil-C, са с около 1.5-5 пъти по-бавни в сравнение с компилации, направени с обикновени компилатори. Планира се оптимизация и се предполага, че след завършването на тази работа, в повечето случаи кодът ще работи с 1.2 пъти по-бавно, а в най-лошите сценарии забавянето няма да надвиши 1.5 пъти. Компилаторът в момента поддържа единствено платформата Linux на системи X86_64. Предишни версии поддържаха macOS и FreeBSD, но след това беше решено да не се разпилява усилията и първо да се подготви качествен порт на libc за една платформа.

Друго ограничение на Fil-C е принципният отказ от запазване на съвместимост на ниво ABI за код на C/C++, което не позволява свързването на събрания в Fil-C код с библиотеки и обектни файлове, събрани от други компилатори. Методите за извикване на функции и начинът на динамично свързване в Fil-C се различават от съществуващите компилатори и линкери. Такова решение се обяснява с факта, че при свързване с незащитен код се губи същността на предлаганата от Fil-C защита и се създава илюзия за защитено приложение — при наличието на ABI съвместимост, разработчиците биха имали подтик да съиздават в Fil-C само отделни файлове, без да си създават трудности с портирването на целия проект.

Механизмът MonoCap, използван в Fil-C, се основава на прилагането на 16-байтови указатели, в които освен адреса в паметта, се указва и референция към обект, включващ информация за възможности (capability), като горни и долни граници на буфера, асоцииран с указателя, а също така и масив, определящ типовете данни, съхранявани в всеки блок памет (1 байт с информация за типа (unset, int, ptr, free) за всеки 16-байтов блок памет). При всяко обращение към паметта чрез указателя се извършва проверка на граници и тип (например, в памет с тип „ptr“ не могат да се записват данни с тип „int“ и обратно).

Всички операции по заделяне и освобождаване на памет се обработват от сборщика на боклук FUGC (Fil’s Unbelievable Garbage Collector), който при освобождаване на паметта превежда всички свързани с освобождавания буфер записи за типове в стойност "free" и след това пренасочва всички указатели към освободените обекти на отделен обект, сигнализиращ, че паметта вече е освободена. Всяко по-нататъшно обръщение към блок данни с тип "free" или чрез указател, свързан с освободения обект, води до генериране на изключение, което помага за защита срещу уязвимости от типа use-after-free. Сборщикът на боклук работи паралелно и не спира изпълнението на други нишки.

Използването на комбинация от MonoCaps и FUGC позволява да се запази възможността за обичайна работа с указатели и да се остави непроменена семантиката на повикванията malloc и free, предоставяйки в същото време гарантирана защита. Кодът на програмата може да съдържа различни логически грешки, като неправилно преобразуване на типове, неверни аритметични операции с указатели, състезателни състояния и несвоевременен повик на функцията free(), но независимо от всичко това, Fil-C запомня основните граници и типа данни и прекратява изпълнението, ако бъде направена опит за достъп по указател до област извън запомнените граници, адресиране на освободен блок памет или четене на данни с тип "int" като указател или обратно.

Авторът на Fil-C, Филип Пизло, заема в компанията Epic Games поста директор, отговарящ за проекти, свързани с програмни езици. Филип има богат опит в работата върху виртуални машини, програмни езици, компилатори и сборщики на боклук, например, в IBM той развива програмния език X10, в Microsoft работи по сборщики на боклук Stopless, Clover и Chicken, в Apple е работил по JIT-компилатора и оптимизациите на браузърния двигател WebKit, а в Epic Games ръководи екипа разработчици, развиващи програмния език Verse и свързаната с него виртуална машина. Филип също е един от ключовите разработчици виртуални машини Jikes RVM, Ovm и Fiji VM.

Източник: opennet.ru