Im Linux-Kernel 5.12 wurde das KFence-Subsystem zur Erkennung von Speicherfehlern akzeptiert

Im bevorstehenden Linux-Kernel 5.12 ist die Implementierung des KFence-Mechanismus (Kernel Electric Fence) enthalten, der die Arbeit mit dem Speicher überprüft, indem er Überläufe von Puffern, Zugriffe auf den Speicher nach der Freigabe und andere ähnliche Fehler erkennt.

Eine solche Funktionalität war bereits im Kernel in Form der KASAN-Build-Option (Kernel Address Sanitizer, die Address Sanitizer in modernen GCC und Clang verwendet) vorhanden – sie wurde jedoch hauptsächlich für Debugging-Zwecke positioniert. Das KFence-Subsystem unterscheidet sich von KASAN durch hohe Arbeitsgeschwindigkeit, was die Nutzung dieser Funktion selbst in Betriebssystem-Kernen ermöglicht.

Der Einsatz in produktiven Systemen ermöglicht es, Speicherfehler zu erkennen, die sich bei Testläufen nicht manifestieren und erst unter Arbeitslast oder bei längeren Betriebszeiten (bei hohem Uptime) auftreten. Darüber hinaus wird der Einsatz von KFence in produktiven Systemen es ermöglichen, die Anzahl der Maschinen zu erhöhen, die an der Überprüfung der Speichernutzung des Kernels beteiligt sind.

Die minimalen overhead, die unabhängig von der Last sind, werden im KFence erreicht, indem Schutzseiten (Guard Pages) in den Heap über feste Intervalle eingefügt werden. Nach Ablauf des aktuellen Schutzzeitraums fügt KFence über den Standard-Speicherallokator (SLAB oder SLUB) eine weitere Schutzseite aus dem KFence-Objektpool hinzu und beginnt einen neuen Zeitmesser. Jedes KFence-Objekt wird auf einer separaten Speicherseite abgelegt, und die Seiten an der linken und rechten Grenze bilden die Schutzseiten (Guard Pages), deren Größe zufällig festgelegt wird.

So werden die Seiten mit Objekten durch Schutzseiten voneinander getrennt, die so konfiguriert sind, dass sie bei jedem Zugriff einen „Page Fault“ erzeugen. Um Schreiboperationen außerhalb des Pufferbereichs innerhalb der Objekseiten zu erkennen, werden zusätzlich auf nicht verwendeten Speicherbereichen basierende „rote Zonen“ verwendet, die beim Ausrichten der Speicherseiten entstehen. —+————+————+————+————+————+— | xxxxxxxxx | O : | xxxxxxxxx | : O | xxxxxxxxx | | xxxxxxxxx | B : | xxxxxxxxx | : B | xxxxxxxxx | | x GUARD x | J : RED- | x GUARD x | RED- : J | x GUARD x | | xxxxxxxxx | E : ZONE | xxxxxxxxx | ZONE : E | xxxxxxxxx | | xxxxxxxxx | C : | xxxxxxxxx | : C | xxxxxxxxx | | xxxxxxxxx | T : | xxxxxxxxx | : T | xxxxxxxxx | —+————+————+————+————+————+—

Wenn versucht wird, auf Bereiche außerhalb der Grenzen des Puffers zuzugreifen, trifft die Operation auf die Schutzseite, was zur Erzeugung eines «Page Fault» führt, der von KFence abgefangen wird und die erkannten Probleme in das Protokoll schreibt. Standardmäßig blockiert KFence den Fehler nicht und gibt lediglich eine Warnung im Protokoll aus, jedoch gibt es die Einstellung «panic_on_warn», die im Falle eines Fehlers den Kernel in einen Crash-Zustand (Panic) versetzt.

Quelle: opennet.ru