{"id":100138,"date":"2021-05-11T16:22:58","date_gmt":"2021-05-11T14:22:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/microsoft-podgotovil-realizacziyu-ebpf-dlya-windows"},"modified":"2021-05-11T16:22:58","modified_gmt":"2021-05-11T14:22:59","slug":"microsoft-podgotovil-realizacziyu-ebpf-dlya-windows","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/microsoft-podgotovil-realizacziyu-ebpf-dlya-windows","title":{"rendered":"Microsoft hat die Implementierung von eBPF f\u00fcr Windows vorbereitet.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Firma Microsoft hat die Implementierung des eBPF-Subsystems f\u00fcr Windows ver\u00f6ffentlicht, das die Ausf\u00fchrung beliebiger Handler auf der Ebene des Betriebssystemkerns erm\u00f6glicht. eBPF bietet einen im Kern integrierten Bytecode-Interpreter, der die Erstellung von im Benutzerspeicher ladbaren Netzwerkoperationen-Handlern erm\u00f6glicht, den Zugriff zu kontrollieren und die Systemarbeit zu \u00fcberwachen. eBPF ist seit der Kernel-Version 3.18 Teil des Linux-Kernels und erm\u00f6glicht die Verarbeitung von eingehenden und ausgehenden Netzwerkpaketen, die Umleitung von Paketen, die Verwaltung der Bandbreite, das Abfangen von Systemaufrufen, die Zugriffskontrolle und das Tracing. Durch die Verwendung von JIT-Kompilierung wird der Bytecode zur Laufzeit in Maschinenanweisungen \u00fcbersetzt und mit der Leistung von kompiliertem Code ausgef\u00fchrt. Der Quellcode von eBPF f\u00fcr Windows ist unter der MIT-Lizenz verf\u00fcgbar. <\/p>\n
eBPF f\u00fcr Windows kann mit bereits vorhandenen Tools f\u00fcr die Arbeit mit eBPF verwendet werden und bietet eine standardisierte API, die f\u00fcr eBPF-Anwendungen unter Linux genutzt wird. Das Projekt erm\u00f6glicht es unter anderem, in C geschriebene Codes in eBPF-Bytecode mithilfe des Standard-eBPF-Compilers auf Clang-Basis zu kompilieren und bereits f\u00fcr Linux entwickelte eBPF-Handler unter dem Windows-Kernel auszuf\u00fchren, wobei eine spezielle Kompatibilit\u00e4tsschicht bereitgestellt wird, die die Standard-API Libbpf zur Interaktion mit eBPF-Anwendungen unterst\u00fctzt. Dar\u00fcber hinaus werden Schichten angeboten, die Linux-\u00e4hnliche Hooks f\u00fcr XDP (eXpress Data Path) und Socket-Bind bereitstellen, um den Zugriff auf den Netzwerkstack und die Netzwerktreiber von Windows zu abstrahieren. Zu den zuk\u00fcnftigen Pl\u00e4nen geh\u00f6rt die Bereitstellung einer vollst\u00e4ndigen Quellkompatibilit\u00e4t mit standardm\u00e4\u00dfigen eBPF-Handlern unter Linux.
<\/center> <\/p>\n
Ein wesentliches Merkmal der eBPF-Implementierung f\u00fcr Windows ist der Einsatz eines alternativen Bytecode-Verifiers, der urspr\u00fcnglich von Mitarbeitern von VMware sowie Forschern aus kanadischen und israelischen Universit\u00e4ten vorgeschlagen wurde. Der Verifier wird in einem separaten, isolierten Prozess im Benutzerspeicherraum ausgef\u00fchrt und kommt vor der Ausf\u00fchrung von BPF-Programmen zum Einsatz, um Fehler zu identifizieren und potenziell sch\u00e4dliche Aktivit\u00e4ten zu blockieren. <\/p>\n
F\u00fcr die \u00dcberpr\u00fcfung in eBPF f\u00fcr Windows wird eine statische Analyse mithilfe abstrakter Interpretation (Abstract Interpretation) angewendet, die im Vergleich zum eBPF-Verifier f\u00fcr Linux eine geringere Rate an Fehlalarmen zeigt, Zyklenanalysen unterst\u00fctzt und eine gute Skalierbarkeit gew\u00e4hrleistet. Diese Methode ber\u00fccksichtigt zahlreiche typische Ausf\u00fchrungsmuster, die auf der Analyse bestehender eBPF-Programme basieren. <\/p>\n
Nach der Verifizierung wird der Bytecode an einen Interpreter \u00fcbergeben, der auf Kernel-Ebene arbeitet, oder er wird durch einen JIT-Compiler geleitet, gefolgt von der Ausf\u00fchrung des resultierenden Maschinencodes mit Kernel-Rechten. Zur Isolierung der eBPF-Handler auf Kernel-Ebene kommt der Mechanismus HVCI (HyperVisor-enforced Code Integrity) zum Einsatz, der Virtualisierungstechniken nutzt, um Prozesse im Kernel zu sch\u00fctzen und die Integrit\u00e4t des ausgef\u00fchrten Codes \u00fcber digitale Signaturen zu best\u00e4tigen. Eine Einschr\u00e4nkung von HVCI ist die M\u00f6glichkeit, nur interpretierte eBPF-Programme zu verifizieren, was eine gleichzeitige Nutzung mit JIT unm\u00f6glich macht (es besteht die Wahl \u2014 entweder Leistung oder zus\u00e4tzlicher Schutz). \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Microsoft](\"\/wp-content\/uploads\/2021\/05\/1daa28968dafec017e92e435fc479cae.png\")
<\/center> <\/p>\n