Die Microsoft Corporation hat Entwicklungen im Rahmen des Projekts CHERIoT (Capability Hardware Extension to RISC-V for Internet of Things) vorgestellt, das darauf abzielt, Sicherheitsprobleme im bestehenden Code in den Sprachen C und C++ zu beheben. CHERIoT bietet eine L\u00f6sung, die es erm\u00f6glicht, bestehende Codebasen in C\/C++ zu sch\u00fctzen, ohne dass eine vollst\u00e4ndige Neugestaltung erforderlich ist. Der Schutz erfolgt durch den Einsatz eines modifizierten Compilers, der einen speziellen erweiterbaren Satz von Prozessoranweisungen (ISA) nutzt, die vom Prozessor bereitgestellt werden. Diese verfolgen auf Hardware-Ebene den Zugriff auf den Speicher, \u00fcberpr\u00fcfen die Korrektheit des Umgangs mit Zeigern und gew\u00e4hrleisten die Isolierung von Codebl\u00f6cken. <\/p>\n
Das Projekt wurde mit dem Gedanken entwickelt, dass die low-level Natur der Programmiersprache C zu Speicherfehlern f\u00fchren kann, wie etwa Buffer\u00fcberl\u00e4ufen, dem Zugriff auf bereits freigegebenen Speicher, dem Dereferenzieren von Zeigern oder doppeltem Freigeben von Speicher. Die Erfahrung zeigt, dass selbst gro\u00dfe Unternehmen wie Google und Microsoft, die strenge Richtlinien f\u00fcr die \u00dcberpr\u00fcfung von \u00c4nderungen haben und moderne Entwicklungsans\u00e4tze sowie Werkzeuge zur statischen Analyse einsetzen, keine Fehlerfreiheit im Umgang mit Speicher garantieren k\u00f6nnen (zum Beispiel ist etwa 70% der Sicherheitsanf\u00e4lligkeiten in den Softwareprodukten von Microsoft und Google auf unsicheren Umgang mit Speicher zur\u00fcckzuf\u00fchren). <\/p>\n
Probleme k\u00f6nnen durch Programmiersprachen gel\u00f6st werden, die eine sichere Speicherverwaltung gew\u00e4hrleisten, oder durch Wrapper mit zus\u00e4tzlichen \u00dcberpr\u00fcfungen, wie dem Einsatz von MiraclePtr (raw_ptr) anstelle herk\u00f6mmlicher Zeiger, der zus\u00e4tzliche Pr\u00fcfungen des Zugriffs auf freigegebene Speicherbereiche durchf\u00fchrt. Solche Methoden eignen sich jedoch eher f\u00fcr neuen Code, und bestehende Projekte in C\/C++ sind oft schwierig anzupassen, insbesondere wenn sie f\u00fcr ressourcenbeschr\u00e4nkte Umgebungen wie eingebettete Systeme und Internet-of-Things-Ger\u00e4te vorgesehen sind. <\/p>\n
Die Hardwarekomponenten von CHERIoT sind als ein Mikrocontroller auf Basis der RISC-V-Architektur gestaltet, der eine gesch\u00fctzte Prozessorarchitektur namens CHERI (Capability Hardware Extension zu RISC-V) implementiert. Diese erm\u00f6glicht ein modelliertes, kontrolliertes Zugriffsmanagement f\u00fcr den Speicher, basierend auf dem Konzept der \"Capabilities\" (jede Lese- und Schreiboperation im Speicher wird autorisiert). Auf Grundlage der in CHERIoT verf\u00fcgbaren Befehlssatzarchitektur (ISA) wurde ein Softwaremodell entwickelt, das die Sicherheit bei der Speicherverwendung auf der Ebene einzelner Objekte gew\u00e4hrleistet. Es sch\u00fctzt vor unerlaubtem Zugriff auf bereits freigegebenen Speicher und implementiert ein leichtgewichtiges Isolationssystem f\u00fcr den Speicherzugriff. Dieses Schutzmodell wird direkt in die C\/C++-Programmiersprachenmodellen integriert, was es erm\u00f6glicht, es zum Schutz bestehender Anwendungen zu verwenden (es ist lediglich eine Neukompilierung und der Betrieb auf Hardware erforderlich, die ISA CHERIoT unterst\u00fctzt). <\/p>\n
Die vorgeschlagene L\u00f6sung erm\u00f6glicht es, Fehler zu blockieren, die zu einem \u00dcberlauf im Speicher f\u00fchren, verhindert die Umgehung von Zeigern (alle Zeiger m\u00fcssen von bereits vorhandenen Zeigern abgeleitet werden), und verfolgt den Zugriff auf den Speicher nach dessen Freigabe (jeder Zugriff auf den Speicher \u00fcber einen ung\u00fcltigen Zeiger oder einen Zeiger, der auf ein freigegebenes Objekt verweist, f\u00fchrt zur Generierung einer Ausnahme). Beispielsweise erm\u00f6glicht der Einsatz von CHERIoT, ohne \u00c4nderungen am Code, eine automatisierte \u00dcberpr\u00fcfung der Grenzen, die Verfolgung der Lebensdauer von Speicherbereichen und die Gew\u00e4hrleistung der Integrit\u00e4t von Zeigern in Komponenten, die mit nicht vertrauensw\u00fcrdigen Daten arbeiten. <\/p>\n
Das Projekt umfasst die Spezifikation einer erweiterten Architektur des Befehlssatzes CHERIoT, eine Referenzimplementierung einer 32-Bit RISC-V CPU mit Unterst\u00fctzung f\u00fcr ISA CHERIoT und ein modifiziertes LLVM-Toolset. Die Schemas des CPU-Prototyps und die Beschreibungen der Hardwareeinheiten in Verilog werden unter der Apache 2.0 Lizenz ver\u00f6ffentlicht. Als Grundlage f\u00fcr die CPU wurde der Ibex-Kern aus dem lowRISC-Projekt verwendet. Das Code-Modell der CHERIoT ISA ist in Sail definiert und wird unter der BSD-Lizenz ver\u00f6ffentlicht. <\/p>\n
Zus\u00e4tzlich wurde ein Prototyp des Echtzeitbetriebssystems CHERIoT RTOS vorgestellt, das die Isolation von Compartments selbst auf eingebetteten Systemen mit 256 MB RAM erm\u00f6glicht. Der Code von CHERIoT RTOS ist in C++ geschrieben und wird unter der MIT-Lizenz ver\u00f6ffentlicht. Die grundlegenden Komponenten des Betriebssystems sind in Form von Compartments umgesetzt, einschlie\u00dflich des Bootloaders, des Task-Schedulers und des Speichermanagementsystems. <\/p>\n