Microsoft avas CHERIoT, riistvaralise lahenduse koodi turvalisuse suurendamiseks C keeles.

Microsoft avas projekt CHERIoT (Capability Hardware Extension to RISC-V for Internet of Things) seotud arendused, mis on suunatud olemasoleva C ja C++ koodi turvaprobleemide lahendamisele. CHERIoT pakub lahendust, mis kaitseb olemasolevaid C/C++ koodibaase ilma nende uuesti kirjutamiseta. Kaitse rakendatakse modifitseeritud kompilaatori kasutamise kaudu, mis töötab spetsiaalse laiendatud käsu komplektiga (ISA), mida toetab protsessor ning mis jälgib riistvaraliselt juurdepääsu mälule, kontrollib pointer'ite töötamise korrektsust ning tagab koodiplokkide isolatsiooni.

Projekt on loodud silmas pidades, et C keele madal tasemeline iseloom muutub mäluga töötamisel vigade allikaks, mis toob kaasa selliseid probleeme nagu puhverülekanne, juba vabastatud mällesaamine, viidatud de-referentsieelised või kahekordne mälu vabastamine. Praktika näitab, et isegi suured korporatsioonid, nagu Google ja Microsoft, kellel on range muudatuste ülevaatamise poliitika ning kes rakendavad kaasaegseid arendusmeetodeid ja staatilise analüüsi tööriistu, ei saa garanteerida mäluga töötamisel vigu puudumist (nt umbes 70% Microsofti ja Google'i tarkvaratoote haavatavustest tuleneb ebaohutust mäluga töötamisest).

Probleem võib lahendada, kasutades programmeerimiskeeli, mis tagavad mälu turvalise käsitsemise, või lisakontrollidega mähiste abil, näiteks tavapäraste näidikute, nagu MiraclePtr (raw_ptr), asemel, mis teostab täiendavaid kontrolle vabastatud mälu aladele juurdepääsu osas. Kuid sellised meetodid sobivad rohkem uue koodi jaoks, samas kui olemasolevaid C/C++ projekte on keeruline ümber töötada, eriti kui need on ette nähtud ressursside piiratud keskkondades, nagu sisseehitatud süsteemid ja asjade interneti seadmed.

CHERIoT-i riistvarakomponendid on kujundatud RISC-V arhitektuuril põhineva mikrokontrollerina, mis rakendab CHERI (Capability Hardware Extension to RISC-V) kaitstud protsessori arhitektuuri, pakkudes mälule juurdepääsu kontrollimise mudelit kujutiste põhjal (iga lugemis- ja kirjutamisoperatsioon mälus on autoriseeritud). CHERIoT-i käsu komplekti (ISA) põhjal on välja töötatud tarkvaramudel, mis tagab mäluhalduse ohutuse objekti tasemel, pakkudes kaitset juba vabastatud mälu juurde pääsemise eest ning rakendades kerget mälule juurdepääsu isolatsioonisüsteemi. Antud kaitsemudel kajastub otse C/C++ keelemudelis, võimaldades selle rakendamist olemasolevate rakenduste kaitseks (on vajalik vaid uuesti koostamine ja käivitamine ISA CHERIoT toetaval riistvaral).

Pakutud lahendus võimaldab blokeerida mälus esinevad objekti ületamise vead, keelab pointerite ülekirjutamise (kõik pointerid peavad olema loodud juba olemasolevatest pointeritest), jälgib mälupöördusi pärast vabastamist (kõik juurdepääsud mälule vale pointeri või vabastatud objekti osutava pointeriga põhjustavad erandi genereerimise). Näiteks võimaldab CHERIoT-i rakendamine automaatsete piirikontrollide teostamist, mälu piirkondade eluiga jälgimist ja pointerite terviklikkuse tagamist komponentides, mis töötlevad usaldusväärseid andmeid, koodimuudatusi tegemata.

Projekt hõlmab CHERIoT pikendatud arhitektuuri käskude komplekti spetsifikatsiooni, RISC-V 32-bitise CPU ehtsuse rakendust koos CHERIoT ISA toega ja muudetud LLVM tööriistu. CPU prototüüpide skeemid ja seadmeplokkide kirjeldused Verilogi keeles levitatakse Apache 2.0 litsentsi alusel. CPU aluseks on Ibexi tuum lowRISC projektist. CHERIoT ISA koodimudel on määratletud Sail keeles ja levitatakse BSD litsentsi alusel.

Täiendavalt on esitatud reaalajas operatsioonisüsteemi prototüüp CHERIoT RTOS, mis võimaldab compartment (kompartimendi) isolatsiooni isegi 256 MB RAM-iga sisseehitatud süsteemides. CHERIoT RTOS-i kood on kirjutatud C++ keeles ning see levib MIT litsentsi alusel. Kompartimendid hõlmavad operatsioonisüsteemi põhikomponente, nagu bootloader, planeerija ja mälu jaotussüsteem.

Kompartiment CHERIoT RTOS-is on isoleeritud koodikombinatsioon ja globaalsete muutujate kogum, mis meenutab jagatud teeki, kuid erinevalt viimasest võib see muuta oma olekut (mutable) ja käivituda eraldi turvakontekstis. Ükski väline kood ei saa edasi anda kontrolli kompartimendis olevale koodile ega pääseda objektidele ligi, välja arvatud ühendus spetsiaalselt määratletud sisenemispunktide kaudu ja objektide kasutamine, mis on selgelt edastatud teise kompartimendi kutsumise ajal. Kompartimendis oleva koodi ja globaalsete objektide puhul tagatakse terviklikkus ja konfidentsiaalsus.

Allikas: opennet.ru