CHERIoT 1.0 riist- ja tarkvaraplatvorm C-koodi turvalisuse suurendamiseks.

Esitatud on CHERIoT 1.0 tarkvara-hardware platvormi lõplik spetsifikatsioon (Capability Hardware Extension to RISC-V for Internet of Things), mis määratleb käsu komplekti (ISA) laiendamise kaitstud seadmete loomiseks. CHERIoT pakub riistvaralisi võimalusi mälu juurdepääsu jälgimiseks, pointerite õiguse kontrollimiseks ja koodiplokkide isoleerimise tagamiseks. Samuti on avaldatud stabiilne versioon CHERIoT ISA formaalsest mudelist, mis on määratletud keeles Sail.

CHERIoT projekt loodi Microsofti poolt, et lahendada olemasoleva C ja C++ koodi turvaprobleeme ning kaitsta sarnast koodi ilma selle ümberkirjutamiseta. Kaitse toimub muudetud kompilaatori kaudu, mis kasutab laiemat protsessori käsu komplekti (ISA), et tagada pointerite terviklikkus, mälu piiride kontroll ja vabastatud mälu juurde pääsemise vältimine. 2023. aastal avati CHERIoTi arendused ning need muudeti koostööprojektiks, kuhu liitusid ka teised ettevõtted.

CHERIoT-i riistvarakomponendid on kujundatud mikrokontrollerina, mis põhineb RISC-V arhitektuuril, rakendades kaitstud protsessori arhitektuuri CHERI (Capability Hardware Extension to RISC-V) koos mälule juurdepääsu juhtimise mudeliga, mis põhineb «capability» (iga mälu lugemise ja kirjutamise operatsioon on autoriseeritud). CHERIoT-i käsu komplekti (ISA) alusel on loodud tarkvaraline mudel, mis tagab mäluga töötamise ohutuse eraldi objektide tasemel, pakkudes kaitset juba vabastatud mälu juurde pääsemise eest ning rakendades kerget mälu juurdepääsu isoleerimise süsteemi.

Täpsemalt peegeldab antud kaitse tarkvaraline mudel C/C++ keelmudelit, mis võimaldab seda rakendada olemasolevates rakendustes, mille kaitsmiseks on vajalik vaid taaskompileerimine ja käivitamine seadmetes, mis toetavad CHERIoT ISA-d. Näiteks võimaldab CHERIoT automaatset piiride kontrollimist, eluea jälgimist mälu aladel ja pointerite terviklikkuse tagamist usaldusväärsete andmete töötlemise komponentides, ilma koodis muudatusi tegemata.

CHERIoT abil blokeeritavad probleemid:

• Mäluobjekti piiridest väljapoole mine;
• Pointerite asendamine (CHERIoTi rakendamisel peavad kõik pointerid olema loodud olemasolevatest pointeritest);
• Juurdepääs mälu pärast vabastamist (igany juurdepääs mälu vale pointeri või vabastatud objekti viitava pointeriga põhjustab CHERIoT rakendamisel erandi genereerimist).

Lisaks spetsifikatsioonile ja formaalsele mudelile arendab projekt standardset teostust 32-bitise RISC-V CPU Ibex, mis toetab CHERIoT ISA-d, ja muudetud tööriistade komplekti LLVM. CPU prototiibi skeemid ja riistvarakomponentide kirjeldused Verilog keeles on avatud Apache 2.0 litsentsi alusel. CPU aluseks on Ibex tuum lowRISC projektist. CHERIoT Ibex põhjal valmistatakse massiliselt tootmiseks ICENI kiipe, mille müügi algus on planeeritud järgmiseks aastaks. Eraldi arendab Microsoft Kudu mikrokontrollerit, mis toetab CHERIoT ISA-d. Ibex ja Kudu toetavad juba täielikult CHERIoT 1.0 spetsifikatsiooni. Töö CHERI laienduste standardimise nimel RISC-V protsessoritele toimub RISC-V International organisatsioonis.

Lisaks arendatakse FPGA baasil platvormi emulaatorit ja Docker konteinerit arendajatele, millel on eelnevalt installitud tööriistade komplekt ja Ibex CPU simulaator, mis on teostatud Verilator abil. Samuti on CHERIoT-i baasil loodud reaalajas operatsioonisüsteemi prototüüp CHERIoT RTOS, mis võimaldab compartmentide isolatsiooni isegi 256 MB RAM-ga sisseehitatud süsteemides. CHERIoT RTOS-i kood on kirjutatud C++ keeles ja on avatud MIT litsentsi alusel. OS-i põhilised komponendid nagu laadija, planeerija ja mälu jaotussüsteem on kujundatud compartmentidena.

Kompartiment CHERIoT RTOS-is on isoleeritud koodikombinatsioon ja globaalsete muutujate kogum, mis meenutab jagatud teeki, kuid erinevalt viimasest võib see muuta oma olekut (mutable) ja käivituda eraldi turvakontekstis. Ükski väline kood ei saa edasi anda kontrolli kompartimendis olevale koodile ega pääseda objektidele ligi, välja arvatud ühendus spetsiaalselt määratletud sisenemispunktide kaudu ja objektide kasutamine, mis on selgelt edastatud teise kompartimendi kutsumise ajal. Kompartimendis oleva koodi ja globaalsete objektide puhul tagatakse terviklikkus ja konfidentsiaalsus.

Allikas: opennet.ru