Google on Rusti keeles ümber kirjutanud Androidis kasutatava pvmfm püsivara

Androidi platvormi kriitiliselt tähtsate tarkvarakomponentide turvalisuse suurendamise raames on Google ümber kirjutanud pvmfm püsivara Rusti keeles, mida kasutatakse virtuaalmasinate töö korraldamiseks, mida käitatakse Android Virtualization Frameworki osana pVM hüperviisori poolt. Varem oli püsivara kirjutatud C keeles ja realiseeritud U-Booti laadijale, mille koodis on varem leitud haavatavusi, mis on põhjustatud mäluga seotud probleemidest.

Rustis ümber kirjutatud püsivara on lisatud Android 14-sse, samas kui arendusprotsessi käigus loodud universaalsed teegid on vormindatud crate-pakettideks ja edastatud Rusti kogukonnale. Näiteks on avaldatud paketid smccc, et toetada ARM-i liideseid PSCI (Power State Coordination Interface) ja SMCCC (SMC Calling Convention) kutseid, ning aarch64-paging pakett mälu lehtede tabelite manipuleerimiseks. Samuti on välja töötatud olemasoleva virtio-drivers paketi vigu parandamise ja funktsionaalsuse suurendamise töö, et rakendada VirtIO draivereid. Lisaks Androidi platvormile kasutatakse neid pakette ka Oak-projektis, mis arendab komponente andmete edastamiseks, salvestamiseks ja töötlemiseks usaldusväärsetes keskkondades (TEE, Trusted Execution Environment).

Hüperviisor pVM saab juhtimise varajases laadimisetapis ja tagab mälu täieliku isoleerituse virtuaalmasinate ja host-ökosüsteemi, takistades host-süsteemil juurdepääsu kaitstud virtuaalmasinatele, kus töödeldakse konfidentsiaalset teavet. pvmfm (Protected Virtual Machine Firmware) püsivara saab juhtimise kohe pärast virtuaalse masina käivitamist, kontrollib loodud keskkonda ning otsustab laadimise kriitilise peatamise või genereerib külgsertifikaadi külalisüsteemile, kui usaldusketti on kinnitatud.

Rusti keelt kasutades on lihtsam ja ohutum järgida Google'i „kahe reegli“ põhimõtteid, mis tagavad Androidi süsteemikomponentide turvalisuse. Selle reegli kohaselt peab kõik uus lisatav kood vastama mitte rohkem kui kahele tingimusele kolmest: töötama kontrollimata sisendiga, kasutama ohtlikku programmeerimiskeelt (C/C++) ning töötama suurenenud õigustega. Seega peab väliste andmete töötlemise kood kas olema piiratud minimaalsete õigustega (isoleeritud) või kirjutatud turvalises programmeerimiskeeles. Google'i statistika kohaselt on umbes 70% Androidis tuvastatud ohtlikest haavatavustest põhjustatud mäluga seotud vigadest.

Rust keskendub mälutöö turvalisusele ning aitab vähendada ohtu haavatavuste tekkimisele, mis on põhjustatud probleemidest, nagu mälu juurde pääsemine pärast selle vabastamist ja mälupuhvri ületamine. Rust tagab mälutöö turvalisuse kompilatsiooni ajal, kontrollides viiteid, jälgides objektide omandiõigust ja arvestades objektide elutsüklit (nende nähtavuse perioodi) ning hindab ka mälule juurdepääsu õigsust koodi täitmise ajal. Rust pakub samuti vahendeid täisarvude ületäitumise kaitsmiseks, nõuab muutuja väärtuste kohustuslikku initsialiseerimist enne kasutamist, käsitleb vigu paremini standardraamatukogus, rakendab muutumatute (immutable) viidete ja muutujate kontseptsiooni vaikimisi ning pakub tugevat staatilist tüüpimist loogiliste vigade minimeerimiseks.

Rust-keeles madala taseme komponentide, nagu draiverite, arendamisel esinevad raskused hõlmavad vajadust töötada paljade viidete (bare pointers) kasutamisega unsafe-režiimis, kuna Rust on loodud silmas pidades programmi mälu kasutamist, ning koodis, mis töötab otse riistvaral, tuleb tegeleda jagatud mälu ja MMIO-ga. Praegu on Rusti võimalused paljude viidete kasutamiseks veel arendamisel, kuid olukord peaks paranema pärast makrode offset_of, slice_ptr_get ja slice_ptr_len stabiliseerimist.

Puudustena väärib tähelepanu vajadus parandada süntaksit struktuuriväljade ja massiivide indeksite juurde pääsemiseks paljaste näidikute kaudu, ilma linkide loomise vajaduseta, samuti piirangud ohutute mähiste loomisel unsafe-operatsioonide üle, mis võivad põhjustada määramatut käitumist ja mida kompilaator ei saa kontrollida. Näiteks ei saa selliseid mähiseid luua mälu lehekülgede toimingute jaoks, kuna lehekülgede kaardistamine ühe osa programmist võib mõjutada teisi osi.

Tulemuslikkuse suuruse osas vanem pVM-firmware versioon kasutas 220 kB, uus versioon aga 460 kB, kuid uude kirjutatud versiooni on lisatud uusi funktsioone, mille tõttu on võimalik loobuda mõnest muust alglaadimisel kasutatavast komponendist. Lõppkokkuvõttes osutus vanade ja uute laadimis komponentide kogusumma sarnaseks. Kui suurus on olulisem kui jõudlus, on C-keelega võrreldavaid tulemusi võimalik saavutada, aktiveerides kompilaatori täiendavad optimeerimisrežiimid suuruse osas, loobudes liigsetest sõltuvustest ja mitte kasutades stringide vormindamise vahendeid.

Lisaks mainitakse, et jätkatakse usaldusväärsete rakenduste (Trusted Application) käivitamise võimaluse rakendamist Rust keeles Trusty operatsioonisüsteemis, mis pakub TEE-keskkonda (Trusted Execution Environment) Androidile, mis töötavad sama protsessori isolatsioonis eraldi keskkonnas paralleelselt Androidiga. Trusty kasutatakse Pixel-seadmetes ja juba kasutatakse Rusti raamatukogudes ja süsteemi komponentides (tuum jääb C keeles).

Allikas: opennet.ru