Microsoft avas CHERIoT, riistlahenduse, et suurendada C-keele koodi turvalisust

Microsoft tutvustas CHERIoT (Capability Hardware Extension to RISC-V for Internet of Things), projekti, mille eesmärk on takistada turvaprobleeme olemasolevas C- ja C++-keeles kirjutatud koodis. CHERIoT pakub lahendust, mis kaitseb olemasolevaid C/C++ koodibaase ilma nende ümberkirjutamiseta. Kaitse saavutatakse tänu muudetud kompilaatori kasutamisele, mis rakendab spetsiifilist laiendatud protsessorijuhiste kogumit (ISA), andes protsessorile ja riistvaraliselt jälgides mälu juurdepääsu, kontrollides pointerite õigsust ja tagades koodiplokkide isoleerimise.

Projekt on loodud silmas pidades, et C-keele madal tase toob kaasa vigu mälu haldamisel, mis põhjustavad probleeme nagu puhvri ülevood, juba vabastatud mälu juurde pääsemine, pointerite dereferentseerimine või topeltmälulehtede vabastamine. Praktika näitab, et isegi suured korporatsioonid, nagu Google ja Microsoft, kellel on ranged muudatuste ülevaatamise poliitikad ja kes kasutavad kaasaegseid arendustehnikate ja staatilise analüüsi tööriistu, ei suuda tagada mälu käsitlemisel vigu (näiteks on umbes 70% Microsofti ja Google'i tarkvaratoodete haavatavustest põhjustatud ebaohutust mälu käsitlemises).

Probleemi saab lahendada programmeerimiskeelte kasutamisega, mis garanteerivad mälu ohutuse, või lisakontrollidega, näiteks tavaliste pointerite asemel kasutades MiraclePtr (raw_ptr), mis teostab lisakontrolle vabastatud mälu aladele juurdepääsemisel. Kuid sarnased meetodid sobivad pigem uue koodi jaoks ning olemasolevate C/C++ projektide ümbertegemine on üsna keeruline, eriti kui need on mõeldud töötama piiratud ressurssidega keskkondades, nagu sisseehitatud süsteemid ja asjade interneti seadmed.

CHERIoT poolt pakutavad riistvarakomponendid on kujundatud mikrokontrollerina, mis põhineb RISC-V arhitektuuril ning rakendab CHERI (Capability Hardware Extension for RISC-V) kaitstud protsessori arhitektuuri, mis annab võimaluse hallata mälule ligipääsu mudelit põhineb "capability"-l (iga mälu lugemise ja kirjutamise operatsioon on autoriseeritud). CHERIoT arhitektuuri põhjal on loodud käsu komplekti (ISA) tarkvaraline mudel, mis tagab mäluga tegelemise turvalisuse üksikute objektide tasemel, pakkudes kaitset mahajäetud mälu juurdepääsu eest ja rakendades kergkaalu mälule ligipääsu isoleerimissüsteemi. Antud tarkvaramudeli kaitse kajastub otseselt C/C++ keelemudelis, mis võimaldab seda kasutada olemasolevate rakenduste kaitsmiseks (vajalik on vaid uuesti kompileerimine ja käitamine seadmetel, mis toetavad CHERIoT ISA-d).

Pakutud lahendus võimaldab blokeerida vea, mis põhjustab objekti mälu ületamist, ei luba näidikute muutmist (kõik näidikud peavad olema loodud juba olemasolevatest näidikutest), jälgib ligipääsu mälule pärast vabastamist (igal ligipääsul mälule vale näidiku kaudu või näidiku kaudu, mis viitab vabastatud objektile, tekib erand). Näiteks võimaldab CHERIoT automaatset piirde kontrollimist, mälupiirkondade eluea jälgimist ja näidikute terviklikkuse tagamist komponentides, mis töötlevad usaldamatuid andmeid, ilma koodi muutmata.

Projekt sisaldab CHERIoT laiendatud käsu komplekti arhitektuuri spetsifikatsiooni, RISC-V 32-bitise CPU prototüübi standardimplementatsiooni, mis toetab CHERIoT ISA-d, ja muudetud LLVM tööriistakomplekti. CPU prototüübi skeemid ja riistvarablokki kirjeldavad dokumendid on loodud Verilog keeles ning levitatakse Apache 2.0 litsentsi alusel. CPU aluseks on Ibex südamik lowRISC projektist. CHERIoT ISA koodimudel on määratletud Sail keeles ja levitatakse BSD litsentsi alusel.

Lisaks on esitatud CHERIoT RTOS reaalajas operatsioonisüsteemi prototüüp, mis võimaldab isoleerida kompartemente (compartment) isegi 256 MB RAM-iga sisseehitatud süsteemides. CHERIoT RTOSi kood on kirjutatud C++ keeles ja jaotatakse MIT litsentsi alusel. Kompartementide vormis on kujundatud OS-i põhi komponendid, nagu laadija, ajakavaga tegelev ja mälu jaotussüsteem.

Kompartement CHERIoT RTOS-is on isoleeritud koodide ja globaalsete muutujate kombinatsioon, mis meenutab jagatud teeki, kuid erinevalt viimasest võib see muuta oma olekut (mutable) ja käivituda eraldi turvakontekstis. Ükski väline kood ei saa suunata juhtimist kompartemendis oleva koodi poole ega pääseda objektidele juurde, välja arvatud spetsiaalselt määratud sisenemispunktide kaudu ning objektide pointerite kasutamisega, mis on selgelt edastatud teise kompartemendi väljakutsumise käigus. Koodile ja globaalsetele objektidele kompartemendis tagatakse terviklikkus ja konfidentsiaalsus.

Allikas: opennet.ru