Clangi baasil on C-keeles ellu viidud puhverpiiride kontrollimise režiim

Apple'i insenerid teatasid, et nad on valmis testima Clangi kompilaatori '−fbounds-safety' režiimi, mis tagab turvalise töötamise mällu mahtuvate andmete üle. Režiim on osa Apple'i toetatud LLVM hargnevast versioonist, mis on suunatud Swift projektile. Edaspidi on plaanis järk-järgult edastada '−fbounds-safety' funktsionaalsus LLVM/Clangi põhikoodeksisse.

Teatatakse, et pakutud kaitsemehhanismi kasutatakse juba aktiivselt Apple'i toodetes, sealhulgas XNU tuumas, püsivarakoodides, heliraamatukogudes ja piltide dekooderites. '−fbounds-safety' režiimi aktiveerimine vähendab rakenduste jõudlust keskmiselt 5% (vahemikus -1% kuni 29%), suurendab koodi mahtu 9.1% (vahemikus -1.4% kuni 38%) ja aeglustab kompileerimist 11%.

'−fbounds-safety' režiimi kasutamine mälupiiride automaatseks tuvastamiseks, mis on seotud näidikuga, nõuab koodi eriliste annotatsioonide lisamist ning 'ptrcheck.h' päise kaasamist. Pakutud kaitsemeetodi sisu seisneb lubatud piiride järgimise kontrollide automaatse lisamisega, mis põhinevad käsitsi määratud annotatsioonidel või kompilatsioonile teadaolevatel suurustel.

Erinevalt laiendatud näidikute (wide pointer) kasutamisest, kus koos aadressiga on ka teavet puhvri ülemise ja alumise piiri kohta, '−fbounds-safety' režiimi kasutamine ei riku ABI-d (rakenduse binaarliidest) ega muuda eksporditud näidikute formaati ning ei nõua kohe kogu projekti ümbertöötamist. '−fbounds-safety' režiimis kasutatakse laiendatud näidikuid ainult piirkondades, mis ei ühti ABI-ga, samas kui ABI-d mõjutavate näidikute puhul rakendatakse tavalisi näidikuid koos kontrollide asendamisega, mis põhinevad piireteave annotatsioonidel.

Annotatsioonid tuleb lisada struktuuride väljade ja funktsioonide argumentide näidikutele, mis viitavad objektide massiivile, samuti globaalsed muutujad, kus on näidikud. Kohalike muutujate näidikute puhul annotatsioone lisama ei pea, kuna neid töödeldakse automaatselt kui laiendatud näidikuid, mis juba sisaldavad teavet lubatud piiride kohta. Koodistruktuuride kohta, mille puhul on vajalik annotatsioonide lisamine, väljastab kompilaator teateid, kui see käivitatakse '−fbounds-safety' lipuga.

Mudeli kaitse, mis põhineb „-fbounds-safety“ saab järk-järgult rakendada, failhaaval, katkestamata kogu projekti arendust. Kaitse lisamine projektile tähendab, et tuleb märkida annotatsioonid kindlas koodifailis, kõrvaldada kompilaatori hoiatused ja testida programmi toimimist, pärast mida neid etappe korratakse järgmise faili jaoks. Kood, kuhu on lisatud annotatsioonid, jääb ühilduv tava C-koodiga ja kompilaatoritega, mis ei toeta „-fbounds-safety“ (kui kompileerida teiste kompilaatoritega või ilma „-fbounds-safety“ liputa, ei lisata täiendavaid piirikontrolle).

Programmi töö ajal, kui tuvastatakse juurdepääs lubatust kaugemale, genereeritakse erand ja programm lõpetab oma toimimise. Hädaolukorra lõpetamine võib samuti toimuda, kui on antud vale annotatsioon, seega „-fbounds-safety“ kasutamisel on vajalik täiendav programmikatse.

Allolevas näites on parameetrisse „int *p“ lisatud annotatsioon „__counted_by(n)“, mis lisab täiendava kontrolli lubatud piiride üle, mis kehtib käitamise ajal. Kui proovida kompileerida koodi „-fbounds-safety“ režiimis ilma antud annotatsioonita, annab kompilaator märku, et massiivi piiriinfo puudub väljendi „p[i] = 0“ töötlemisel. #include void init_buf(int *__counted_by(n) p, int n) { for (int i = 0; i < n; ++i) p[i] = 0; // režiimis „-fbounds-safety“ lisab kompilaator ise kontrolli, mis on sarnane koodile „if (i = n) trap();“ }

Kohalikest muutujatest, millel on näitajad, lisatakse kontrolle automaatselt, näiteks: void foo(int i){ char *buf = (char *)malloc(10); // näitaja bufi piires säilitatakse teave piiride kohta buf[i] = 0xff; // lisatakse automaatselt kontroll „if (buf + i = buf + 10) trap();“ }

Kompilaator proovib võimaluse korral optimeerida ja välistada liigsete koodide lisamise, kui koodis on juba vajalikud kontrollid. Näiteks: for (size_t i = 0; i < count; ++i) { buf[i] = i; // kontroll „if (i = count) trap()“ ei lisata, kuna üleval on juba tingimus „i < count“ ja i ei saa olla väiksem kui 0. }

Peamised annotatsioonid:

• „__counted_by(N)“ — määrab puhvri suuruse siht tüübi elementides.
• „__sized_by(N)“ — määrab puhvri suuruse baitides.
• » __ended_by(P)» — määrab puhveri ülemise piiri.
• «__null_terminated» — arvestab null-sümbolit puhvri lõppena.
• «__single» — seob näitaja ühe objekti külge. Kasutatakse vaikimisi ABI mõjule alluvate näitajate puhul, kui eraldi mitte määrata annotatsiooni.
• «__bidi_indexable» — täiustatud näitaja, mis sisaldab teavet ülemiste ja alumiste piiride kohta. Kasutatakse vaikimisi ABI-le mittealluvate näitajate puhul.
• «__indexable» — täiustatud näitaja, mis sisaldab teavet ülemise piiri kohta.
• «__unsafe_indexable» — näitaja, mis ei kontrolli piireid (kooskõlas kaitsmata koodiga, näiteks näitajate saamiseks väliskoodist).

Allikas: opennet.ru