C keele jaoks on Clangil rakendatud piiride kontrollimise režiim

Apple'i insenerid teatasid, et Clangi kompilaatori režiimi „-fbounds-safety” testimine on valmis, mis tagab turvalise töötamise C keeles koodiga. Režiim on osa Apple'i toetatavast LLVM harust, mis on mõeldud Swift projekti jaoks. Tulevikus on plaanis järk-järgult funktsionaalsus „-fbounds-safety” üle kanda LLVM/Clangi põhikoodeksisse.

Märgitakse, et pakkunud kaitsemehhanismi rakendatakse juba aktiivselt Apple'i toodetes, nagu XNU tuum, püsivara, heliteekide ja piltide dekooderite puhul. Režiimi „-fbounds-safety” sisse lülitamine vähendab rakenduste jõudlust keskmiselt 5% (ulatuses -1% kuni 29%), suurendab koodimahtu 9,1% (ulatuses -1,4% kuni 38%) ja aeglustab kompileerimist 11%.

Režiimi „-fbounds-safety“ kasutamine, et automaatselt tuvastada mälu ala piiridest väljumine, mis on seotud näidikuga, nõuab koodi lisamist spetsiaalsete annotatsioonide ja päise faili „ptrcheck.h“ kaasamise. Pakutud kaitsemeetodi olemus seisneb automaatses kontrollide lisamises kehtivate piiride järgimise osas, mis lisatakse käsitsi esitatud annotatsioonide või kompilaatorile teada olevate suuruste alusel.

Erinevalt laienenud näidikute (wide pointer) kasutamisest, kus aadressi kõrval on ka teave puhvri ülemise ja alumise piiri kohta, ei rikku režiim „-fbounds-safety“ ABI-d (rakenduse binaarliidese), ei muuda eksporditud näidikute formaati ja ei nõua kogu projekti kohest ümbertegemist. Režiimis „-fbounds-safety“ kasutatakse laienenud näidikuid ainult ABI-d mittehõlmavates piirkondades, samas kui ABI-d mõjutavate näidikute jaoks kasutatakse tavalisi näidikuid koos kontrollidega, mis on loodud piiride teabe anotatsioonide alusel.

Annotatsioonid tuleb siduda viidete külge struktuuride ja funktsioonide parameetrites, mis viitavad objektide massiivile, samuti globaalsete muutuja viidete jaoks. Kohalikus muutuja viidete puhul ei ole annotatsiooni lisamine vajalik, kuna neid töödeldakse automaatselt kui laiendatud viiteid, mis juba sisaldavad teavet lubatud piiride kohta. Koodistruktuuride kohta, millele on vaja lisada annotatsioonid, annab kompilaator vihjeid, kui käivitada koos lipuga "-fbounds-safety".

Mudel kaitse rakendamiseks põhineb „-fbounds-safety” saab järk-järgult juurutada, fail haaval, katkestamata kogu projekti arendust. Kaitsestruktuuri lisamine projekti seisneb annotatsioonide määramises konkreetses koodifailis, kompilaatori hoiatuste kõrvaldamises ja programmi töö testimises, pärast mida neid samme korratakse järgmise faili jaoks. Kood, kuhu on lisatud annotatsioonid, jääb ühilduv tavapärase C-koodiga ja kompilaatoritega, mis ei toeta „-fbounds-safety” (kui koguda teiste kompilaatoritega või ilma liputa „-fbounds-safety”, ei lisata lihtsalt täiendavaid piiri kontrollimist).

Programmi käigus, kui tuvastatakse ületamine lubatud piiridest, genereeritakse erand ja programm lõpetab oma töö. Hädaolukorra lõpetamine võib samuti isegi toimuda vale annotatsiooni näitamise korral, mistõttu tuleks '−fbounds-safety' kasutamisel läbi viia täiendav programmi testimine.

Allpool olevas näites on parameetrisse 'int *p' lisatud annotatsioon '__counted_by(n)', mis lisab täiendava kontrolli lubatud piiride üle, mis kehtib töö ajal. Kui proovida kompileerida koodi režiimis '−fbounds-safety' ilma selle annotatsioonita, annab kompilaator hoiatusi massiivi piiride teabe puudumise kohta väljendi 'p[i] = 0' töötlemisel. #include void init_buf(int *__counted_by(n) p, int n) { for (int i = 0; i < n; ++i) p[i] = 0; // režiimis '−fbounds-safety' kompilaator lisab automaatselt kontrolli, mis sarnaneb koodiga 'if (i = n) trap();' }

Kohalikud muutujad seonduvad automaatselt kontrollide näidikute abil, näiteks: void foo(int i){ char *buf = (char *)malloc(10); /// buf näidiku jaoks salvestatakse piiride andmed buf[i] = 0xff; /// lisatakse automaatselt kontroll "if (buf + i = buf + 10) trap();" }

Võimaluse korral optimiseerib kompilaator ja välistab liigsete koodide lisamise, kui koodis on juba vajalikud kontrollid. Näiteks: for (size_t i = 0; i < count; ++i) { buf[i] = i; /// kontrolli "if (i = count) trap()" ei lisata, kuna ülal on juba tingimus "i < count" ja i ei saa olla väiksem kui 0. }

Põhijoonised:

• «__counted_by(N)» — määrab mälu suuruse siht tüübi elementides.
• «__sized_by(N)» — määrab mälu suuruse baitides.
• » __ended_by(P)» — määrab mälu ülemise piiri.
• «__null_terminated» — võtab arvesse nullikoodi kui mõlema piiri lõppu.
• «__single» — seondub näidik ühele objektile. Rakendatakse vaikimisi ABI-d mõjutavate näidikute puhul, kui annotatsiooni ei ole selgelt määratud.
• «__bidi_indexable» – täiustatud näitaja ülemiste ja alumiste piiride teabega. Rakendatakse vaikimisi näitajate jaoks, mis ei mõjuta ABI-d.
• «__indexable» – täiustatud näitaja ülemise piiri teabega.
• «__unsafe_indexable» – näitaja, mis ei kontrolli piire (ühilduv mitteprotected koodiga, näiteks näitajate hankimiseks välisest koodist).

Allikas: opennet.ru