Framework pour écrire des pilotes sécurisés pour le noyau Linux en Rust

Josh Triplett, travaillant chez Intel et membre du comité supervisant le développement de Crates.io, a exprimé lors de sa présentation à la conférence Open Source Technology Summit présenté un groupe de travail visant à amener le langage Rust au même niveau que le langage C dans le domaine de la programmation système.

Dans le groupe de travail en cours de création, les développeurs Rust collaboreront avec des ingénieurs d'Intel pour préparer des spécifications définissant les fonctionnalités nécessaires à l'implémentation de Rust pour la programmation système. La programmation système nécessite souvent des manipulations de bas niveau, telles que l'exécution d'instructions processeur privilégiées et l'obtention de détails sur l'état du processeur. Parmi les fonctionnalités déjà développées pour Rust, on note le support des structures anonymes, des unions, des insertions d'assembleur (macro « asm! ») et du format numérique à virgule flottante BFLOAT16.

Josh considère que l'avenir de la programmation système appartient à Rust, tandis que le langage C, dans le contexte actuel, revendique une place que l'assembleur occupait autrefois. Rust
non seulement libère les développeurs des problèmes inhérents au langage C liés à la gestion de la mémoire à bas niveau, mais offre également des possibilités d'application dans le développement de paradigmes modernes de programmation.

Au cours de la discussion de la présentation
de Josh, une idée a été avancée concernant l'ajout au noyau Linux de la possibilité de développer des pilotes en Rust, ce qui permettrait de créer facilement des pilotes sûrs et de meilleure qualité, exempts de problèmes tels que l'accès à la mémoire après sa libération, la déréférence de pointeurs nuls et les débordements de tampon.

Greg Kroah-Hartman, responsable du support de la branche stable du noyau Linux, a exprimé sa disposition à ajouter au noyau un framework pour le développement de pilotes en Rust, à condition qu'il présente de réels avantages par rapport au C, tels que la fourniture de wrappers sûrs sur l'API du noyau. De plus, Greg envisage ce framework seulement comme une option, non activée par défaut, afin de ne pas inclure Rust dans les dépendances de construction du noyau.

Il s'avère que plusieurs équipes travaillent déjà dans ce domaine. Par exemple, les développeurs de l'entreprise «Fish in a Barrel» ont préparé un outil pour écrire des modules chargeables pour le noyau Linux en Rust, en utilisant un ensemble d'abstractions sur les interfaces et structures du noyau pour améliorer la sécurité. Les couches sont générées automatiquement à partir des fichiers d'en-tête existants du noyau à l'aide de l'utilitaire bindgen. Pour construire les couches, Clang est utilisé. Les modules assemblés utilisent, en plus des couches, le package staticlib.

En parallèle évolue un autre projet, axé sur le développement de pilotes pour des systèmes intégrés et des appareils IoT, qui utilise également bindgen pour générer des couches basées sur les fichiers d'en-tête du noyau. Le cadre permet d'améliorer la sécurité des pilotes sans modifier le noyau — au lieu de créer des niveaux d'isolement supplémentaires pour les pilotes dans le noyau, il est proposé de bloquer les problèmes au moment de la compilation, en utilisant un langage plus sûr comme Rust. On suppose qu'une telle approche pourrait être demandée par les fabricants de matériel qui développent des pilotes propriétaires à la hâte sans effectuer l'audit nécessaire.

Bien que toute la fonctionnalité prévue ne soit pas encore réalisée, le cadre est déjà tout à fait opérationnel et a été utilisé pour écrire un pilote fonctionnel pour le contrôleur Ethernet LAN9512 USB, fourni avec la carte Raspberry Pi 3. Comme mise en œuvre de référence pour écrire le pilote en Rust, le pilote existant smsc95xx, écrit en C, a été utilisé. Il est noté que la taille du module et les frais généraux des composants runtime lors de la conception du pilote en Rust sont négligeables, ce qui permet d'utiliser le cadre pour des appareils à ressources limitées.

Source : opennet.ru