{"id":100138,"date":"2021-05-11T16:22:58","date_gmt":"2021-05-11T14:22:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/microsoft-podgotovil-realizacziyu-ebpf-dlya-windows"},"modified":"2021-05-11T16:22:58","modified_gmt":"2021-05-11T14:22:59","slug":"microsoft-podgotovil-realizacziyu-ebpf-dlya-windows","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/microsoft-podgotovil-realizacziyu-ebpf-dlya-windows","title":{"rendered":"Microsoft a pr\u00e9par\u00e9 la mise en \u0153uvre d'eBPF pour Windows.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La soci\u00e9t\u00e9 Microsoft a publi\u00e9 une impl\u00e9mentation de la sous-syst\u00e8me eBPF pour Windows, permettant d'ex\u00e9cuter des gestionnaires arbitraires fonctionnant au niveau du noyau du syst\u00e8me d'exploitation. eBPF fournit un interpr\u00e9teur de bytecode int\u00e9gr\u00e9 au noyau, permettant de cr\u00e9er des gestionnaires d'op\u00e9rations r\u00e9seau chargeables depuis l'espace utilisateur, de contr\u00f4ler l'acc\u00e8s et de surveiller le fonctionnement des syst\u00e8mes. eBPF est inclus dans le noyau Linux depuis le lancement de la version 3.18 et permet de traiter les paquets r\u00e9seau entrants\/sortants, de rediriger des paquets, de g\u00e9rer la bande passante, d'intercepter des appels syst\u00e8me, de contr\u00f4ler l'acc\u00e8s et de r\u00e9aliser des tra\u00e7ages. Gr\u00e2ce \u00e0 l'utilisation de la compilation JIT, le bytecode est instantan\u00e9ment traduit en instructions machine et ex\u00e9cut\u00e9 avec la performance d'un code compil\u00e9. Les codes sources de eBPF pour Windows sont ouverts sous licence MIT. <\/p>\n
eBPF pour Windows peut \u00eatre utilis\u00e9 avec des outils existants pour eBPF et fournit une API standard appliqu\u00e9e aux applications eBPF sous Linux. En particulier, le projet permet de compiler du code \u00e9crit en C en bytecode eBPF \u00e0 l'aide du compilateur eBPF bas\u00e9 sur Clang et d'ex\u00e9cuter des gestionnaires eBPF d\u00e9j\u00e0 cr\u00e9\u00e9s pour Linux au-dessus du noyau Windows, offrant une couche de compatibilit\u00e9 sp\u00e9ciale et prenant en charge l'API standard Libbpf pour la compatibilit\u00e9 avec les applications interagissant avec les programmes eBPF. Des couches sont \u00e9galement propos\u00e9es, offrant des hooks similaires \u00e0 Linux pour XDP (eXpress Data Path) et socket bind, abstrahant l'acc\u00e8s \u00e0 la pile r\u00e9seau et aux pilotes r\u00e9seau de Windows. Parmi les projets \u00e0 venir, une compatibilit\u00e9 compl\u00e8te au niveau des sources avec des gestionnaires eBPF standards de Linux est pr\u00e9vue.
<\/center> <\/p>\n
La principale diff\u00e9rence de l'impl\u00e9mentation de eBPF pour Windows est l'utilisation d'un v\u00e9rificateur de bytecode alternatif, initialement propos\u00e9 par des employ\u00e9s de VMware et des chercheurs de universit\u00e9s canadiennes et isra\u00e9liennes. Le v\u00e9rificateur s'ex\u00e9cute dans un processus distinct et isol\u00e9 dans l'espace utilisateur et est appliqu\u00e9 avant l'ex\u00e9cution des programmes BPF afin d'identifier les erreurs et de bloquer toute activit\u00e9 potentiellement malveillante. <\/p>\n
Pour la v\u00e9rification dans eBPF pour Windows, une m\u00e9thode d'analyse statique bas\u00e9e sur l'interpr\u00e9tation abstraite est utilis\u00e9e, qui, par rapport au v\u00e9rificateur eBPF pour Linux, d\u00e9montre un niveau plus bas de faux positifs, prend en charge l'analyse des boucles et offre une bonne \u00e9volutivit\u00e9. La m\u00e9thode prend en compte de nombreux mod\u00e8les d'ex\u00e9cution types, obtenus gr\u00e2ce \u00e0 l'analyse des programmes eBPF existants. <\/p>\n
Apr\u00e8s la v\u00e9rification, le bytecode est transmis \u00e0 l'interpr\u00e9teur fonctionnant au niveau du noyau, ou est pass\u00e9 par le compilateur JIT avec ensuite l'ex\u00e9cution du code machine r\u00e9sultant avec des privil\u00e8ges noyau. Pour isoler les gestionnaires eBPF au niveau du noyau, un m\u00e9canisme HVCI (HyperVisor-enforced Code Integrity) est appliqu\u00e9, utilisant des moyens de virtualisation pour prot\u00e9ger les processus dans le noyau et garantissant la v\u00e9rification de l'int\u00e9grit\u00e9 du code ex\u00e9cut\u00e9 par une signature num\u00e9rique. La limitation de HVCI est la possibilit\u00e9 de v\u00e9rifier uniquement les programmes eBPF interpr\u00e9t\u00e9s et l'incapacit\u00e9 \u00e0 \u00eatre utilis\u00e9 conjointement avec JIT (un choix est offert \u2014 soit la performance, soit une protection suppl\u00e9mentaire). \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Microsoft](\"\/wp-content\/uploads\/2021\/05\/1daa28968dafec017e92e435fc479cae.png\")
<\/center> <\/p>\n