Microsoft подготви eBPF имплементација за Windows

Мајкрософт објави имплементација на потсистемот eBPF за Windows, кој ви овозможува да стартувате произволни управувачи кои работат на ниво на јадрото на оперативниот систем. eBPF обезбедува преведувач на бајтекод вграден во кернелот, што овозможува создавање ракувачи со мрежни операции вчитани од корисничкиот простор, контрола на пристапот и следење на работата на системите. eBPF е вклучен во кернелот на Linux од објавувањето 3.18 и ви овозможува да ракувате со дојдовни/појдовни мрежни пакети, препраќање пакети, управување со пропусниот опсег, пресретнување на системски повици, контрола на пристап и следење. Благодарение на употребата на JIT компилација, бајтекодот се преведува во лет во машински инструкции и се извршува со изведба на компајлиран код. eBPF за Windows е со отворен код под лиценцата MIT.

eBPF за Windows може да се користи со постоечките алатки eBPF и обезбедува генерички API што се користи за eBPF апликации на Linux. Меѓу другото, проектот ви овозможува да компајлирате код напишан во C во eBPF бајтекод користејќи го стандардниот компајлер eBPF базиран на Clang и да извршите ракувачи eBPF веќе создадени за Linux на врвот на кернелот на Windows, обезбедувајќи посебен слој за компатибилност и поддржувајќи го стандардниот Libbpf API за компатибилност со апликации кои комуницираат со програмите eBPF. Ова ги вклучува слоевите кои обезбедуваат куки слични на Linux за XDP (eXpress Data Path) и поврзување со штекер, апстрактирање на пристап до мрежниот стек и двигатели на мрежата на Windows. Плановите вклучуваат обезбедување на целосна компатибилност на ниво на изворен код со стандардни Linux eBPF процесори.

Клучната разлика помеѓу имплементацијата на eBPF за Windows е употребата на алтернативен проверувач на бајтекод, првично предложен од вработени во VMware и истражувачи од канадски и израелски универзитети. Проверувачот работи во посебен, изолиран процес во корисничкиот простор и се користи пред да се извршат програмите BPF за да се идентификуваат грешките и да се блокираат можните злонамерни активности.

За верификација, eBPF за Windows користи метод на статичка анализа заснован на Апстрактно толкување, кое, во споредба со проверувачот eBPF за Linux, покажува помала стапка на лажно позитивна стапка, поддржува анализа на јамка и обезбедува добра приспособливост. Методот зема предвид многу типични обрасци за извршување добиени од анализата на постоечките програми eBPF.

По верификацијата, бајтекодот се пренесува на преведувач кој работи на ниво на јадрото, или се пренесува преку JIT компајлер, проследено со извршување на добиениот машински код со права на јадрото. За да се изолираат ракувачите на eBPF на ниво на јадрото, се користи механизмот HVCI (HyperVisor-enforced Code Integrity), кој користи алатки за виртуелизација за да ги заштити процесите во кернелот и обезбедува потврда за интегритетот на извршниот код користејќи дигитален потпис. Ограничувањето на HVCI е тоа што може да ги потврди само интерпретираните eBPF програми и не може да се користи заедно со JIT (имате избор или изведба или дополнителна безбедност).

Извор: opennet.ru