A fost prezentat\u0103 varianta final\u0103 a specifica\u021biei platformei hardware-software CHERIoT 1.0 (Capability Hardware Extension to RISC-V pentru Internet of Things), care determin\u0103 extinderea setului de instruc\u021biuni (ISA) pentru crearea de dispozitive securizate. CHERIoT ofer\u0103 capacit\u0103\u021bi hardware pentru urm\u0103rirea accesului la memorie, verificarea corectitudinii oper\u0103rii cu pointeri \u0219i asigurarea izol\u0103rii blocurilor de cod. De asemenea, a fost publicat un release stabil al modelului formal de standard CHERIoT ISA, definit \u00een limbajul Sail. Proiectul este distribuit sub licen\u021ba BSD. <\/p>\n
Proiectul CHERIoT a fost creat de Microsoft pentru a rezolva problemele de securitate \u00een codul existent scris \u00een limbajele C \u0219i C++ \u0219i pentru a proteja astfel de cod f\u0103r\u0103 a fi necesar\u0103 refacerea acestuia. Protec\u021bia este realizat\u0103 prin aplicarea unui compilator modificat, care utilizeaz\u0103 un set extins de instruc\u021biuni de procesor (ISA) pentru a asigura integritatea pointerilor, controlul limitelor \u00een timpul oper\u0103rii cu memoria \u0219i prevenirea accesului la memoria eliberat\u0103. \u00cen 2023, rezultatele CHERIoT au fost deschise \u0219i transformate \u00eentr-un proiect comun, la care s-au al\u0103turat \u0219i alte companii. <\/p>\n
Componente hardware CHERIoT sunt structurate sub forma unui microcontroler bazat pe arhitectura RISC-V, implement\u00e2nd o arhitectur\u0103 de procesor protejat\u0103 CHERI (Capability Hardware Extension to RISC-V) cu un model de acces controlat la memorie bazat pe «capability» (fiecare opera\u021biune de citire \u0219i scriere \u00een memorie este autorizat\u0103). Pe baza arhitecturii setului de instruc\u021biuni (ISA) furnizate \u00een CHERIoT, a fost dezvoltat un model software care garanteaz\u0103 securitatea oper\u0103rii cu memoria la nivelul unor obiecte individuale, oferind protec\u021bie \u00eempotriva acces\u0103rii memoriei deja eliberate \u0219i implement\u00e2nd un sistem u\u0219or de izolare a accesului la memorie. <\/p>\n
Modelul software de protec\u021bie specificat se reflect\u0103 direct \u00een modelul de limbaj C\/C++, permi\u021b\u00e2nd aplicarea acestuia pentru aplica\u021biile existente, a c\u0103ror protec\u021bie necesit\u0103 doar recompilare \u0219i rulare pe echipamente care suport\u0103 ISA CHERIoT. De exemplu, utilizarea CHERIoT permite implementarea unei verific\u0103ri automate a limitelor, urm\u0103rirea timpului de via\u021b\u0103 al zonelor de memorie \u0219i asigurarea integrit\u0103\u021bii pointerilor \u00een componentele care gestioneaz\u0103 date nesigure, f\u0103r\u0103 modific\u0103ri \u00een cod. <\/p>\n
Printre problemele blocate cu ajutorul CHERIoT: <\/p>\n
Pe l\u00e2ng\u0103 specifica\u021bia \u0219i modelul formal, proiectul dezvolt\u0103 o implementare de referin\u021b\u0103 a unui CPU RISC-V pe 32 de bi\u021bi, Ibex, cu suport pentru ISA CHERIoT \u0219i un instrumentar LLVM modificat. Schemele prototipului CPU \u0219i descrierile blocurilor hardware \u00een limbajul Verilog sunt distribuite sub licen\u021ba Apache 2.0. Ca baz\u0103 pentru CPU a fost utilizat nucleul Ibex din proiectul lowRISC. Pe baza nucleului CHERIoT, se preg\u0103tesc pentru produc\u021bia de mas\u0103 cipurile ICENI, a c\u0103ror comercializare este planificat\u0103 pentru anul urm\u0103tor. De asemenea, Microsoft dezvolt\u0103 un microcontroler Kudu cu suport pentru ISA CHERIoT. Ibex \u0219i Kudu sus\u021bin deja complet specifica\u021bia CHERIoT 1.0. Se desf\u0103\u0219oar\u0103 lucr\u0103ri pentru standardizarea extensiilor CHERI pentru procesoarele RISC-V \u00een cadrul organiza\u021biei RISC-V International. <\/p>\n
De asemenea, se dezvolt\u0103 un emulator de platform\u0103 bazat pe FPGA \u0219i un container Docker pentru dezvoltatori, cu instrumentarul \u0219i simulatorul CPU Ibex preinstalat, realizat cu ajutorul Verilator. \u00cen plus, pe baza CHERIoT, a fost preg\u0103tit un prototip al unui sistem de operare \u00een timp real, CHERIoT RTOS, care ofer\u0103 posibilitatea izol\u0103rii compartimentelor (compartment) chiar \u0219i pe sisteme \u00eencorporate cu 256 MB RAM. Codul CHERIoT RTOS este scris \u00een limbajul C++ \u0219i este distribuit sub licen\u021ba MIT. Compartimentele formeaz\u0103 componentele de baz\u0103 ale sistemului de operare, cum ar fi bootloader, scheduler \u0219i sistemul de distribu\u021bie a memoriei. <\/p>\n