Huawei ha proposto un nuovo “SandBox Mode” per il kernel Linux con l’obiettivo di migliorare la sicurezza della memoria. Questa modalità consente l’esecuzione di codice nativo del kernel in un ambiente che limita l’accesso alla memoria solo a indirizzi predefiniti, impedendo così l’exploit di vulnerabilità o riducendone l’impatto sul resto del kernel.
Caratteristiche del SandBox Mode di Huawei:
- Isolamento dell’Esecuzione: Il SandBox Mode esegue la funzione target su una copia vmalloc() di tutti i dati di input e output, prevenendo alcuni accessi fuori limiti grazie a pagine di guardia.
- Ambiente Isolato: Le aree di memoria utilizzate come input e/o output sono isolate dal resto del kernel e circondate da pagine di guardia. Questo fornisce un isolamento debole senza ganci architettonici, ma con il supporto architettonico, l’isolamento diventa forte sfruttando le funzionalità di paging hardware e i livelli di privilegio della CPU.
- Recupero da Violazioni di Protezione: Con il supporto architettonico, il SandBox Mode può terminare forzatamente la sandbox in caso di violazioni di protezione e restituire un codice di errore (ad esempio, -EFAULT) al chiamante, permettendo così la continuazione dell’esecuzione.
Petr Tesarik di Huawei Cloud ha presentato una serie di patch “request for comments” per introdurre il SandBox Mode, descrivendolo come un modo per eseguire codice nativo del kernel in un ambiente che limita l’accesso alla memoria solo a indirizzi predefiniti, riducendo l’impatto delle potenziali vulnerabilità sulla sicurezza della memoria nel codice del kernel.
Proposta GMEM:
Parallelamente, l’ingegnere Huawei Weixi Zhu ha proposto il codice GMEM, che estende il sottosistema di gestione della memoria (MM) di Linux per condividere il suo codice indipendente dalla macchina, consentendo un maggiore riutilizzo da parte dei driver senza la necessità di reinventare la ruota. Questo approccio ha permesso al driver della unità di elaborazione neurale (NPU) di Huawei di ridurre di 26.000 righe di codice.
Implicazioni e Obiettivi:
L’introduzione del SandBox Mode e della proposta GMEM mira a migliorare significativamente la sicurezza della memoria nel kernel Linux, proteggendo contro le vulnerabilità e fornendo un meccanismo di isolamento forte per le componenti eseguite. Queste innovazioni rappresentano un passo importante verso la creazione di un ambiente di esecuzione più sicuro nel cuore del sistema operativo ampiamente utilizzato in tutto il mondo.