रिंग्स, विशेषाधिकार स्तर और x86 में सुरक्षा

आपने शायद सहज रूप से अनुमान लगाया है कि इंटेल x86 कंप्यूटर पर चलने वाले एप्लिकेशन अपनी क्षमताओं में सीमित हैं, और यह कि कुछ कार्यों को विशेष रूप से ऑपरेटिंग सिस्टम द्वारा किया जा सकता है। लेकिन क्या आप जानते हैं कि यह वास्तव में कैसे काम करता है? इस पोस्ट में, हम x86 विशेषाधिकार स्तरों को देखेंगे, एक तंत्र जिसमें ओएस और प्रोसेसर एक साथ काम करते हैं जो उपयोगकर्ता मोड एप्लिकेशन क्या कर सकते हैं, इसे सीमित करता है।


गुस्तावो डुटर्टे लेख अनुवाद: सीपीयू रिंग्स, प्रिविलेज, एंड प्रोटेक्शन

चार विशेषाधिकार स्तर हैं, उन्हें 0 (सबसे विशेषाधिकार प्राप्त स्तर) से 3 (न्यूनतम विशेषाधिकार स्तर), और तीन प्रकार के संसाधन हैं जो प्रोसेसर सुरक्षा तंत्र द्वारा संरक्षित हैं: मेमोरी, आई / ओ पोर्ट, और कुछ निर्देशों को निष्पादित करने की क्षमता। किसी भी समय, x86 प्रोसेसर एक निश्चित विशेषाधिकार स्तर पर चलता है, और यह इस पर निर्भर करता है कि कोड क्या कर सकता है और क्या नहीं। विशेषाधिकार स्तर को अक्सर सुरक्षा रिंग भी कहा जाता है, जिसे नेस्टेड सर्कल के रूप में दर्शाया जाता है। सबसे विशेषाधिकार प्राप्त स्तर घोंसले के सबसे बड़े डिग्री के साथ सर्कल से मेल खाता है। अधिकांश आधुनिक x86 कोर केवल दो विशेषाधिकार स्तरों का उपयोग करते हैं - 0 और 3।

आदेश 15 निर्देशों (और केवल कुछ दर्जन) का निष्पादन केवल रिंग 0 में संभव है। अन्य निर्देशों में वैध ऑपरेंड से जुड़े प्रतिबंध हैं। यदि ये प्रतिबंध मौजूद नहीं थे, तो सुरक्षा तंत्र के कामकाज को सुनिश्चित करना असंभव होगा, क्योंकि ये निर्देश उन्हें दरकिनार कर सकते हैं या अन्य नकारात्मक परिणामों की ओर ले जा सकते हैं। जिन निर्देशों के लिए प्रतिबंध मौजूद हैं उनका उपयोग केवल कर्नेल कोड में किया जा सकता है। शून्य रिंग के बाहर उन्हें निष्पादित करने का प्रयास करने के परिणामस्वरूप #GP (सामान्य-सुरक्षा अपवाद) अपवाद होगा। वास्तव में एक ही अपवाद तब होता है, उदाहरण के लिए, जब कोई प्रोग्राम अमान्य मेमोरी एड्रेस को एक्सेस करने की कोशिश करता है। इसी तरह, विशेषाधिकार स्तर के आधार पर, मेमोरी और I / O पोर्ट तक पहुंच सीमित है।

इससे पहले कि हम सुरक्षा तंत्र को देखें, आइए देखें कि प्रोसेसर वर्तमान विशेषाधिकार स्तर की निगरानी कैसे करता है। खंड चयनकर्ता, जिनकी हमने पिछली पोस्ट में जांच की थी, सीधे तौर पर इससे संबंधित हैं। यहाँ वे हैं:



एक प्रोग्रामर डेटा सेगमेंट में से किसी एक सेगमेंट में डेटा के लिए सेगमेंट चयनकर्ता को लोड करने के लिए कुछ निर्देशों का उपयोग करता है (उदाहरण के लिए, एसएस या डीएस)। इस मामले में, सेगमेंट सेलेक्टर की पूरी सामग्री आवश्यक विशेषाधिकार स्तर (आरपीएल) क्षेत्र सहित भरी हुई है, जिसका उद्देश्य थोड़ा कम बताया जाएगा। सीएस रजिस्टर के लिए, यहाँ सब कुछ थोड़ा अलग तरीके से होता है। सबसे पहले, आप सीधे इस रजिस्टर में एक चयनकर्ता को लोड करने के लिए mov जैसे लोड निर्देशों का उपयोग नहीं कर सकते। इसके बजाय, रजिस्टर की सामग्री केवल एक निर्देश को निष्पादित करने के परिणामस्वरूप बदल सकती है जो निष्पादन के प्रवाह को नियंत्रित करती है, जैसे कि दूर की कॉल। दूसरे, और यह हमारे लिए बहुत महत्वपूर्ण है, आरपीएल क्षेत्र के बजाय, जिसका मूल्य प्रोग्रामर द्वारा निर्धारित किया जाता है, सीएस रजिस्टर में चयनकर्ता के पास वर्तमान विशेषाधिकार स्तर (सीपीएल) फ़ील्ड है, जिसका मूल्य प्रोसेसर द्वारा स्वयं निर्धारित और नियंत्रित किया जाता है। सीएस रजिस्टर में दो-बिट सीपीएल क्षेत्र हमेशा वर्तमान विशेषाधिकार स्तर को दर्शाता है जिस पर प्रोसेसर संचालित होता है। इंटेल डॉक्स, इंटरनेट पर प्रकाशित सहित, इस मुद्दे पर मतभेद हो सकते हैं, हालांकि, यह तथ्य चीजों के सार को सटीक रूप से दर्शाता है। किसी भी समय, ताकि यह स्वयं प्रोसेसर में न हो, CS रजिस्टर में CPL फ़ील्ड के मूल्य को देखते हुए, हम हमेशा वर्तमान विशेषाधिकार स्तर का पता लगाते हैं जिसके साथ कोड निष्पादित होता है।

कृपया ध्यान दें कि प्रोसेसर के वर्तमान विशेषाधिकार स्तर का ऑपरेटिंग सिस्टम के उपयोगकर्ताओं द्वारा विशेषाधिकारों से कोई लेना-देना नहीं है। इससे कोई फर्क नहीं पड़ता कि आप किस खाते में काम करते हैं - रूट, एडमिनिस्ट्रेटर, गेस्ट या रेगुलर यूजर। सभी उपयोगकर्ता अनुप्रयोगों के कोड को रिंग 3 में निष्पादित किया जाता है, जबकि कर्नेल से संबंधित किसी भी कोड को रिंग 1 में निष्पादित किया जाता है। कभी-कभी कर्नेल के कुछ कार्यों को उपयोगकर्ता स्थान पर स्थानांतरित किया जा सकता है - उदाहरण के लिए, कुछ ड्राइवर विंडोज विस्टा में कार्यान्वित किए जाते हैं, लेकिन इसे केवल एक विशेष मामले के रूप में माना जा सकता है जब एक विशेष प्रकार की प्रक्रिया कर्नेल के लिए कुछ काम करती है। आमतौर पर उन्हें बिना किसी गंभीर परिणाम के मारा जा सकता है।

मेमोरी और इनपुट / आउटपुट पोर्ट तक पहुंच पर मौजूदा प्रतिबंधों के कारण, उपयोगकर्ता मोड में निष्पादित प्रोग्राम वास्तव में "पर्यावरण" को प्रभावित नहीं कर सकता है और कर्नेल की मदद के बिना कुछ भी नहीं कर सकता है। इस तरह के एक कार्यक्रम एक फ़ाइल नहीं खोल सकता है, एक नेटवर्क पैकेट भेज सकता है, पाठ की एक पंक्ति प्रदर्शित कर सकता है, या अपने लिए मेमोरी आवंटित कर सकता है। हम यह कह सकते हैं कि उपयोगकर्ता प्रक्रियाएँ एक प्रकार के सैंडबॉक्स में होती हैं, जो मूल रूप से छंटनी की गई क्षमताओं के साथ होती हैं, जो "शून्य रिंग के देवताओं" द्वारा उनके लिए तैयार की गई थीं। इस प्रकार, एक स्मृति रिसाव, यदि प्रक्रिया के कारण होता है, तो प्रक्रिया स्वयं नहीं बच सकती है, ठीक उसी तरह जैसे किसी प्रक्रिया के जीवन के दौरान खोली गई फाइलें पूरी होने के बाद खुली नहीं रहेंगी। ऐसी चीजों को नियंत्रित करने के लिए उपयोग की जाने वाली सभी डेटा संरचनाएं - आवंटित मेमोरी, खुली फाइलें - उपयोगकर्ता कोड के लिए उपलब्ध नहीं हैं; जैसे ही कार्यक्रम निष्पादन पूर्ण होता है, इसकी "सैंडबॉक्स" कर्नेल द्वारा नष्ट हो जाती है। यही कारण है कि आधुनिक सर्वर में 600 घंटे का अपटाइम हो सकता है - यदि हार्डवेयर या कर्नेल विफल नहीं होता है, तो सब कुछ हमेशा के लिए काम कर सकता है। और यह, वैसे, यही कारण है कि विंडोज 95/98 इतनी बार दुर्घटनाग्रस्त हो गया: नहीं, यह नहीं है क्योंकि "एम $ बेकार", बस पिछड़ी संगतता सुनिश्चित करने के लिए, उपयोगकर्ता मोड अनुप्रयोगों के लिए कुछ महत्वपूर्ण डेटा संरचनाएं उपलब्ध हैं। उस समय, यह शायद एक उचित समझौता था, लेकिन इसकी कीमत बहुत अधिक थी।

प्रोसेसर दो रणनीतिक बिंदुओं पर मेमोरी की सुरक्षा करता है: उस समय जब एक खंड चयनकर्ता को एक रजिस्टर में लोड करने का प्रयास किया जाता है, और एक मेमोरी पेज तक पहुंचने पर भी। इस प्रकार, सुरक्षा तंत्र, पते के अनुवाद के मुख्य चरणों को दर्शाता है, जिसमें विभाजन और पेजिंग भी शामिल है। निम्नलिखित चेक के साथ एक खंड चयनकर्ता को लोड करने का प्रयास किया जा रहा है:



बड़ी संख्या, कम विशेषाधिकार स्तर यह इंगित करता है। इस प्रकार, MAX () फ़ंक्शन उस मान का चयन करता है जो कम से कम विशेषाधिकार स्तर (चाहे वह सीपीएल या आरपीएल हो) को व्यक्त करता है, जो तब लक्ष्य विवरणक (डीपीएल) के विशेषाधिकार स्तर के साथ तुलना की जाती है। यदि डीपीएल से अधिक या इसके बराबर है, तो प्रवेश की अनुमति है। इस फॉर्मूले में आरपीएल का उपयोग करने का पूरा बिंदु यह है कि यह कर्नेल को आवश्यक रूप से कम जानबूझकर कम स्तर के साथ एक खंड तक पहुंचने की अनुमति देता है। उदाहरण के लिए, आप एक चयनकर्ता का उपयोग कर सकते हैं जिसमें आरपीएल को 3 में सेट किया गया है ताकि कुछ ऑपरेशन को केवल उपयोगकर्ता मोड डेटा खंडों के साथ काम करने की क्षमता तक सीमित किया जा सके। चयनकर्ता को एसएस रजिस्टर में लोड करते समय जांच अलग है, यहां सीपीएल, आरपीएल और डीपीएल के सभी तीन मानों के सफल होने के लिए मैच होता है।
वास्तव में, खंड स्तर पर सुरक्षा एक विशेष भूमिका नहीं निभाती है, क्योंकि आधुनिक कर्नेल स्मृति संगठन के एक "फ्लैट" मॉडल का उपयोग करते हैं, जिसमें उपयोगकर्ता मोड खंड सभी उपलब्ध भौतिक पता स्थान को कवर करता है। पेजिंग यूनिट में कुछ उपयोगी स्मृति सुरक्षा प्रदान की जाती है जब एक रैखिक पते को एक भौतिक में परिवर्तित किया जाता है। स्मृति का प्रत्येक पृष्ठ बाइट्स का एक क्रम है, जिसे पृष्ठ तालिका में एक प्रविष्टि द्वारा वर्णित किया गया है। इस प्रविष्टि में, दो क्षेत्र सुरक्षा तंत्र से संबंधित हैं, अर्थात् पर्यवेक्षक ध्वज और रीड / राइट फ्लैग। पर्यवेक्षक झंडा आधुनिक गुठली द्वारा उपयोग किया जाने वाला प्राथमिक रक्षा तंत्र है। जब इस ध्वज को साफ़ कर दिया जाता है, तो पृष्ठ 3 को रिंग से एक्सेस नहीं किया जा सकता। हालाँकि रीड / राइट फ़्लैग विशेषाधिकारों की जाँच में कोई भूमिका नहीं निभाता है, फिर भी यह दिलचस्प अनुप्रयोग पाता है। जब किसी प्रोग्राम को निष्पादन के लिए मेमोरी में लोड किया जाता है, तो प्रोग्राम के निष्पादन योग्य छवि को स्टोर करने वाले मेमोरी पेज को केवल पढ़ने के लिए चिह्नित किया जाता है। यह आपको पॉइंटर्स के साथ काम करते समय कुछ त्रुटियों को पकड़ने की अनुमति देता है, यदि उनका उपयोग करके इन पृष्ठों पर लिखने का प्रयास किया जाता है। रीड / राइट फ़्लैग का उपयोग लेखन तंत्र पर कॉपी को लागू करने के लिए भी किया जाता है, जब यूनिक्स जैसे ऑपरेटिंग सिस्टम पर फोर्क () सिस्टम कॉल का उपयोग करके एक बच्चे की प्रक्रिया का निर्माण किया जाता है। जब एक कांटा बनाया जाता है, तो मूल प्रक्रिया के मेमोरी पेज केवल-पढ़ने के लिए चिह्नित होते हैं। बाल प्रक्रिया शुरू में मूल प्रक्रिया के रूप में एक ही मेमोरी पेज का उपयोग करेगी। यदि उनमें से कोई भी मेमोरी पेज पर लिखने की कोशिश करता है, तो प्रोसेसर एक गलती शुरू करता है, और कर्नेल इसे निम्नानुसार निष्पादित करता है - यह उस प्रक्रिया के लिए बनाता है जो पेज की अपनी कॉपी लिखने की कोशिश करता है, और इस पेज पर पढ़ने / लिखने की अनुमति भी देता है।

आगे बढ़ो। हमें एक ऐसे तंत्र की आवश्यकता है जो सीपीयू को विभिन्न विशेषाधिकार स्तरों के बीच स्विच करने की अनुमति देता है। यदि रिंग 3 में चल रहा कोड कर्नेल में मनमाने स्थानों पर नियंत्रण स्थानांतरित कर सकता है, तो गलत (या सही?) पते पर केवल जेएमपी को निष्पादित करके ऑपरेटिंग सिस्टम के सुरक्षात्मक तंत्र को आसानी से बायपास करना संभव होगा। इसे रोकने के लिए, एक तंत्र की आवश्यकता होती है जो निष्पादन प्रवाह का नियंत्रित हस्तांतरण प्रदान करता है। यह तथाकथित के आधार पर लागू किया जाता है। गेट डिस्क्रिप्टर या सिसेंटर निर्देश। गेट डिस्क्रिप्टर "सिस्टम" प्रकार का एक सेगमेंट डिस्क्रिप्टर है। इसकी चार किस्में हैं: कॉल-गेट, इंटरप्ट-गेट, ट्रैप-गेट और टास्क-गेट डिस्क्रिप्टर। कॉल-गेट डिस्क्रिप्टर के माध्यम से, कर्नेल एक प्रविष्टि बिंदु प्रदान कर सकता है जिसका उपयोग सामान्य निर्देशों के साथ किया जा सकता है जैसे दूर कॉल और दूर कूद। कॉल-गेट डिस्क्रिप्टर का उपयोग अक्सर किया जाता है, इसलिए हम उनके बारे में बात नहीं करेंगे। टास्क-गेट डिस्क्रिप्टर भी हमारे लिए बहुत कम रुचि रखते हैं (लिनक्स में उनका उपयोग केवल दोहरे दोषों को संसाधित करते समय किया जाता है, जो आमतौर पर कर्नेल या हार्डवेयर की समस्याओं के कारण होता है)।

दो अन्य बहुत अधिक दिलचस्प प्रकार के वर्णनकर्ता बने हुए हैं: इंटरप्ट-गेट और ट्रैप-गेट, जो हार्डवेयर इंटरप्ट (कीबोर्ड, टाइमर, डिस्क) और अपवादों को संभालने के लिए उपयोग किया जाता है (पृष्ठ दोष, शून्य से विभाजन)। इन दोनों प्रकार के तंत्र मैं मनमाने ढंग से "रुकावट" कहूंगा। इस प्रकार के डिस्क्रिप्टर को इंटरप्ट डिस्क्रिप्टर टेबल (IDT) में संग्रहित किया जाता है। प्रत्येक रुकावट को 0 से 255 तक एक पहचान संख्या दी जाती है, जिसे वेक्टर कहा जाता है। जब आपको यह निर्धारित करने की आवश्यकता होती है कि बाधा को संभालने के लिए किस डिस्क्रिप्टर का उपयोग करना है, तो प्रोसेसर आईडीटी में विवरणक के लिए एक पॉइंटर के रूप में वेक्टर का उपयोग करता है। इंटरप्ट-गेट और ट्रैप-गेट डिस्क्रिप्टर का प्रारूप लगभग समान है। यह प्रारूप, साथ ही विशेषाधिकार की जाँच जो कि एक व्यवधान उत्पन्न होने पर की जाती है, को चित्र में दिखाया गया है। मैंने कुछ डिस्क्रिप्टर फ़ील्ड को उन मानों के साथ आबाद किया है जो आमतौर पर लिनक्स कर्नेल द्वारा विशिष्टताओं को जोड़ने के लिए उपयोग किए जाते हैं:



लक्ष्य खंड के वर्तमान सीपीएल और डीपीएल के आधार पर पहुंच को नियंत्रित किया जाता है, और गेट डिस्क्रिप्टर में चयनकर्ता और ऑफसेट क्षेत्र के आधार पर प्रवेश बिंदु निर्धारित किया जाता है। आधुनिक कर्नेल में, गेट डिस्क्रिप्टर के संबंधित क्षेत्र में निहित खंड चयनकर्ता आमतौर पर कर्नेल के कोड सेगमेंट का चयन करता है। इंटरप्ट मैकेनिज्म को इसलिए डिज़ाइन किया गया है ताकि इसे अधिक विशेषाधिकार प्राप्त रिंग से नियंत्रण को कम विशेषाधिकार प्राप्त रिंग में स्थानांतरित करने के लिए उपयोग नहीं किया जा सके। विशेषाधिकार स्तर या तो समान रहना चाहिए या बढ़ना चाहिए (ऐसा तब होता है, जब उदाहरण के लिए, एप्लिकेशन का उपयोगकर्ता मोड बाधित होता है)। किसी भी स्थिति में, नया सीपीएल मूल्य लक्ष्य कोड खंड के डीपीएल के बराबर होगा। ऐसी स्थिति में जहां सीपीएल बदलता है, स्टैक सेगमेंट भी स्वचालित रूप से स्विच हो जाता है। यदि बाधा प्रोग्रामेटिक है (उदाहरण के लिए INT n निर्देश के निष्पादन के कारण), तो एक और जाँच अतिरिक्त रूप से की जाती है: गेट DPL मूल CPL के बराबर या उससे अधिक होना चाहिए। यह परीक्षण उपयोगकर्ता कोड के लिए दुर्गम संचालकों को कॉल करने के लिए बनाया गया है। लिनक्स पर, सभी बाधा हैंडलर रिंग 0 में चलते हैं।

आरंभीकरण के दौरान, लिनक्स कर्नेल फ़ंक्शन setup_idt () डिस्क्रिप्टर में विशिष्ट प्रविष्टि बिंदुओं को निर्दिष्ट किए बिना एक IDT तालिका बनाता है। फिर विवरणकों में शामिल फ़ाइलों की सामग्री के अनुसार डेटा भरा जाएगा / asm-x86 / desc.h और arch / x86 / kernel / traps_32.c। लिनक्स शब्दावली में, एक डिस्क्रिप्टर जिसके नाम में "सिस्टम" शब्द है, उपयोगकर्ता मोड कोड द्वारा उपयोग के लिए उपलब्ध है, और इसके लिए डीपीएल गेट 3 पर सेट है। "सिस्टम गेट" एक बुद्धिमान ट्रैप-गेट है जो उपयोगकर्ता मोड कोड द्वारा उपयोग के लिए उपलब्ध है। इसके अलावा, शब्दावली में अधिक अंतर नहीं हैं। हार्डवेयर व्यवधान यहां नहीं, बल्कि संबंधित ड्राइवरों में कॉन्फ़िगर किए गए हैं।

उपयोगकर्ता मोड में उपयोग के लिए तीन द्वार उपलब्ध हैं: वैक्टर 3 और 4 का उपयोग क्रमशः डिबगिंग और संख्यात्मक ओवरफ्लो के लिए जाँच के लिए किया जाता है। इसके बाद सिस्टम गेट आता है, जिसमें SYSCALL_VECTOR स्थिर के मान के बराबर एक आईडी है - x86 आर्किटेक्चर के लिए यह 0x80 है। पहले, यह एक कॉल करते समय कर्नेल पर नियंत्रण स्थानांतरित करने का मुख्य तंत्र था। एक समय था जब मैं "इंट 0x80" अक्षर के साथ एक ठग नंबर भी चाहता था। पेंटियम प्रो के साथ शुरू करके, एक नया सिसेंटर इंस्ट्रक्शन जोड़ा गया है, जिसे सिस्टम कॉल को तेजी से करने के लिए डिज़ाइन किया गया है। यह निर्देश विशेष रजिस्टरों का उपयोग करता है जो कोड खंड, प्रवेश बिंदु, आदि के बारे में जानकारी संग्रहीत करते हैं। जब सिसेंटर निर्देश निष्पादित किया जाता है, तो विशेषाधिकार स्तर की जांच नहीं की जाती है, प्रोसेसर तुरंत सीपीएल 0 पर स्विच करता है और कोड और स्टैक (सीएस, ईआईपी, एसएस और ईएसपी) से संबंधित रजिस्टरों में संबंधित मूल्यों को लोड करता है। सिसेंटर इंस्ट्रक्शन द्वारा उपयोग किए जाने वाले रजिस्टरों में वैल्यू लोड करना केवल रिंग 0 से संभव है और इसे enable_sep_cpu () फ़ंक्शन द्वारा किया जाता है।

अंत में, जब रिंग 3 पर लौटने का समय होता है, तो कर्नेल आईआरईटी या SYSEXIT निर्देश का उपयोग करता है, क्रमशः एक बाधा या सिस्टम कॉल को संसाधित करने के बाद वापस नियंत्रण लेने के लिए। परिणामस्वरूप, हम रिंग 0 छोड़ते हैं, और 3 के सीपीएल के साथ उपयोगकर्ता मोड कोड फिर से शुरू हो जाता है। विम मुझे बताता है कि शब्दों की संख्या पहले से ही 1900 के करीब है, इसलिए बाद के लिए इनपुट / आउटपुट पोर्ट के विषय को छोड़ दें। आपके ध्यान के लिए आप सभी का धन्यवाद!