Скачать или смотреть ePass: платформа для повышения гибкости и безопасности выполнения программ eBPF — Имин Сян

ePass: фреймворк для повышения гибкости и безопасности выполнения программ eBPF — Имин Сян (Техасский университет в Остине)

eBPF позволяет безопасно расширять функциональность ядра для различных приложений, но его статический верификатор чрезмерно ограничителен, что препятствует запуску многих полезных и допустимых программ на практике. Он также может пропускать нарушения безопасности в сложных условиях. В недавних работах предлагается добавить проверки во время выполнения для смягчения этих ограничений, но они узко нацелены на конкретные случаи. Их инструментирование требует значительных усилий и подвержено ошибкам.

Мы представляем ePass, фреймворк, который обеспечивает систематическую и кооперативную проверку во время выполнения для повышения гибкости и безопасности eBPF. ePass вводит новое промежуточное представление (IR), которое преобразует байт-код eBPF в форму SSA (статическое однократное присваивание), что позволяет систематически инструментировать проверки во время выполнения. Он предоставляет интуитивно понятные API для разработчиков, позволяющие легко реализовывать различные этапы преобразования. ePass гарантирует, что эти этапы сохраняют существующие правила безопасности, одновременно повышая безопасность во время выполнения.


Чтобы продемонстрировать универсальность ePass, мы разработали 12 проходов, которые устраняют различные ограничения верификатора и пробелы в безопасности, такие как контроль ограничений инструкций, очистка памяти и проверка аргументов вспомогательных функций. Большинство из них занимают менее 100 строк кода. Наша оценка также показывает, что ePass позволяет безопасно выполнять программы из реального мира, которые ранее отклонялись, устраняет известные уязвимости и влечет за собой низкие накладные расходы.

Инструментарий ePass полностью открыт и доступен по адресу https://github.com/OrderLab/ePass