Confira !!
Os engenheiros do Google continuam trabalhando no kernel do Linux em torno do "Restricted DMA " para ajudar a proteger os sistemas sem controle de acesso DMA para hardware sem IOMMU.
O DMA protegido visa ajudar a evitar vazamento de dados ou corrupção decorrente do acesso do DMA à memória do sistema inesperadamente para sistemas sem um IOMMU. Um dos principais motivadores para este trabalho é devido ao PCI Express dar acesso total à memória do sistema e já haver vulnerabilidades comprovadas como exploits de firmware WiFi que podem escalar para um exploit completo do sistema, mesmo remotamente via WiFi. O Projeto Zero do Google ilustrou esses ataques de WiFi em 2017.
Agora, neste ano, parece que o DMA restrito pode ser utilizado para ajudar com sistemas sem IOMMU. O DMA restrito aproveita o SWIOTLB (Software Input Output Translation Lookaside Buffer) para pular o streaming de DMA para dentro / fora de uma região especialmente alocada e faz a alocação de memória dessa mesma região.
O estricted-dma-pool: indica uma região da memória que deve ser usada como um pool de buffers DMA restritos para um conjunto de dispositivos. A região da memória seria a única acessível para esses dispositivos. Ao usar isso, as propriedades no-map e reutilizáveis não devem ser definidas, para que o sistema operacional possa criar um mapeamento virtual que será usado para sincronização. O objetivo principal do DMA restrito é mitigar a falta de controle de acesso do DMA em sistemas sem um IOMMU, o que pode resultar no DMA acessando a memória do sistema em momentos inesperados e / ou endereços inesperados, possivelmente levando ao vazamento ou corrupção de dados. O recurso por si só fornece um nível básico de proteção contra o conteúdo do buffer de substituição de DMA em momentos inesperados. No entanto, para proteger contra vazamento geral de dados e corrupção de memória do sistema,eger contra vazamento geral de dados e corrupção de memória do sistema,
Com a implementação atual, esses "pools de DMA restritos" como a região reservada para DMA restrito podem ser especificados por meio da Árvore de dispositivos com um endereço e comprimento arbitrários.
Os últimos patches de DMA restrito para o kernel do Linux podem ser encontrados na lista de discussão do kernel
Até a próxima !!
Nenhum comentário:
Postar um comentário