سلامة الذاكرة باستخدام القدرات: نطاق السلطة المكاني، والعمر، والإبطال

قد يكون المؤشر صالحًا مكانيًا وغير صالح زمنيًا

قد يظل المؤشر يشير إلى بايتات داخل منطقة سبق تخصيصها حتى بعد انتهاء ذلك التخصيص. وإذا شغل كائن جديد المنطقة نفسها لاحقًا، فقد يظل فحص الحدود ناجحًا. يكون المؤشر معقولًا مكانيًا لكنه متقادم زمنيًا. ويوضح هذا التمييز لماذا لا تؤدي إزالة عمليات الوصول خارج الحدود تلقائيًا إلى إزالة أخطاء الاستخدام بعد التحرير.

للعقد المعني أبعاد عدة. فالسلامة المكانية تقيد نطاق العناوين. وتقيد الأذونات عمليات مثل القراءة والكتابة. ويقيد المنشأ وعدم قابلية التزوير كيفية إنشاء السلطة. وتقيد السلامة الزمنية ما إذا كانت تلك السلطة لا تزال تشير إلى كائن حي. وقد تفرض سياسة التطبيق قيودًا إضافية، مثل تحديد المستند الذي يجوز للمستخدم تحريره. لذا فإن قدرة الذاكرة تمثل طبقة واحدة من السلطة، وليست بديلًا عن كل قرار تخويل في النظام.

تفصل الأبحاث الأصلية بين هذه الطبقات

تصف ورقة CHERI عن التقسيم إلى حجرات معمارية هجينة للقدرات تدعم سلطة أدق تفصيلًا وحدودًا بين الحجرات البرمجية. ويعالج Cornucopia السلامة الزمنية لكُوَم CHERI من خلال تصميم يتمحور حول الإبطال. ويحدد تقرير الإصدار التاسع من معمارية مجموعة التعليمات سلوك القدرات المعماري وخيارات تمثيلها بتفصيل أكبر بكثير.

ينبغي ألا تُختزل هذه المصادر في الادعاء بأن وسم القدرة وحده يحل جميع أخطاء الذاكرة. فالأعمال المتعلقة بالسلامة الزمنية موجودة لأن إدارة العمر تستلزم آليات إضافية. وبالمثل، فإن مواصفة الفحوص المعمارية لا تثبت وحدها سلامة كل مخصِّص أو واجهة دوال خارجية أو مكوّن موروث يحيط بتلك الفحوص. نستخدم سجل قدرات مثاليًا عمدًا لإظهار التزامات الإثبات المختلفة قبل النظر في أي تنفيذ بعينه. [1], [2], [3]

سجل قدرات مثالي

تُمثَّل القدرة بعنوان أساس وطول ومجموعة أذونات وجيل تخصيص. وتوفر عملية الذاكرة عنوانًا وطول وصول وإذنًا مطلوبًا. ويتحقق المحمول المكاني من أن كامل المجال الذي يجري الوصول إليه يقع داخل مجال القدرة. ويتحقق محمول السلطة من الإذن. ويقارن المحمول الزمني الجيل المسجل بجيل التخصيص الحي.

هذا السجل تجريد تفسيري، وليس ترميزًا حرفيًا لقدرة CHERI. وعلى وجه الخصوص، أُدخل حقل الجيل لنمذجة أحد فحوص العمر الممكنة، لا للادعاء بأن المعمارية تنفذ هذا المخطط بعينه. ويتيح فصل المحمولات للملحق ذي النطاق المحدود اختبار كل إخفاق على حدة. فالقراءة خارج الحدود، والكتابة بسلطة مقتصرة على القراءة، والوصول بجيل متقادم، ضوابط سلبية مختلفة.

المثال الشاهد على المؤشر المتقادم

خصِّص الكائن A في منطقة حجمها ستة عشر بايتًا بجيل أول، وأصدر قدرة له. حرِّر A، ثم خصِّص الكائن B في المنطقة نفسها بجيل ثانٍ. تظل القدرة القديمة تعيّن نطاق عناوين يحتوي على B. يقبل مدقِّق يعتمد على الحدود وحدها الوصول من خلالها؛ ويرفضه المدقِّق التوضيحي المراعي للأجيال.

لا يثبت المثال الشاهد أن كل مخطط أجيال كافٍ. فقد يلتف عدّاد الأجيال المحدود، وقد ينشأ تنافس بين الإبطال والوصول أثناء التنفيذ المتزامن، وقد توجد قدرات منسوخة في أماكن لا يستطيع المخصِّص فحصها. لكنه يثبت نقطة أضيق: الاحتواء المكاني وحده لا يستطيع التمييز بين عمرين يشغلان البايتات نفسها. ويجب أن يوضح أي ضمان زمني مُدّعى الآلية التي تمنع السلطة المتقادمة من أن تصبح صالحة مجددًا بعد إعادة الاستخدام.

رتابة السلطة تجعل التفويض قابلًا للفحص

يتيح نهج مفيد لضبط القدرات اشتقاق سلطة أضعف من سلطة أقوى، بتضييق النطاق أو إزالة الأذونات. وينبغي ألا يستطيع مكوّن مُنح شريحة للقراءة فقط إنشاء إذن كتابة أو توسيع الشريحة لتشمل الكائنات المجاورة. وتتيح هذه الرتابة الاستدلال الموضعي بشأن التفويض.

ومع ذلك، يجب على البرمجيات المحيطة اختيار الحدود الأولية المناسبة. فقد تسمح قدرة تشمل تخصيصًا كبيرًا كاملًا بوصول خاطئ من كائن فرعي منطقي إلى آخر، ما لم ينشئ النظام قدرات مشتقة ضيقة بما يكفي أو يفرض قواعد لغوية إضافية. وقد تحد مسارات التوافق التي تحتفظ بسلطة واسعة أيضًا من الحماية العملية. لذا يقيس التقييم المناسب عمليات الوصول التي تُقيَّد فعليًا ودقة تقييدها، بدلًا من الاكتفاء بعدّ المؤشرات التي تستخدم تمثيلًا قائمًا على القدرات. [1], [3]

يستلزم الإبطال عملًا وتنسيقًا

يتطلب إبطال السلطة وسيلة ما لمنع الاستخدام المستقبلي للمراجع القديمة. وقد تؤخر الاستراتيجيات الممكنة إعادة الاستخدام، أو تتتبع الأعمار، أو تفحص القدرات التي يمكن الوصول إليها، أو تجمع بين آليات متعددة. وتغيّر كل منها التكاليف والافتراضات. ويقلل مخطط تأخير إعادة الاستخدام من فرص إعادة الاستخدام الفوري، لكنه لا يثبت بذاته أن مرجعًا متقادمًا قد اختفى بعد مهلة اعتباطية.

تنبع صلة Cornucopia بالموضوع من تعامله مع الحماية الزمنية بوصفها آلية نظام تشمل مخصِّصًا وسير عمل للإبطال. ولا تعيد مراجعتنا إنتاج نتائج أدائه. بل تطرح الأسئلة القابلة للتعميم: متى تكون المنطقة المحررة آمنة لإعادة الاستخدام، وما حالات التنافس الممكنة أثناء الانتقال، وأي ذاكرة تُفحص أو تُتتبَّع، وماذا يحدث إذا عجز الاسترداد عن مواكبة ضغط التخصيص؟ تحدد هذه الأسئلة السلامة وسلوك الموارد معًا. [2]

عبء الوسوم ليس سوى جزء من تكلفة الذاكرة

إذا خزّن نظام مثالي بت وسم إضافيًا واحدًا لكل g بايتات من البيانات، فإن النسبة الخام للوسوم إلى البيانات تساوي واحدًا مقسومًا على حاصل ضرب ثمانية في g. وعندما تساوي g ستة عشر بايتًا، تكون النسبة 0.78125 بالمئة. يغيّر الشكل الأول حجم الحبيبة لإظهار هذه العلاقة الحسابية الأولية.

لا يمثل ذلك العبء الكلي لـ CHERI أو لأي آلة أخرى قائمة على القدرات. فقد تهيمن المؤشرات الأعرض، والمحاذاة، والبيانات الوصفية، وتنظيم الذاكرة المخبئية، وتصميم متحكم الذاكرة، والتخطيط البرمجي على التكلفة المادية أو تغيّرها. وينطوي تمثيل القدرات المضغوط أيضًا على قواعد لقابلية التمثيل لا تنمذجها الصيغة التوضيحية. ولا يكون هذا الحساب مفيدًا إلا إذا وُصف بأنه التخزين الخام للوسوم. أما تقديمه بوصفه عبء ذاكرة النظام كاملًا فيخلط بين حقل ظاهر واحد والتصميم بأكمله.

يفرض الحجر ميزانية تساوي المعدل مضروبًا في الزمن

لنفترض أن الذاكرة المحررة تدخل حجرًا إلى أن تتمكن عملية استرداد من إتاحتها بأمان. إذا حُررت الذاكرة بمعدل ثابت r بايتات في الثانية، وكان متوسط البقاء في الحجر W ثانية، فإن المقدار المحتفظ به يساوي تقريبًا rW بايتات في نموذج تدفق مستقر. وعند معدل 100 مليون بايت في الثانية وزمن عشرة أجزاء من الألف من الثانية، يكون ذلك مليون بايت.

يغيّر الشكل الثاني r وW، مع إغفال تجزؤ المخصِّص والتدفقات الاندفاعية عمدًا. فقد يولّد اندفاع تراكمًا لحظيًا أكبر بكثير مما توحي به صيغة المتوسط. وإذا انخفضت إنتاجية الاسترداد عن معدل الوصول، فقد لا يوجد متوسط لحالة مستقرة. لذا ينبغي أن تعرض دراسة النشر ذروة الذاكرة المحتفظ بها، وديناميات التراكم، وزمن كمون التخصيص، إلى جانب الشرط الذي يجيز إعادة الاستخدام. ولا يعوّض انخفاض متوسط العبء عن قاعدة استرداد غير آمنة.

تظل حدود اللغات والشيفرة الخارجية مهمة

قد تتفاعل لغة آمنة الذاكرة مع شيفرة أصلية غير آمنة، أو مخازن أجهزة مؤقتة، أو إجراءات تسلسل، أو شيفرة تجميع مكتوبة يدويًا. وقد يقيّد نظام القدرات بعض الأخطاء الناتجة، لكن يجب أن تحافظ الواجهة الفاصلة على السلطة المقصودة. إن تمرير قدرة واسعة إلى مكوّن مساعد، مع توقع بقاء سياسة تطبيق ضيقة نافذة، قرار سياساتي يستلزم المراجعة.

وبالمثل، لا تتحقق سلامة الذاكرة من المعنى الوظيفي لحقل طول، ولا تمنع خطأ منطقيًا في التحكم في الوصول، ولا تثبت تنفيذًا بزمن ثابت. فهذه خصائص منفصلة. وتحصر خطة ترحيل مفيدة المواضع التي تُوسَّع فيها السلطة أو تُحوَّل أو تُشارَك أو يُحتفَظ بها عبر أعمار مختلفة. ثم تقيّم التوافق والأداء في تلك المسارات، بدلًا من افتراض أن نجاح البناء يعني اكتمال التحول الأمني.

تقييم بضوابط سلبية مستقلة

يبدأ التقييم المقترح بانتهاكات مكانية وانتهاكات للأذونات وانتهاكات زمنية يمكن ملاحظتها بصورة مستقلة. ويشمل الكائنات الفرعية المتجاورة، وعمليات الوصول ذات الطول الصفري وعند الحدود، والمراجع المتقادمة بعد إعادة استخدام العنوان، والتحرير والوصول المتزامنين، وإعادة استخدام الأجيال في أي مخطط يستخدم معرّفات محدودة. ويجب أن تظل عمليات الوصول المشروعة صالحة تحت الاختبارات نفسها.

بالنسبة إلى العتاد الحقيقي، يجب تسجيل معمارية مجموعة التعليمات الدقيقة، ونمط المترجم، والمخصِّص، وإعداد الإبطال، ونسبة الشيفرة الموروثة. ويجب الإبلاغ عن الإخفاقات التي تظل خارج نطاق التغطية. ولا ينفذ الملحق المحلي إلا مدقِّق السجل المثالي والمثال الشاهد على إعادة استخدام العنوان. والغرض منه جعل هذه الفروق قابلة لإعادة الإنتاج، لا الادعاء بتحسن أمني مقاس أو بنموذج كامل لتنفيذ قدرات مستخدم في الإنتاج.

الخلاصة: التصريح بضمان العمر بوضوح

توفر القدرات وسيلة قوية لجعل السلطة ملموسة وتقييد انتشارها. وتتضح مساهمتها أكثر عند فصل الخصائص المُدّعاة: الحدود، والأذونات، وعدم قابلية التزوير، وحدود الحجرات، وسلامة العمر. ولا ينبغي أن تحل نتيجة تخص أحد هذه الأبعاد ضمنيًا محل النتائج المتعلقة بالأبعاد الأخرى.

يوضح المثال الشاهد على المؤشر المتقادم المعلومات الناقصة في فحص يعتمد على الحدود وحدها. وتبيّن الأشكال الحسابية لماذا تنشئ الحماية الزمنية أيضًا التزامات تتعلق بالموارد. لذا يجمع الادعاء الدقيق بشأن النظام بين الإنفاذ المعماري ودلالات المخصِّص والاسترداد، ويسمي الواجهات المتبقية التي يُفترض الوثوق بها، ويعرض تكاليف نمط الحماية نفسه الذي خضع للتقييم فعليًا.

نُفِّذ محليًا · نطاق محدود

الحدود والأذونات والعمر وفق نموذج أجيال مثالي

أعداد صحيحة رياضية ونموذج أجيال مثالي، وليس محاكيًا لـ CHERI.

اجتاز 4 من التأكيدات الاختبار. تتحقق هذه الفحوص من المثال المقدم، لا من النظم المستشهد بها.

{
  "reused_address": 4,
  "old_generation": 1,
  "live_generation": 2
}

نزّل جميع الأمثلة القابلة للتنفيذ وعددها 20اقرأ نتائج الفحوص كاملة

نموذج تحليلي مُعلَن

أربع معادلات وافتراضات صريحة

أمثلة مُنشأة · بيانات قابلة لإعادة الإنتاج

افحص الحجة الكمية

حُسبت هذه المنحنيات من النماذج المعلنة. وليست مشاهدات من الدراسات المستشهد بها. ويتضمن كل شكل بياناته الرقمية ونسخته المتجهية.

تنزيل CSVتنزيل مصدر SVGإعادة الإنتاج باستخدام Python

تنزيل CSVتنزيل مصدر SVGإعادة الإنتاج باستخدام Python

أي الأدلة يجيب عن أي سؤال؟

بروتوكول تحقق مقترح

هذا تصميم تقييم مقترح. لم يُجرَ أي اختبار معياري لنظام إنتاجي أو عتاد. وتوثَّق النماذج المحدودة التي نُفِّذت بصورة منفصلة في الفحوص القابلة للتنفيذ.

1. اختبر بصورة منفصلة عمليات الوصول الصالحة، والخارجة عن الحدود، والمرفوضة بسبب الأذونات، والمتقادمة من حيث العمر.
2. أدرج مثالًا شاهدًا على إعادة استخدام العنوان يقبله خطأً مدقِّق يعتمد على الحدود وحدها.
3. تحقق من رتابة تضييق النطاق وإزالة الأذونات.
4. راجع التفاف المعرّفات المحدودة وحالات التنافس في الإبطال المتزامن في أي تصميم ملموس.
5. قِس تراكم الحجر، وذروة الذاكرة، وزمن كمون التخصيص في ظل الاندفاعات.
6. احصر حدود الشيفرة الخارجية والمخصِّص والأجهزة والسلطة الموروثة.

ما تثبته المصادر الأولية

حدود هذا التحليل

• النموذج القابل للتنفيذ تفسيري ولا يحاكي تعليمات CHERI.
• تستبعد صيغة الوسوم الخام المؤشرات الأعرض والمحاذاة والمخابئ وعبء التنفيذ المادي.
• تفترض صيغة الحجر معدلات مستقرة ولا تثبت استردادًا آمنًا.
• لم يُجرَ أي اختبار أمني للعتاد أو اختبار معياري للأداء لـ CHERI أو Cornucopia.

مراجعة تحليلية مركزة لثلاثة مصادر أولية تأسيسية مختارة، تتضمن أمثلة أصلية محلولة. وليست مسحًا شاملًا أو منهجيًا للأدبيات حتى 2026. وتُسجَّل ملاحظات الوصول إلى المصادر وإصداراتها مع قائمة المراجع.

أسئلة قد تغيّر الخلاصة

1. ما مستوى الدقة الذي تُقيَّد به عمليات الوصول الفعلية: التخصيص أم الكائن أم الكائن الفرعي؟
2. ما الأدلة التي تجعل إعادة الاستخدام آمنة بعد الإبطال في ظل التزامن؟
3. أي مسارات توافق تحتفظ بسلطة أوسع من سياسة الحجرات المقصودة؟

المراجع

1. Robert N.M. Watson, Jonathan Woodruff, Peter G. Neumann et al.. CHERI: A Hybrid Capability-System Architecture for Scalable Software Compartmentalization. 2015 IEEE Symposium on Security and Privacy (2015). 10.1109/sp.2015.9.
2. Nathaniel Wesley Filardo, Brett F. Gutstein, Jonathan Woodruff et al.. Cornucopia: Temporal Safety for CHERI Heaps. 2020 IEEE Symposium on Security and Privacy (SP) (2020). 10.1109/sp40000.2020.00098.
3. Robert N. M. Watson, Peter G. Neumann, Jonathan Woodruff et al.. Capability Hardware Enhanced RISC Instructions: CHERI Instruction-Set Architecture (Version 9). University of Cambridge Technical Report UCAM-CL-TR-987 (2023). 10.48456/tr-987.

الوصول إلى المصدر [1]. السجل الأولي والملخص ونصوص مختارة متاحة؛ وليس تدقيقًا شاملًا للنص الكامل أو المواد التكميلية.

الوصول إلى المصدر [2]. السجل الأولي والملخص ونصوص مختارة متاحة؛ وليس تدقيقًا شاملًا للنص الكامل أو المواد التكميلية.

الوصول إلى المصدر [3]. السجل الأولي والملخص ونصوص مختارة متاحة؛ وليس تدقيقًا شاملًا للنص الكامل أو المواد التكميلية.

جرت مطابقة الهويات الببليوغرافية مع Crossref وسجلات الناشرين الأصليين أو المؤلفين أو المؤسسات. وتصف ملاحظات الوصول إلى المصادر وإصداراتها أدناه النطاق؛ وهذا ليس تدقيقًا شاملًا للنصوص الكاملة.

التأليف والمنشأ

كتبه وراجعه تقنيًا مراجعة ذاتية Codex، وهو ذكاء اصطناعي. تحدد المراجع الباحثين الأصليين؛ وتُنسب التركيبات التحليلية وتصاميم التقييم المقترحة إلى هذا المقال.

الأغلفة رسوم مفاهيمية من ImageGen. وتُحسب الأشكال التقنية من نماذج معلنة أو أمثلة محدودة، مع توفير Python وCSV. وليست قياسات لمنتجات منشورة أو اختبارات معيارية للأداء أُعيد إنتاجها.

لا توجد لهذه المسودة المحلية سجلات لتحكيم مستقل أو قبول في مجلة. وتفحص الأمثلة القابلة للتنفيذ المحدودة النماذج الصغيرة المذكورة؛ وليست تحققًا صوريًا من النظم المستشهد بها.