Christophe Rippert Université des Sciences et Technologies de Lille Christophe.Rippert@lifl.fr http://www.lifl.fr/~rippert/ Gestion mémoire et protection dans les noyaux de systèmes d exploitation Module ASR4 Lille, le 17 janvier 2005 2/27 Rappels sur les processus Rappels sur les processus Création d un processus fork Appel au noyau du système (kernel/fork.c) Alloue nouvel espace mémoire Crée structure processus Copie code + données processus initial Ajoute nouveau processus file ordonnanceur Deux espaces mémoire séparés Sources Linux en ligne : http://lxr.linux.no/source/ int a = 5; int main() { int pid; printf("père [0x%0X] = %d, ", &a, a); pid = fork(); if (pid) { a = a + 1; printf("père [0x%0X] = %d, ", &a, a); else { a = a * 2; printf("fils [0x%0X] = %d\n", &a, a); return 0; 3/27 4/27
Rappels sur les processus int a = 5; int main() { int pid; printf("père [0x%0X] = %d, ", &a, a); pid = fork(); if (pid) { a = a + 1; printf("père [0x%0X] = %d, ", &a, a); else { a = a * 2; printf("fils [0x%0X] = %d\n", &a, a); return 0; Père [0x402000] = 5, Père [0x402000] = 6, Fils [0x402000] = 10 5/27 6/27 Mémoire virtuelle Mémoire virtuelle La mémoire virtuelle (virtual memory ) Virtualisation de la mémoire par le processeur Adresse virtuelle adresse physique e.g. @ν(a) = 0x402000 et @ϕ(a) = 0x1234 Applications ne voient que adresses virtuelles Traduction transparente par l unité de gestion de la mémoire (Memory Management Unit) Composant intégré au processeur Gère accès aux bus adresses et données, caches mémoire Intérêts Cache fragmentation mémoire Adresses virtuelles consécutives peuvent cacher adresses physiques disparates Pratique quand on parcours une zone fragmentée Processus indépendant de son adresse physique d exécution On peut charger ou déplacer processus où on veut en mémoire Nécessaire pour le va-et-vient 7/27 8/27
Mémoire virtuelle Mémoire virtuelle Le va-et-vient (swapping) PC moyen : 256 Mo de RAM, 80 Go disque dur Augmenter capacité mémoire en utilisant disque dur Décharger sur disque les blocs mémoire non utilisés Stockage sur le disque Intégré système de fichier : e.g. Windows : pagefile.sys Accès bas niveau : e.g. Linux : partition swap Quels blocs décharger? Ex. : blocs pas utilisés récemment (Least-Recently Used) Le va-et-vient (swapping) Décharger un bloc Sélectionner meilleur bloc Copier contenu du bloc sur disque Marquer bloc comme déchargé dans table descripteurs Libérer l espace mémoire du bloc Recharger un bloc (quand il est accédé) Recopier contenu en mémoire... même @ν, pas même @ϕ fortes pénalités exécution si mauvais bloc choisi (déchargements / chargements fréquents) 9/27 10/27 Pagination La pagination de la mémoire Mémoire découpée en pages (= blocs) de taille fixe (e.g. 4 Ko) Mécanisme intégré au processeur (MMU), transparent pour applications MMU gère table des pages (souvent cachée dans TLB) Structure mémoire contenant page : - @ϕ - utilisateur / superviseur - lecture seule / lecture ecriture - déchargée?... 11/27 12/27
Pagination comme moyen de protection? Droits basiques sur page (R/RW, utilisateur/superviseur) Trop bas niveau Espace mémoire d un processus = beaucoup de pages Différence mémoire virtuelle / pagination? : mécanisme simple : @ν @ϕ Mémoire paginée : mécanisme complexe très bas niveau : gestion blocs mémoire et propriétés associées deux mécanismes complémentaires mais indépendants 13/27 14/27 Segmentation Segmentation La segmentation de la mémoire Un segment = ensemble de pages consécutives Découpage de l espace mémoire en unités logiques Une adresse = @ base segment + décalage @ base segment = origine virtuelle des adresses Mécanisme non transparents Prise en compte par le système et les applications Pas toujours possible désactiver (e.g. Pentium) Mécanisme basé sur mémoire virtuelle et paginée Exemple simple : le 8086 Processeur 16 bits ancêtre du Pentium Adressage mémoire segmenté Registres de segments (16 bits) : cs, ds, es, ss Déplacements immédiats ou registres 16 bits (bx, sp, etc.) Adresse virtuelle <seg:off> (e.g. <ds:bx>) Adresse physique = seg 16 + off un segment = 64 Ko @ϕ sur 20 bits (mémoire adressable : 1 Mo) 15/27 16/27
Segmentation Intérêts de la segmentation Structuration logique Un processus = un segment Ou mieux : un processus = un segment code + un segment données Test des bornes Test du type de segment (code, données) Niveaux de protection (e.g. Pentium : anneaux de protection 0-3 inspirés de Multics) 17/27 18/27 Principes de base Isoler les processus les uns des autres Isolation de fautes Processus malveillant La protection (Lampson 1971) Confidentialité : empêcher lectures non autorisées Intégrité : empêcher modifications / destructions non autorisées Disponibilité : empêcher monopolisation ressources Outils de protection Isolation matérielle : segmentation Avantages Fourni par processeur Pas de pénalité intra-segment Inconvénients Isolation totale : pas de flexibilité Mécanismes spécifiques pour appels inter-segments (e.g. tubes, sockets UNIX, etc.) Forte dégradation performances inter-segments 19/27 20/27
Outils de protection Isolation logicielle : verifier chaque accès mémoire dans le code binaire du processus Algorithme (lors création processus) Charger code binaire processus Désassembler code binaire accès mémoire : générer code vérification Code vérification : vérifie adresse bornes segment logique Si adresse / bornes exception de sécurité Sinon : exécution de l instruction Outils de protection Isolation logicielle : inspirée isolation fautes (Anderson, 1993) Implantation pour la protection [03-Rippert-OSR] Avantages Flexibilité totale : implanter vérification voulue Performances inter-segments (150 / isolation matérielle) Inconvénients Surcoût pour tous les accès (y compris intra-segment) optimisation : verification statique instructions contenant adresse comme valeur immédiate 21/27 22/27 Droits d accès Matrice de Lampson Seg1 Seg2 Seg3 Process1 rwx rw r x Process2 rwx r x Process3 rwx Sujets en ligne, objets en colonne Exemple : droits d accès aux fichiers UNIX drwxr-xr-x rippert ens repertoire/ -rw-r----- rippert ens fichier Droits d accès Listes de contrôle d accès Lecture matrice en colonnes objet, on liste les droits des sujets Très utilisées : Linux, Windows, etc. Capacités Lecture matrice en colonnes sujet, on liste les droits qu il possède sur les objets Peu utilisées : systèmes spécifiques (e.g. Amoeba) 23/27 24/27
La protection au cœur des architectures de noyaux Noyaux monolithiques (e.g. Linux, BSD, etc.) intégrée architecture noyau Micro-noyau (e.g. Chorus, Mach, etc.) Services complémentaires protégés par isolation matérielle IPC coûteux peu succès Exo-noyau (e.g. Camille, VMWare ESX, etc.) resources dissociée gestion par nano-noyau Permet construction systèmes flexibles (e.g. configurables, reconfigurables, extensibles, etc.) Gestion flexible de la protection [03-Rippert-PhD] ne compromet pas flexibilité Pas de contraintes sur politique de protection Pas de contrainte sur implantation des services elle-même flexible Permettre évolution dynamique politique Fournir mécanismes protection neutres Séparation systématique gestion politique / outils mise en œuvre 25/27 26/27 Quelques références Remplacement de pages mémoire (A. S. Tanenbaum, Modern Operating Systems, 2nd edition) http://www.iut-info.univ-lille1.fr/~rippert/pages.pdf Isolation logicielle (C. Rippert, Operating System Review, Oct. 2003) http://www.lifl.fr/~rippert/03-rippert-osr.pdf Amoeba (A. S. Tanenbaum) http://www.cs.vu.nl/pub/amoeba/intro.pdf et flexibilité (C. Rippert, dans les architectures de systèmes flexibles, Thèse de Doctorat, Oct. 2003) http://www.lifl.fr/~rippert/03-rippert-phd.pdf 27/27