关于在64位系统中进行内核内存隔离保护的问题

amarant

mordorw 发表于 2012-11-05 09:18
那只有连续的映射(线性映射)才有这个障碍。
实际上，只有驱动才需要(线性映射)。象内核的数据结构，比 ...

你确定只有驱动需要线性映射吗？
据我所知，驱动访问IO口是通过ioremap，恰好是通过非线性映射的。
那么你认为线性映射的作用是什么呢？为什么要把大多数的地址用做线性映射呢？
既然把大多数的地址用做线性映射，那为什么你觉得大部分时候都在使用非线性映射的地址呢？
而且，再据我所知，在非线性映射的地址管理中，即vmalloc区域，已经使用了内存页分割的机制。

mordorw

amarant 发表于 2012-11-05 21:27
你确定只有驱动需要线性映射吗？
据我所知，驱动访问IO口是通过ioremap，恰好是通过非线性映射的。
那 ...

我的看法，线性映射效率高点（当然内核启动可能还是需要线性映射，但是像启动之后的部分可以不使用线性映射）
但是可靠性往往比性能更为重要，且性能往往可以通过硬件发展来提升。所以使用 非线性映射+空洞页 来隔离内存区域



正如你所说，vmalloc区域正是这么做的。

是否可以把vmalloc区域的这个做法进行推广。

即便是使用了线性映射，那么像内核栈、thread_info这样的东西也可以使用空白页面隔离来保护内核栈等关键数据结构，为了系统的可靠性和可维护性，浪费一点便宜的物理内存真不算什么

大拿, 你怎么看

懂医术的厨师

回复 12# mordorw

至少在目前kernel的实现中，线性映射部分，虚拟地址有hole就意味着物理内存的浪费
再讨论就是上升到学院派和工程派的争论了，没意思。
   

amarant

mordorw 发表于 2012-11-06 09:23
我的看法，线性映射效率高点（当然内核启动可能还是需要线性映射，但是像启动之后的部分可以不使用线 ...

其实还有一个可能性，你可能没有考虑到。在直接映射的这些地址中，并不是只有内核才访问他们的。如果按照你这么实现的话，那么用户分配物理地址将会非常纠结。对不对？
关于你说的安全性，其实那样做并不会不安全。因为栈溢出第一结果就是把threadinfo给覆盖了。那么很容易就panic了。
非大拿，一点拙见，还请指正

mordorw

amarant 发表于 2012-11-06 20:39

其实还有一个可能性，你可能没有考虑到。在直接映射的这些地址中，并不是只有内核才访问他们的。如果按 ...

那就把敏感数据区的物理内存锁死，不给用户进程用

越界踩到thread_info可能不会立马就panic，你可以做个试验看。如果总是立马就panic，就不需要讨论这个话题了

amarant

回复 15# mordorw


如果把thread_info都冲了，要设隔断区干吗呢？这种情况是一定不能发生的。一般来说thread_info冲了，因为访问这个进程的数据就是根据这个基础上的。不出意外是很快就panic了。如果没有的话，就算有隔断区，难道能让危险减少一点吗？还不如把隔断区用来扩大栈的空间呢。你觉得呢？

mordorw

目的不是去减少危险，而是去实时地检测到错误的发生