CN105354155A - 一种基于页表检查机制的存储器访问权限控制方法 - Google Patents

Abstract

本发明涉及一种基于页表检查机制的存储器访问权限控制方法，将页表装填进入代换缓冲时，对页表条目的物理页号和访问权限控制信息进行合法性检查，将检查结果作为页表条目的内容一起写入代换缓冲；当指令流或数据流存储器访问命中代换缓冲，如果页表条目的检查结果是非法的，则触发代换缓冲安全故障，硬件保存现场后，跳到代换缓冲安全故障特权入口程序进行处理，并禁止继续访问存储器。本发明能够避免因为页表条目遭到恶意修改而授权一些非法越权访问所引发的安全风险和漏洞。

Description

一种基于页表检查机制的存储器访问权限控制方法

技术领域

本发明涉及微处理器微结构技术领域中的存储器安全访问技术，特别是涉及一种基于页表检查机制的存储器访问权限控制方法。

背景技术

现代微处理器一般都支持分页式存储管理，通过硬件和操作系统协同实现虚拟存储系统。在分页式存储管理中，将程序的虚地址空间和物理地址空间都划分为同样大小的页面(可能有多种页面粒度)，利用页表记录虚地址页号与物理页号之间的映射关系，实现从虚地址到物理地址的代换。为了克服采用分页式存储管理引起的访问存储器器次数增加的缺点，在微处理器中硬件实现地址代换缓冲(TranslationLook-asideBuffer，TLB)，保存最近经常使用的页表信息，也称为“页表条目(PageTableEntry，PTE)”，以实现快速的虚实地址代换，避免多次访问存储器。

为了实现对存储器的访问权限控制，一般会对微处理器设置多种运行模式，如特权模式、虚拟机模式、内核模式、用户模式等，并设置相应的访问权限，如：可读、可写、可执行等。这些访问权限控制信息也作为页表条目的一部分，在利用页表进行虚实地址地址代换时，进行访问权限检查，如果合法可以根据访问的虚地址得到相应的物理地址，否则作为一种非法越权访问，禁止继续访问。

但是，现有存储器访问权限控制机制中，没有对页表条目本身的合法性进行检查，认为页表条目本身是安全可信的。但实际上，页表条目主要由操作系统进行管理，而操作系统本身并不一定是安全可信的，如果操作系统由于某种漏洞受到攻击，就可能对页表进行恶意修改。如果页表条目本身遭到恶意修改，对一些非法越权访问进行了授权，现有存储器访问权限控制机制就难以应对，会出现安全风险和漏洞。

发明内容

本发明所要解决的技术问题是提供一种基于页表检查机制的存储器访问权限控制方法，能够避免因为页表条目遭到恶意修改而授权一些非法越权访问所引发的安全风险和漏洞。

本发明解决其技术问题所采用的技术方案是：提供一种基于页表检查机制的存储器访问权限控制方法，将页表装填进入代换缓冲时，对页表条目的物理页号和访问权限控制信息进行合法性检查，将检查结果作为页表条目的内容一起写入代换缓冲；当指令流或数据流存储器访问命中代换缓冲，如果页表条目的检查结果是非法的，则触发代换缓冲安全故障，硬件保存现场后，跳到代换缓冲安全故障特权入口程序进行处理，并禁止继续访问存储器。

所述合法性检查是指通过特权软件设置物理地址界标，将物理地址空间划分为多个不同的区间，结合处理器模式设置不同的存储访问权限，以实现预期的存储器访问权限分级分域管理策略；在装填代换缓冲时，先判断装填代换缓冲的页表条目物理页号所在物理地址区间，再判断页表条目的读写访问权限是否符合预期的存储器访问权限分级分域管理策略，如果不符合预期则检查结果为非法。

所述代换缓冲安全故障特权入口程序是通过代换缓冲条目刷新的方式，将非法的代换缓冲页表条目清除，并禁止继续访问存储器。

所述检查结果采用1位或多位编码进行表示，具体编码方式与预期的存储器访问权限分级分域管理策略设计相关。

所述物理地址界标保存在微处理器内部控制状态寄存器中，仅特权软件能够访问内部控制状态寄存器，并进行配置修改；所述物理地址界标根据预期的存储器访问权限分级分域管理策略进行灵活配置，根据分级分域管理策略的具体需求进行设置。

所述预期的存储器访问权限分级分域管理策略根据处理器运行模式进行设置，或根据虚拟机号和/或用户进程号进行设置。

所述特权软件独立于操作系统，位于操作系统和硬件之间，具有最高特权，是微处理器系统基本的可信根，采用多种软硬件安全机制来保证该特权软件是安全可信的。

有益效果

由于采用了上述的技术方案，本发明与现有技术相比，具有以下的优点和积极效果：本发明在现有基于页表访问权限检查机制进行存储器访问权限控制的基础上，新增了对页表条目本身合法性的检查，即在将页表装填进入TLB时，对页表条目的物理页号PFN和访问权限控制信息进行合法性检查，主要是检查页表条目内容与设计预期的存储器访问权限管理策略是否一致，如果不一致则认为页表条目是非法的，禁止继续访问，可以有效防止因为页表条目遭到恶意修改而授权一些非法越权访问所引发的安全风险和漏洞。

附图说明

图1是数据TLB(简称DTB)页表条目的内容示意图；

图2是DTB装填相关的微处理器内部控制状态寄存器示意图；

图3是页表条目物理地址界标的示意图；

图4是根据物理地址界标对物理地址空间划分示意图；

图5是页表条目的物理页地址范围检查流程图；

图6是数据流访问DTB进行地址代换与装填流程示意图。

具体实施方式

下面结合具体实施例，进一步阐述本发明。应理解，这些实施例仅用于说明本发明而不用于限制本发明的范围。此外应理解，在阅读了本发明讲授的内容之后，本领域技术人员可以对本发明作各种改动或修改，这些等价形式同样落于本申请所附权利要求书所限定的范围。

本发明的实施方式涉及一种基于页表检查机制的存储器访问权限控制方法，将页表装填进入代换缓冲时，对页表条目的物理页号和访问权限控制信息进行合法性检查，将检查结果作为页表条目的内容一起写入代换缓冲；当指令流或数据流存储器访问命中代换缓冲，如果页表条目的检查结果是非法的，则触发代换缓冲安全故障，硬件保存现场后，跳到代换缓冲安全故障特权入口程序进行处理，并禁止继续访问存储器。

其中，所述合法性检查是指通过特权软件设置物理地址界标，将物理地址空间划分为多个不同的区间，结合处理器模式设置不同的存储访问权限，以实现预期的存储器访问权限分级分域管理策略；在装填代换缓冲时，先判断装填代换缓冲的页表条目物理页号所在物理地址区间，再判断页表条目的读写访问权限是否符合预期的存储器访问权限分级分域管理策略，如果不符合预期则检查结果为非法。所述代换缓冲安全故障特权入口程序是通过代换缓冲条目刷新的方式，将非法的代换缓冲页表条目清除，并禁止继续访问存储器。

所述的页表条目的内容，除了常见的虚页号、物理页号、存储器访问权限等信息外，新增了对页表条目的物理页号PFN和访问权限控制信息进行合法性检查的结果信息，该结果信息可以是1位，也可以是多位编码表示，可以根据具体需求进行设置，与预期的存储器访问权限分级分域管理策略设计相关。物理地址界标保存在微处理器内部控制状态寄存器中，仅特权软件可以访问内部控制状态寄存器，并进行配置修改。物理地址界标可以根据预期的存储器访问权限分级分域管理策略进行灵活配置，可以根据分级分域管理策略的具体需求进行设置，具体数量不限，可以为1个，也可以为多个。预期的存储器访问权限分级分域管理策略与设计需求相关，可以根据需求设计相应的管理策略。除了根据处理器运行模式进行管理策略设置外，还可以根据虚拟机号、用户进程号等进行管理策略设置。比如可以根据虚拟机号，为不同的虚拟机设计相应的存储器访问权限管理策略，实现不同虚拟机之间的安全隔离；还可以根据用户进程号为不同用户进程设计相应的存储器访问权限管理策略，实现不同用户进程之间的安全隔离；还可以结合处理器模式、虚拟机号、用户进程号等的组合，实现多种组合的存储器访问权限分级分域管理策略，满足不同设计需求。其中，所述特权软件独立于操作系统，位于操作系统和硬件之间，具有最高特权，是微处理器系统基本的可信根，采用多种软硬件安全机制来保证该特权软件是安全可信的。

根据设计需求，设计预期的存储器访问权限分级分域管理策略，该策略只能通过位于操作系统和硬件之间的特权软件进行设置，操作系统不可对该特权软件进行修改。为了实现预期的存储器访问权限管理策略，设置一组物理地址界标，将物理地址空间划分为多个不同的区域，针对各种处理器模式等，设置相应的访问权限。根据物理地址界标和访问权限设置，将页表条目PTE装填进入TLB时，对页表条目的物理页号PFN和访问权限控制信息进行合法性检查，将检查的结果信息BD(BD位为1表示页表条目非法)写入页表条目PTE中。当以虚地址访问存储器时，先访问TLB，如果命中TLB条目(不命中时需要进行TLB装填)，除了根据PTE的访问权限控制信息进行合法性检查外，还需检查BD位是否为1，如果为1，则禁止进一步访问，并触发TLB安全故障异常，进入特权程序进行异常处理，特权程序在退出TLB安全故障异常处理程序之前，将通过TLB条目刷新的方式，将BD位为1的TLB页表条目清除。如果BD位为0，将允许合法的访问完成虚实地址代换，进行存储器访问。

下面以一个具体的实施例来进一步说明本发明。在现代微处理器中，一般将TLB分为指令TLB和数据TLB(简称DTB)，下面将以数据流访问(数据TLB)进行说明，指令流访问类似，不再赘述。

图1为数据TLB(简称DTB)页表条目的内容，每个条目主要包含虚页号VPN、物理页号PFN、页面粒度GH、访问权限、虚拟机号VPN、用户进程号UPN、系统空间标志KS、页表条目装填检查异常标志BD、有效位Valid，其中访问权限根据不同的处理器模式进行具体设置。

图2为DTB装填相关的微处理器内部控制状态寄存器(CSR)，CSR均为64位(RSV为保留域)，包括CSR:DTB_TAG、DTB_PTE、DTB_PCR。CSR：DTB_TAG为DTB的虚页号写寄存器，DTB_PTE为DTB的PTE写寄存器，CSR：DTB_PCR为DTB进程控制寄存器，用于设置DTB装填和刷新时的虚拟机号、用户进程号等信息。

图3为页表条目物理地址界标ADDR_A和ADDR_B的控制状态寄存器(CSR)，CSR:DTB_BOUND为DTB物理地址界标寄存器，供DTB装填时使用，该寄存器为64位(RSV为保留域)，包含1位有效位Valid，表示是否对待装填页表进行检查，15位高地址访问越界界标ADDR_A，15位低地址访问越界界标ADDR_B，均以MB为单位。

对于数据流访问(参见图6)，访问数据Cache前都需要访问DTB，进行虚实地址代换，以虚地址VA查询DTB,具体流程如下：

1)如果不命中DTB，发生DTB脱靶故障(DTBMiss)，硬件自动保存相关现场，然后触发精确异常，跳到DTB脱靶故障特权入口程序进行处理，并装填DTB，转2)，如果命中DTB则转4)。

2)装填DTB时(相关CSR参见图2)，先将虚页号VPN写入CSR：DTB_TAG，随后写CSR：DTB_PTE寄存器时，再将该寄存器内容以及CSR：DTB_TAG、DTB_PCR[VPN、UPN]，一并写入DTB中，完成PTE条目装填。装填DTB时，如果CSR:DTB_BOUND[Valid]＝1,还要对页表条目PTE的合法性进行检查,如果不合法则置PTE的BD为1，具体检查方法是：利用页表条目的物理页地址范围检查器(参见图5)，根据物理地址界标ADDR_A和ADDR_B，对CSR：DTB_PTE的PFN的范围进行检查，判断物理页号在低区、高区还是普通存储区(参见图4)，如果满足如下任意条件，则为非法PTE，将其BD置为1：

a)物理页号在低区，且CSR：DTB_PTE允许如下访问权限：用户模式可读写或者核心模式可读写位；

b)物理页号在高区，且CSR：DTB_PTE允许如下访问权限：用户模式可写、核心模式可写、虚拟模式可写位或者硬件模式可写；

其中，图4为根据物理地址界标ADDR_A和ADDR_B(参见图3)对物理地址空间划分示意图，界标ADDR_A和ADDR_B将物理地址空间划分为三段，其中低区和高区为两段特殊存储区，低区范围为0字节至(ADDR_B*220-1)字节，高区范围为ADDR_A*220字节至(通用存储空间最大容量MAX–1)字节，ADDR_B*220字节至(ADDR_A*220字节–1)则为普通存储区，通用存储空间最大容量MAX由微处理器实现决定。

图5为页表条目的物理页地址范围检查流程，其主要功能为在装填TLB时，根据物理地址界标ADDR_A和ADDR_B(参见图3)，对页表条目的物理页号范围进行检查，判断物理页号在低区、高区还是普通存储区(参见图4)。

3)DTB装填完毕后，将从相应的特权入口程序返回，重新进行数据流访问(将命中DTB)。

4)DTB命中，且BD位为0，则进行虚实地址代换，得到物理地址PA，继续访问数据Cache，进行数据流访问；如果BD位为1，则产生DTB_ERR安全故障。

5)当发生DTB_ERR安全故障时，硬件保存该条触发异常的指令的地址，数据流虚地址等现场信息后，触发精确异常，跳到DTB_ERR特权入口程序进行处理。DTB_ERR特权入口程序将通过DTB条目刷新的方式，将BD位为1的DTB页表条目清除,无法继续访问存储器，程序中止，从而实现存储器访问权限控制，防止非法的存储器访问。

需要指出的是，物理地址界标ADDR_A和ADDR_B只有特权软件可以通过修改DTB_BOUND来进行配置。装填时判断PTE条目非法的条件与预期实现的存储访问权限控制策略有关，可以根据需求，设计实现更加复杂的存储访问权限控制策略。如果页表条目遭到恶意修改而授权一些非法越权访问，如果不能满足预期的存储访问权限控制策略，将无法继续访问存储器，从而避免由此所引发的安全风险和漏洞。

Claims (7)

1.一种基于页表检查机制的存储器访问权限控制方法，其特征在于，将页表装填进入代换缓冲时，对页表条目的物理页号和访问权限控制信息进行合法性检查，将检查结果作为页表条目的内容一起写入代换缓冲；当指令流或数据流存储器访问命中代换缓冲，如果页表条目的检查结果是非法的，则触发代换缓冲安全故障，硬件保存现场后，跳到代换缓冲安全故障特权入口程序进行处理，并禁止继续访问存储器。

2.根据权利要求1所述的基于页表检查机制的存储器访问权限控制方法，其特征在于，所述合法性检查是指通过特权软件设置物理地址界标，将物理地址空间划分为多个不同的区间，结合处理器模式设置不同的存储访问权限，以实现预期的存储器访问权限分级分域管理策略；在装填代换缓冲时，先判断装填代换缓冲的页表条目物理页号所在物理地址区间，再判断页表条目的读写访问权限是否符合预期的存储器访问权限分级分域管理策略，如果不符合预期则检查结果为非法。

3.根据权利要求1所述的基于页表检查机制的存储器访问权限控制方法，其特征在于，所述代换缓冲安全故障特权入口程序是通过代换缓冲条目刷新的方式，将非法的代换缓冲页表条目清除，并禁止继续访问存储器。

4.根据权利要求1所述的基于页表检查机制的存储器访问权限控制方法，其特征在于，所述检查结果采用1位或多位编码进行表示，具体编码方式与预期的存储器访问权限分级分域管理策略设计相关。

5.根据权利要求2所述的基于页表检查机制的存储器访问权限控制方法，其特征在于，所述物理地址界标保存在微处理器内部控制状态寄存器中，仅特权软件能够访问内部控制状态寄存器，并进行配置修改；所述物理地址界标根据预期的存储器访问权限分级分域管理策略进行灵活配置，根据分级分域管理策略的具体需求进行设置。

6.根据权利要求2所述的基于页表检查机制的存储器访问权限控制方法，其特征在于，所述预期的存储器访问权限分级分域管理策略根据处理器运行模式进行设置，或根据虚拟机号和/或用户进程号进行设置。

7.根据权利要求2或5所述的基于页表检查机制的存储器访问权限控制方法，其特征在于，所述特权软件独立于操作系统，位于操作系统和硬件之间，具有最高特权，是微处理器系统基本的可信根，采用多种软硬件安全机制来保证该特权软件是安全可信的。