本文介绍了在Linux内核中实现CFI（Control Flow Integrity）以增强安全性，特别是针对Android设备。通过LLVM的CFI实现，防止了间接分支跳转到恶意代码。文章详细讨论了内核模块的挑战、性能影响以及如何为Android设备启用CFI。同时，文中提到了CFI故障的调试方法，如使用KASAN。最后，鼓励新发布的Android arm64设备启用内核CFI来提升安全防护。
LDFLAGS += -plugin-opt=-inline-threshold=0
-plugin-opt=-unroll-threshold=0
注意，禁用单个优化的标志不是稳定 LLVM 接口的一部分，在将来的编译器版本中可能会更改。
在 Linux 内核中实现 CFI
LLVM 的 CFI 实现在每个间接分支之前添加一个检查，以确认目标地址指向一个拥有有效签名的函数。这可以防止一个间接分支跳转到任意代码位置，甚至限制可以调用的函数。由于 C 编译器没有对间接分支强制执行类似限制，函数类型声明不匹配导致了几个 CFI 违规，即使在我们在内核的 CFI 补丁集中解决的内核 4.9 和 4.14 中也是如此。
内核模块为 CFI 添加了另一个复杂功能，因为它们在运行时加载，并且可以独立于内核的其它部分进行编译。为了支持可加载模块，我们在内核中实现了 LLVM 的 cross-DSO CFI 支持，包括用来加速跨模块查找的 CFI 影子。在使用 cross-DSO 支持进行编译时，每个内核模块都会包含有关有效本地分支目标的信息，内核根据目标地址和模块的内存布局从正确的模块中查找信息。
[
](https://user-gold-cdn.xitu.io/2018/12/17/167bad5fd0ab06a0?w=1600&h=697&f=png&s=215332)
图 3. 注入 arm64 内核的 cross-DSO CFI 检查示例。类型信息在 X0 中传递，目标地址在 X1 中验证。
CFI 检查会给间接分支增加一些开销，但由于更积极的优化，我们的测试表明影响很小，在很多情况下整体系统性能甚至提高了 1-2%。
为 Android 设备启用内核 CFI
arm64 中的 CFI 需要 clang 版本 >= 5.0 并且 binutils >= 2.27。内核构建系统还假定 LLVMgold.so
最低0.47元/天 解锁文章
1196
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
