Šta su prstenovi privilegija zaštite procesora?

Zaštitni prstenovi CPU-a su strukturni slojevi koji ograničavaju interakciju između instaliranih aplikacija na računaru i osnovnih procesa. Obično se kreću od najudaljenijeg sloja, koji je prsten 3, do najunutrašnjeg sloja, koji je prsten 0, koji se takođe naziva jezgro.

Prsten 0 je srž svih sistemskih procesa. Svako ko može da kontroliše kernel može u osnovi da kontroliše sve aspekte računara. Da bi sprečili zloupotrebu ovog jezgra, arhitekte računarskog sistema ograničavaju interakciju na ovu zonu. Kao takvi, većina procesa kojima može pristupiti korisnik računara je ograničena na Ring 3. Dakle, kako funkcionišu prstenovi za privilegije?

Kako prstenovi privilegija međusobno deluju

Procesi prstena 0 rade u režimu nadzora i tako ne zahtevaju nikakav korisnički unos. Njihovo mešanje može da izazove velike sistemske greške i nerešive bezbednosne probleme. Zbog toga su namerno dizajnirani da budu nedostupni korisnicima računara.

Uzmimo Windows kao primer: pristup procesima Ring 0 od strane Ring 3 je ograničen na nekoliko instrukcija za podatke. Da bi pristupile kernelu, aplikacije u prstenu 3 moraju da naprave vezu kojom upravlja virtuelizovana memorija. Čak i tada, vrlo malom broju aplikacija je to dozvoljeno.

Oni uključuju pretraživače koji zahtevaju pristup mreži i kamere koje treba da uspostave mrežnu vezu. Pored toga, ovi pozivi podataka su izolovani kako bi se sprečilo njihovo direktno mešanje u vitalne sistemske procese.

Neke ranije verzije Windows-a (kao što je Windows 95/98) imale su manje zaštite između prstenova privilegija. Ovo je jedan od glavnih razloga zašto su bili tako nestabilni i skloni greškama. U savremenim sistemima, sigurnost memorije kernela je pojačana specijalizovanim hardverskim čipovima.

Trenutna zaštita Windows kernela memorije od upada

Microsoft je uveo zapanjujuće zaštite za memoriju kernela počevši od Windows 10 verzije 1803.

Među najznačajnijim je bila Kernel DMA zaštita; holistička karakteristika je dizajnirana da zaštiti personalne računare od napada direktnog pristupa memoriji (DMA), posebno onih koji su implementirani preko PCI hot plug-ova. Pokrivenost zaštite je proširena u verziji 1903 da pokrije unutrašnje PCIe portove kao što su M.2 slotovi.

Jedan od glavnih razloga zašto je Microsoft odlučio da obezbedi dodatnu zaštitu ovim sektorima je taj što su PCI uređaji već odmah spremni za DMA. Ova mogućnost im omogućava da čitaju i pišu u sistemsku memoriju bez potrebe za dozvolama sistemskog procesora. Ovo svojstvo je jedan od glavnih razloga zašto PCI uređaji imaju visoke performanse.

Повезан: Šta su računari sa zaštićenim jezgrom i kako se štite od zlonamernog softvera?

Nijanse procesa DMA zaštite

Windows koristi protokole Input/Output Memory Management Unit (IOMMU) da bi blokirao neovlašćene periferne uređaje da obavljaju DMA operacije. Međutim, postoje izuzeci od pravila ako njihovi upravljački programi podržavaju izolaciju memorije koja se izvršava pomoću DMA preslikavanja.

Uz to, i dalje su potrebne dodatne dozvole. Obično će se od administratora OS-a tražiti da obezbedi DMA ovlašćenje. Da bi se dalje modifikovali i automatizovali povezani procesi, IT stručnjaci mogu promeniti DmaGuard MDM smernice da bi se utvrdilo kako će se postupati sa nekompatibilnim drajverima za DMA Remapping.

Da biste proverili da li vaš sistem ima DMA zaštitu jezgra, koristite Bezbednosni centar i pogledajte podešavanja u Detaljima izolacije jezgra u okviru Zaštita pristupa memoriji. Važno je napomenuti da samo operativni sistemi objavljeni kasnije od Windows 10 verzije 1803 imaju ovu funkciju.

Повезан: Windows 11 je mnogo sigurniji od Windowsa 10: evo zašto

Zašto se procesori retko oslanjaju na privilegije prstena 1 i 2

Prstenove 1 i 2 uglavnom koriste drajveri i operativni sistemi za goste. Većina koda na ovim nivoima privilegija je takođe polupromenjena. Kao takav, većina savremenih Windows programa radi kao da sistem ima samo dva nivoa — nivo jezgra i nivo korisnika.

Uz to, aplikacije za virtuelizaciju kao što su VirtualBox i Virtual Machine koriste Ring 1 za rad.

Poslednja reč o privilegijama

Dizajn višestrukih prstenova privilegija nastao je zahvaljujući arhitekturi sistema x86. Međutim, nezgodno je stalno koristiti sve nivoe privilegija Ringa. To bi dovelo do povećanog kašnjenja i problema sa kompatibilnošću.

Kako osloboditi RAM i smanjiti upotrebu RAM-a na Windows-u

Naučite kako da smanjite upotrebu RAM-a na svom Windows računaru, koristeći nekoliko metoda za poboljšanje performansi računara.

Read Next

О аутору