NDSS 2025 – BULKHEAD: Безопасная, масштабируемая и эффективная компартментализация ядра с PKS

В статье представлена BULKHEAD, новая техника компартментализации ядра, предназначенная для смягчения последствий уязвимостей в операционных системах. Она решает проблему обеспечения безопасности монолитных ядер, таких как Linux, где одна уязвимость может скомпрометировать всю систему. BULKHEAD использует аппаратную функцию Intel's PKS для создания изолированных отсеков для компонентов ядра, гарантируя взаимное недоверие. Легковесный монитор в ядре обеспечивает соблюдение безопасных инвариантов, таких как целостность данных и целостность интерфейса отсеков. Дизайн включает в себя двухуровневую схему, учитывающую локальность, для обеспечения масштабируемости до большого количества отсеков. Прототип, реализованный на Linux v6.1, компартментализирует загружаемые модули ядра. Оценка демонстрирует эффективность BULKHEAD, показывая низкую производительную нагрузку для реальных приложений. В частности, она составляет примерно 2,44% среднюю нагрузку с 160 компартментализированными LKM. Кроме того, тесты ApacheBench показывают менее 2% нагрузки при фокусировке на определенном отсеке. Производительность практически не зависит от количества отсеков, подчеркивая ее масштабируемость.