NX bit

Počáteční podpora pro NX bit na procesorech x86-64 a x86, které NX bit podporují. Poprvé se objevil v FreeBSD – CURRENT 8 června 2004. Je součástí FreeBSD od verze 5.3.

Jádro Linuxu v současnosti podporuje NX bit na procesorech x86-64 a x86 kde je implementován, tak i současné 64bitové procesory AMD, Intel, Transmeta a VIA. Podpora této funkce v 64bitovém módu u x86-64 procesorů byla přidána v roce 2004 Andim Kleenem, a později téhož roku Ingo Molnár přidal podporu pro 32bitový mód na 64bitových procesorech. Tyto funkce jsou ve stabilním vydání jádra Linuxu 2.6.8 od srpna 2004. Dostupnost v 32bitovém x86 jádře, které může běžet jak na 32bitovém x86 procesoru, tak i na 64bitových x86 kompatibilních procesorech, je významná, protože 32bitové x86 jádro by normálně neočekávalo NX bit, který poskytuje AMD64 nebo IA-64. Záplata NX enabler zajišťuje, že se jádra pokusí použít NX bit pokud je přítomen. Některé desktopové Linuxové distribuce jako je Fedora Core 6, Ubuntu a openSUSE nemají ve výchozím nastavení zapnutou volbu HIGHMEM64, která je potřebná k přístupu k NX bitu v 32bitovém režimu, v jejich výchozí verzi jádra. Důvodem je, že režim PAE, který je potřeba pro NX bit, způsobuje u procesorů před Pentium Pro (včetně Pentium MMX), Celeron M a Pentium M bez podpory NX selhání při bootování. Další procesory, které nepodporují PAE, jsou AMD K6 a starší, Transmeta Crusoe, VIA C3 a starší a Geode GX a LX. VMware Workstation verze starší jak 4.0, Parallels Workstation verze starší jak 4.0, Microsoft Virtual PC a Virtual Server nepodporují PAE na hostovaných operačních systémech. Fedora Core 6 a Ubuntu 9.10 a novější poskytují kernel-PAE balíček, který podporuje PAE a NX. Podpora ochrany paměti (NX) byla vždy dostupná v Ubuntu pro jakýkoli systém, který hardwarově podporuje 64bitové jádro nebo 32bitové serverové jádro. 32bitové desktopové PAE jádro (linux-image-generic-pae) v Ubuntu 9.10 a novější, také poskytuje PAE režim potřebný pro hardware s NX CPU funkcí. Pro systémy, které postrádají NX hardware, 32bitová jádra poskytují přiblížení k NX CPU funkci skrze softwarovou emulaci, která pomáhá blokovat spoustu exploitů, které může útočník spustit ze zásobníku nebo haldy. NX funkce byla také představena pro ostatní ne-x86 procesory, které podporují tuto funkci, v mnoha vydání.

Vývojář Red Hatu Ingo Molnár vydal opravu linuxového jádra nazvanou Exec Shield, která se přibližuje a uplatňuje NX funkci na 32bitových x86 procesorech. Oprava Exec Shield byla vydána a zařazena do seznamu oprav jádra (Linux kernel mailing list) druhého května 2003. Byla odmítnuta, protože zahrnovala rušivé změny kódu jádra, aby jádro zvládlo složité části emulace.

• Podporované procesory: Všechny, na kterých Linux podporuje NX
• Emulace: NX aproximace používající limitovaný segment kódu na IA-32 (x86) a kompatibilní
• Ostatní podporované: Žádné
• Standardní distribuce: Fedora Core a Red Hat Enterprise Linux
• Datum vydání: 2. květen 2003

PaX NX technologie může emulovat NX bit NX funkci, nebo použít hardwarový NX bit. PaX pracuje na x86 procesorech, které nemají NX bit, jako je 32bitový x86. Ačkoli Pax poskytuje úplnější implementaci NX funkce než jeho blízký konkurent Exec Shield, vyžaduje mnohem více změn v jádru Linuxu a může být náchylný k znemožnění běhu zastaralých aplikací. Project PaX byl založen 1. října 2000. Později přidáno do verze 2.6 a stále se vyvíjí. Linuxové jádro stále není distribuováno s PaX (k lednu 2012). Oprava musí být aplikována samostatně.

• Podporované procesory: Alpha, AMD64, IA-64, MIPS (32 a 64 bit), PA-RISC, PowerPC, SPARC
• Emulace: IA-32 (x86)
• Ostatní podporované: PowerPC (32 a 64 bit), SPARC (32 a 64 bit)
• Standardní distribuce: Adamantix, Hardened Gentoo, Hardened Linux
• Datum vydání: 1. října 2000

macOS pro procesory Intel podporuje NX bit na všech procesorech podporovanými společností Apple (od verze 10.4.4 – první vydání pro procesory Intel – do dnes). macOS 10.4 podporoval pouze NX ochranu zásobníku. v macOS 10.5 vše 64bitové má ochranu NX zásobníku a haldy – W^X protection, včetně i386 (Core 2 nebo novější) a PowerPC (pouze G5).

Poprvé na platformě x86 se funkce NX objevila ve Windows XP Service Pack 2 a Windows Server 2003 Service Pack 1. Microsoft Windows používá výlučně NX ochranu pro kritické služby Windows. ve Windows XP nebo Server 2003 je tato funkce nazývána Data Execution Prevention (zkráceně DEP) a může být aktivována na záložce „Upřesnit” ve vlastnostech systému. Když procesor x86 podporuje tuto funkci hardwarově, tak NX funkce jsou ve Windows XP/Server 2003 zapnuty automaticky. Pokud NX funkce nejsou podporovány procesory x86, tak není ochrana poskytnuta. „Software DEP” nesouvisí s NX bitem, podle Microsoftu se jedná o bezpečné strukturované zacházení s výjimkami (Safe Structured Exception Handling – SafeSEH). Software DEP/SafeSEH kontroluje, když dojde k výjimce, zda je tato výjimka registrovaná ve funkční tabulce pro danou aplikaci a vyžaduje, aby byla zabudována do programu. První implementace DEP neposkytovaly Address space layout randomization (ASLR), což umožňovalo útoky typu return-to-libc, které by mohly vést k vypnutí DEB během útoku. Dokumentace k PaX uvádí proč je ASLR nezbytný. Proof-of-concept detailně popisuje jakým způsobem by mohla být DEP vypnuta při nepřítomnosti ASLR. Je možné objevit způsob, jak provést úspěšný útok, pokud jsou útočníkům známy adresy připravených dat, jako jsou poškozené obrázky nebo MP3 soubory. Microsoft přidal ASLR funkci ve Windows Vista and Windows Server 2008, aby se vypořádali s tímto způsobem útoků. Mimo procesory x86 také existuje verze NX bitu pro Intel IA-64, která je implementovaná ve Windows na této architektuře.

• Podporované procesory: x86-64 (AMD64 and Intel 64), IA-64, Efficeon, Pentium M (a novější), AMD Sempron (a novější)
• Emulace: Ne
• Ostatní podporované: Žádné
• Standardní distribuce: Windows XP ServicePack 2, Windows Server 2003 Service Pack 1, [[Windows XP Professional x64
• Edition]], Windows Vista a Windows 7
• Datum vydání: 6. srpna 2004

Architektury, které podporují NetBSD 2.0 a novější (9. prosinec 2004), mají nespustitelný zásobník a haldu. Procesory co mohou rozlišit ochranu pro každou stránku jsou: alpha, amd64, hppa, i386 (s PAE), powerpc (ibm4xx), sh5, sparc (sun4m, sun4d), sparc64. Procesory co mohou podporovat pouze s těmito regiony rozlišení: i386 (bez PAE), PowerPC (např. macppc). Ostatní architektury nevyužívají nespustitelný zásobník a haldu. NetBSD ve výchozím stavu nepoužívá softwarovou emulaci, aby nabídl tyto funkce na těchto architekturách.

Hlavní článek: W ^ X Technologie v operačním systému OpenBSD, známá jako W ^ X, označuje zapisovatelné stránky ve výchozím stavu jako nespustitelné u procesorů, které toto podporují. Na 32bitových procesorech x86, je kódový segment nastaven, aby zahrnoval pouze část adresového prostoru a zajistil určitou úroveň ochrany spustitelných prostoru. W ^ X využívá NX bit na procesorech Alpha, AMD64, HPPA a SPARC. Procesory Intel 64 mohou nebo nemusí být podporovány, v závislosti na hardwaru. Intel přidal NX podporu (Intelem nazývanou XD bit) do novějších čipů. OpenBSD 3.3 vydaný 1.5. 2003 byl prvním operačním systémem, který obsahoval W ^ X.

• Podporované procesory: Alpha, AMD64, HPPA, SPARC
• Emulace: IA-32 (x86)
• Ostatní podporované: Žádné
• Standardní distribuce: Ano
• Datum vydání: 1. květen 2003

Solaris podporoval globálně zákaz spuštění ze zásobníku na procesorech SPARC od verze Solaris 2.6 (1997). Ve verzi Solaris 9 (2002) byla přidána podpora zákazu spuštění ze zásobníku pro jednotlivé principy spouštění. Solaris 10 (2005) používá NX bit automaticky povolený na procesorech x86, které tuto funkci podporují. U 32bitového ABI legacy režimu byly vytvořeny výjimky pro programový zásobníkový segment. Velká skupina programů funguje beze změn. Avšak když program spadne, ochrana může být vypnuta skrze volbu enforce-prot-exec v EEPROM. Sun doporučuje hlásit tyto případy jako chyby v programu.

U Androidu 2.3 a v novějších, architektury, které mají podporu nespustitelných stránek, mají také podporu nespustitelného zásobníku a haldy.[2][3]

Režie udává velikost výpočetní schopnosti procesoru, která je potřeba k tomu, aby daná technologie fungovala. Je to důležité, protože technologie, které nějakým způsobem emulují nebo nahrazují NX bit, budou většinou potřebovat nezanedbatelnou režii, zatímco využití hardwarového NX bitu nevyžaduje výraznou režii. Všechny emulované technologie vytvářejí režii z důvodu nadbytečného programování logiky, která musí být vytvořena pro řízení NX bitu v různých oblastech paměti, avšak vyhodnocení většinou provádí procesor, pokud je přítomen hardwarový NX bit a v tomto případě není potřeba žádné režie. Na procesorech s hardwarovým NX bitem nemá žádná z popisovaných technik vysokou režii, režie je stěží měřitelná, pokud není výslovně uvedeno jinak.

Starší procesory Exec Shield podporují aproximaci (approximates – podle Inga Molnára) NX emulace tak, že sledují hranici horního kódového segmentu. K tomu je potřeba jen pár cyklů režie během změn kontextu, což je prakticky zanedbatelné.

PaX používá dvě metody emulace nazývané SEGMEXEC a PAGEEXEC. SEGMEXEC má měřitelnou, ale nízkou režii, typicky méně než 1 %. Je to konstantní skalár, která je způsobená zrcadlení m virtuální paměti. SEGMEXEC je také ovlivněn půlením virtuálního adresového prostoru úlohy, což umožňuje úloze přistupovat k menšímu množství paměti než normálně. Toto není problém, dokud úloha nepotřebuje více než polovinu normálního adresového prostoru, což je vzácné. SEGMEXEC nezpůsobuje, že by programy potřebovaly více systémové paměti (např.: RAM), jen pouze omezuje, kolik paměti může být přístupno. Na 32bitových procesorech to je 1,5 GiB místo 3 GiB. PaX dodává metodu podobnou Exec Shield aproximaci v PAGEEXEC jako zrychlení, ale pokud je vyšší paměť označena jako spustitelná, postrádá ochranu. V těchto případech se PaX vrátí ke starší metodě s variabilní režií používané PAGEEXECem k ochraně stránek pod CS limitem, což může přinést vyšší režii v určitých modelech přístupu k paměti. Když je PAGEEXEC použit na procesoru s hardwarovým NX bitem, tak je použit hardwarový NX bit a nedochází k žádné emulaci a tudíž nevzniká nijak významná režie.

Některé technologie přibližně emulují (neboli aproximují) NX bit na procesoru, který ho hardwarově nepodporuje. Jiné výhradně emulují NX bit pro tyto procesory, ale výrazně snižují výkon nebo obsah virtuální paměti. Níže porovnáváme tyto metody z hlediska spolehlivosti. Všechny popsané metody jsou 100% spolehlivé v přítomnosti hardwarového NX bitu, pokud není napsáno jinak.

Pro starší procesory bez NX bitu Exec Shield selhává v ochraně stránek paměti pod limitem kódového segmentu. Funkce mprotect() označí vyšší paměť jako spustitelnou např.: zásobník a stejně tak označí i paměť pod tímto limitem jako spustitelnou a proto v těchto případech Exec shield selhává. Toto je cena za nízkou režii viz výše.

SEGMEXEC nespoléhá tolik na volatilní systémy, tak jako Exec Shield, a tak nenastávají podmínky, ve kterých finegrained NX bit emulace nemůže být vynucena. To však sníží virtuální adresový prostor na polovinu, jak je zmíněno výše. PAGEEXEC použije původní PAGEEXEC metody, které se používaly dříve pro urychlení, když datové stránky existují pod horním limitem kódového segmentu. V obou případech PaX emulace zůstává 100% spolehlivá. Žádné stránky se nestanou spustitelné, dokud operační systém je tak explicitně nenastaví. Je také zajímavé poznamenat, že PaX dodává omezení pro mprotect(), aby ochránil programy od označení paměti způsoby, které vytvářejí paměť užitečnou pro potenciální exploity. Tato taktika způsobuje, že určité aplikace přestanou fungovat, ale je možné pro tyto aplikace tuto ochranu vypnout.

Některé techniky umožňují spustitelné programy označit, takže operační systém ví, u kterých programů může snížit omezení pomocí NX technologie. Různé systémy poskytují různé řízení, jednotlivé způsoby řízení jsou popsány níže.

Exec Shield doplňuje označení spustitelnosti a kontroluje dvě ELF hlavičky označení, které říkají zásobníku, zda má být spustitelný. Jedná se o tzv. PT_GNU_STACK a PT_GNU_HEAP. Exec Shield umožňuje řízení nastavit jak pro spustitelné soubory, tak i pro knihovny. Když spustitelný soubor nahraje potřebnou knihovnu, je mu sníženo omezení. Spustitelný soubor zdědí toto označení a má také snížené omezení.

PaX dodává přesnou kontrolu nad ochranou. To umožňuje individuální řízení nad následujícími funkcemi technologií pro každý spustitelný binární soubor:

• Executable space protections
  • PAGEEXEC
  • SEGMEXEC
• mprotect() omezení
• Trampoline emulation
• Randomized executable base
• Randomized mmap() base

Více informací o těchto omezeních naleznete v článku o PaX. PaX úplně ignoruje obojí PT_GNU_STACK a PT_GNU_HEAP. V jisté době měl PaX konfigurační možnosti na počest těmto nastavením, ale byly nedávno úmyslně odstraněny z bezpečnostních důvodů. Také i proto, že nebyly považovány za užitečné. Stejného výsledku funkce PT_GNU_STACK lze běžně dosáhnout i vypnutím mprotect() omezení, mprotect nahraje normálně program do zásobníku. Toto nemusí být vždy pravda, pro situace, kde toto selže. Odstraněním omezení veškerého spustitelného prostoru se provede jednoduše vypnutím PAGEEXEC a SEGMEXEC a tím úloha dostane stejnou ochranu na spustitelné oblasti jako na systému bez PaX.

Když je NX podporován, tak je ve výchozím stavu zapnutý. Windows umožňují programům řízení, což stránkám znemožní jejich spuštění přes jejich API, tak přes sekci hlaviček v PE souboru. U API runtime přístup k NX bitu je vystaven skrze Win32. API volá VirtualAlloc[Ex] a VirtualProtect[Ex]. v těchto funkcích je ochrana stránky specifikovaná programátorem. Každá stránka může být individuálně označena jako spustitelná nebo nespustitelná. Navzdory nedostatku podpory předchozího x86 hardwaru nastavení stránky jako spustitelná nebo nespustitelná bylo poskytováno již od začátku. Na procesorech bez podpory NX bitu přítomnost „spustitelného” atributu neměla žádný efekt. To bylo zdokumentováno a jako výsledek většina programátorů to používala správně. V souboru PE formátu každá jeho část může specifikovat jeho spustitelnost. Označení spustitelnosti již od začátku PE formátu standardní odkazovače vždy používaly označení správně, dokonce dlouho před NX bitem. Díky těmto věcem byl Windows schopný posílit NX bitem i staré programy. Za předpokladu, že programátor zkompiloval aplikace podle „best practices”, měly by pracovat správně i po posílení NX bitem. Jenom v několika málo případech se vyskytly nějaké problémy. Běhové prostředí .NET Runtime od Microsoftu měl problémy s NX bitem a byly opraveny.

Ačkoli procesor Microsoft Xboxu nemá NX bit, novější verze XDK nastavuje limit kódového segmentu na začátku jádra v sekci .data (žádný kód by od tohoto bodu za normálních okolností neměl být). Toto byla pravděpodobně reakce na exploit umístěný v uložené pozici u hry 007: Agent Under Fire. Avšak tato změna neopravuje tento problém, protože paměť, ze které se spouští, se nachází v jádře pod sekcí .data. Od verze 51xx, byla tato změna implementována také do jader nových XBoxů. To odstranilo techniku starých exploitů pomocí TSR. Na trh byly rychle vypuštěny nové verze, podporující tuto novou verzi, protože základní exploit byl neúčinný.