[发明专利]执行域的页表条目中的安全性配置

说明书

描述了与具有含有来自预定义域的调用的安全性设置的页表条目的计算机系统有关的系统、设备和方法。所述页表条目可用于将虚拟存储器地址映射到物理存储器地址。响应于执行使用所述虚拟存储器地址标识的例程的调用，可从所述页表条目中提取对应于从其发起所述调用的执行域的安全性设置以确定是否要使用安全措施。例如，可使用影子堆栈结构来保护所述例程的私有堆栈内容不被调用器存取和/或保护所述调用器的私有堆栈内容不被被调用器存取。

相关申请

本申请要求以下的提交日期的权益：2019年7月23日提交且名称为“执行域的页表条目中的安全性配置(Security Configurations in Page Table Entries forExecution Domains)”的美国专利申请16/520,296；及2018年8月30日提交且名称为“执行域的页表条目中的安全性配置(Security Configurations in Page Table Entries forExecution Domains)”的临时美国专利申请62/724,913，所述申请的全部公开内容由此以引用的方式并入本文中。

技术领域

本文中所公开的至少一些实施例大体上涉及计算机体系结构，且更确切地但不限于通过在执行域的页表条目中指定的配置实施的安全性控制。

背景技术

经编程用于计算机的指令可以分层方式结构化。一个层可以为另一层提供资源和服务。例如，超管理器可以创建或提供在计算机硬件组件上实施的虚拟机。操作系统可以使用具有预定义体系结构的计算机中可用的资源来提供资源和服务。由操作系统操作的计算机资源或计算机可以是实际的计算机硬件组件，也可以是由超管理器提供的虚拟机组件。应用程序可以使用操作系统提供的服务和资源提供应用程序特定的功能。

附图说明

在附图的图中作为实例而非限制示出了实施例，在附图中，相似的参考标号指示类似的元件。

图1示出根据一些实施例的控制沙盒化的系统。

图2示出图1的系统中的用于沙盒化的影子堆栈结构。

图3示出执行域的具有沙盒化配置的页表条目。

图4示出具有配置安全性操作的页表的计算机系统。

图5示出通过在执行域的页表条目中指定的设置控制影子堆栈操作的方法。

具体实施方式

本公开包含基于从其进行调用例程到被调用例程的调用的非层次执行域且基于在页表条目中指定的设置来选择性地应用安全措施以保护被调用例程的内容和调用例程的内容不受彼此影响的技术。例如，当例程A调用例程B时，可以选择性地部署安全措施以保护例程A的数据和代码不受例程B影响，和/或保护例程B的数据和代码不受例程A影响。例如，例程B可为执行数值计算的库存例程。当例程B是例程A的地址空间的部分时，它潜在地可以存取例程A的数据。为了防止例程B充当特洛伊木马例程，可以执行沙盒化操作以限制例程B可以在例程A的地址空间中存取的数据，即使在例程A和例程B使用相同的逻辑到物理转换表时也如此。

在传统的系统中，可以向指令的不同层(例如，用户应用程序相较于操作系统)给予不同水平的特权和/或信任。通常，保护环是在计算机中构建和实施的，以保护数据和功能免受基于环层次的故障和恶意行为的影响。从最高特权(因而最受信任)到最低特权(因而最不受信任)的环静态地布置成层次。例如，层次可包含一个具有最高特权的操作系统内核环、一个装置驱动器环和一个具有最低特权的应用程序环。较低特权环中的程序或例程可以由相应的专用硬件强制控制门来限制，以存取层次中较高特权环的资源和服务。环之间的门控存取可以提高安全性。