ES2214062T3 - Procedimiento para la proteccion de direcciones de entrada. - Google Patents

Abstract

Procedimiento para la protección de direcciones de entrada para funciones en programas informáticos, en el que se puede reconocer una dirección de entrada admisible a través de una correlación de datos, que no están dentro de la misma instrucción individual, y se deposita en una célula de la memoria inmediatamente delante o detrás de la dirección de entrada una dirección de un dato correlacionado.

Description

Procedimiento para la protección de direcciones de entrada.

En las tarjetas de chips futuras deben autorizarse aplicaciones de terceros, que pueden llamar funciones del sistema operativo. En este caso podría existir el peligro de que estas aplicaciones por terceros contengan intentos de manipulación o de sabotaje con respecto a otras partes del programa. Un tipo de ataque posible sería no utilizar un puntero de función válido de una rutina del sistema operativo desde la aplicación, sino utilizar otra dirección de entrada. De esta manera, el código del sistema operativo no sería realizado de forma correcta y se provocarían, por ejemplo, posiblemente pérdidas de datos debido a la sobrescritura errónea de un área de la memoria.

Según el estado de la técnica, está planeada una solución a través de la entrada en direcciones previamente definidas a intervalos fijos (puertas). En este caso, debe verificarse en primer lugar si se encuentra una dirección de puerta en el área de las direcciones permitidas para el módulo. En el caso de resultado positivo, se salta a la puerta y se lleva a cabo desde allí en adelante un salto a la función propiamente dicha. Esto es un inconveniente porque en este caso debe realizarse un salto calculado, que conduce a una mirilla en la tubería de la CPU. De una manera alternativa, el salto a la función puede tener lugar con retraso después de algunas instrucciones prioritarias del programa de la función. Esto conduce a un problema de optimización difícil para el compilador, en el caso de que al comienzo de la función se inicie un bucle y haya que saltar constantemente en vaivén entre el código en la puerta y el código desplazado.

Se describe en el documento EP 0 859 319 A1 un circuito de control para la autorización de acceso a áreas de memoria, para la que están contenidas tablas de direcciones en la memoria, que contienen en primer lugar las direcciones de instrucciones del programa, en segundo lugar las direcciones de un área de la memoria a proteger y en tercer lugar las direcciones de aquellas instrucciones del programa que pueden acceder al área de la memoria protegida. El circuito comprende medios para la comparación de una dirección actual de una instrucción del programa con las direcciones del área protegida. En el caso de que exista una coincidencia, se compara la dirección del área de la memoria, desde la que ha sido leída la instrucción del programa, con la tabla de las direcciones de aquellas instrucciones del programa, que pueden acceder al área protegida de la memoria. De esta manera se puede detectar e impedir un acceso no autorizado al área protegida.

El cometido de la presente invención es crear un procedimiento para la protección de direcciones de entrada, en el que no debe ningún salto calculado y, por lo tanto, no aparece ninguna mirilla en la tubería de las instrucciones de la CPU.

Según la invención, este cometido se soluciona porque se puede saltar directamente a direcciones de entrada admisibles, y pueden reconocerse a través de una correlación de datos que no pueden estar dentro de la misma instrucción individual.

En este caso, el compilador o enlace puede asegurar a través de la organización del código del programa que solamente las direcciones de entrada legales cumplen esta correlación. Por ejemplo, se puede realizar la correlación porque la célula de la memoria contiene la dirección de los datos correlacionados inmediatamente delante o detrás de la dirección de entrada.

Una posibilidad preferida es en este caso que la célula de la memoria contenga inmediatamente delante o detrás de la dirección de salto una referencia a la entrada correspondiente en una lista protegida de direcciones de entrada legales.

En este caso, es especialmente preferido verificar de forma automática durante la ejecución de la llamada de la función si se cumple la correlación de los datos.

Es especialmente preferido verificar adicionalmente de forma automática durante la realización de la llamada de la función si el dato correlacionado se encuentra en el área de la memoria reservada prevista.

Si las instrucciones del programa no exceden un cierto número máximo n de bytes, se puede aplicar otra solución según la invención, previendo un código especial no operativo, que sirve para evitar correlaciones casuales y que puede ser introducido posteriormente por el compilador o enlace.

En este caso, es especialmente preferido que se lleve a cabo la correlación entre datos de código, que están distanciados entre sí al menos n bytes.

Además, la dirección de entrada se puede proteger según la invención a través de la inserción de una secuencia especial de bytes, que no puede aparecer dentro del código regular, por ejemplo a través de un código no operativo especial.

Por lo tanto, según la invención, se puede evitar la mirilla en la tubería a través de un salto directo a la dirección del puntero de la función. No obstante, para ello hay que procurar entonces que direcciones de salto legales estén caracterizadas por correlaciones de código no locales. El compilador o enlace debe asegurar a través de la organización del código del programa que solamente las direcciones legales de salto de función cumplan esta correlación. "Correlación no local" significa en este caso una correlación de datos que no pueden estar dentro de la misma instrucción local.

Por lo tanto, son posibles, por ejemplo, las siguientes formas de realización preferidas:

1.

Correlación con datos en áreas de la memoria reservadas para ello. Una ejecución sencilla podría contener, por ejemplo en el área de la memoria inmediatamente delante de la dirección de entrada la dirección de un dato correlacionado, que corresponde, por ejemplo, de nuevo a la dirección de entrada legal de la función. Durante la ejecución de la llamada de la función se puede verificar de forma automática si se cumple esta correlación y/o si el dato correlacionado se encuentra en el área de la memoria reservada prevista. El mecanismo es a primera vista muy similar al mecanismo de puerta anterior, pero tiene la ventaja de que no se produce ningún salto calculado y las instrucciones de la función pueden ser obtenidas directamente en el controlador de la tubería. Solamente se produce una mirilla en el caso de fallo de una entrada ilegal.

2.

Correlación de datos del programa en áreas no reservadas de la memoria. Esta solución presupone que las instrucciones del programa no exceden un cierto número máximo n de bytes. Entonces deben excluirse las áreas de datos más largas en el segmento del código. Además, este método presupone un código no operativo especial (SNOP), que nunca se emplea en el código regular y solamente se inserta posteriormente para evitar correlaciones casuales por el compilador / enlace. Aquí se pueden distinguir todavía dos tipos de soluciones:

a)

la correlación se realiza entre datos de código, que están distanciados entre sí al menos n bytes. El compilador o enlace debe asegurar en este caso que se eviten las eventuales correlaciones casuales en el código a través de la entrada de códigos intermedios SNOP.

Una ejecución posible es la siguiente: inmediatamente delante de la dirección de entrada de la función está un valor, que es una función de los n + m bytes siguientes (m \geq 0, por lo demás opcional). Si se cumpliese esta correlación de una manera casual en algún lugar del código, entonces el compilador o bien el enlace deben anular esta correlación casual: puesto que como consecuencia de los n + m bytes según la suposición termina al menos una instrucción auténtica, después de su término se puede insertar una serie de instrucciones SNOP, hasta que se modifica el valor de la función. La función se puede seleccionar en este caso libremente dentro de ciertos límites.

b)

La dirección de salto es protegida a través de la inserción de una secuencia especial de bytes, que no puede aparecer dentro del código regular. Ejemplo de ello es una secuencia de códigos de operación (SNOP).

Por lo tanto, según la invención, las direcciones de entrada para funciones se protegen a través de correlaciones de códigos no locales, que solamente pueden aparecer en las direcciones de entrada.

De este modo se evita de forma ventajosa el mecanismo de puerta, que implica un salto calculado y provoca una mirilla en la tubería de instrucciones.

En su lugar, se salta directamente a la dirección de entrada a la función. Las instrucciones siguientes se pueden cargar en la tubería, independientemente de que la verificación de la dirección de salto resulte positiva o negativa. De esta manera, se eleva la eficiencia de las llamadas de la función supervisadas.

Claims (8)

1. Procedimiento para la protección de direcciones de entrada para funciones en programas informáticos, en el que se puede reconocer una dirección de entrada admisible a través de una correlación de datos, que no están dentro de la misma instrucción individual, y se deposita en una célula de la memoria inmediatamente delante o detrás de la dirección de entrada una dirección de un dato correlacionado.

2. Procedimiento según la reivindicación 1, en el que se deposita en la célula de la memoria inmediatamente delante o detrás de la dirección de entrada una referencia a una entrada en una lista protegida de direcciones de entrada legales.

3. Procedimiento según la reivindicación 1 ó 2, en el que se salta directamente a la dirección de entrada.

4. Procedimiento según una de las reivindicaciones 1 a 3, en el que durante la realización de una llamada de función se verifica de forma automática si se cumple la correlación de datos para la dirección de entrada respectiva.

5. Procedimiento para la protección de direcciones de entrada para funciones en programas informáticos, en el que se puede reconocer una dirección de entrada admisible a través de una correlación de datos, que no están dentro de la misma instrucción individual, y se lleva a cabo esta correlación con datos del programa en áreas no reservadas de la memoria, donde las instrucciones del programa no exceden un cierto número n máximo de bytes y se prevé un código no operativo especial (SNOP) para evitar las correlaciones casuales y se lleva a cabo la correlación entre datos de código, que están distanciados al menos n bytes entre sí.

6. Procedimiento según la reivindicación 5, en el que la dirección de entrada es protegida a través de la inserción de una secuencia especial de bytes, que no aparece dentro del código regular.

7. Procedimiento según la reivindicación 6, en el que como secuencia especial de bytes se utiliza un código no operativo especial (SNOP).

8. Procedimiento según una de las reivindicaciones 5 a 6, en el que se salta directamente a la dirección de entrada.