| Linux Secure Virtual Hosting Extension |
|
[目次] [コンセプト]
DoS 攻撃／侵入に対する汎用的な防御手段を提供することサーバに対する全ての資源浪費型 DoS 攻撃を完全に防御する汎用手法 は存在し得ないが、被害を最小限することは「あらかじめサービスを隔 離し、サービス間の資源使用の干渉を防ぐこと」で実現可能である。 例えば、同一ホストでウェブサービスとメールサービスを提供しており ウェブサービスに DoS 攻撃を受けた場合、メールサービスに影響を与 えないようにすることを目的としている(ウェブサービスはあきらめる)。 本拡張は、一つのホスト内に複数の隔離環境を提供し、隔離環境を超え た資源のオーバユースおよび各種アクセスを防御する機能を提供する。 本拡張では論理的に各サービスを囲む保護壁を作成し、この保護壁の提 供する資源制御および強制アクセス制御をカーネル内で実現する(図1)。 その際、既存のアプリケーションがそのまま使えるようにする。 本拡張を用いた OS を用いて同一のホスト上で複数のサービスを提供す ることによるメリットは以下の通りである。
標準の Linux では隔離環境を提供する機能は chroot(2) 程度しか存在
しないが(注1)、本拡張では、FreeBSD で
実装されている jail (注2)相当の機能を
実装するとともに、jail が未対応の部分にも対応することによって同等
以上の隔離環境(仮想ホスト環境)を提供している。
資源制御については CPU 時間と物理メモリ予約機能を追加し、
システム運用者が各隔離環境が使う計算機資源の上限を設定することが
可能となっている。
保護壁 = 隔離環境(仮想ホスト環境) + 計算機資源となっており、この保護壁はアプリケーションからは通常のホスト(実 際には仮想ホスト)として見える。ただし、仮想ホスト環境と計算機資 源は直交する概念であり、必ず一対一に対応づけなければならないもの ではない。本 OS でも一つの計算機資源に複数の仮想ホスト環境が作る などの柔軟な運用を可能としている。  図1. 方式概要 資源予約での制御対象は
 図2. カーネル内論理モデル [保護壁の生成] プロセスはサブツリー単位で保護壁にマップ(閉じ込める)され、 さらにマップされたプロセスからforkされた子プロセスは同保護壁 内にマップされる。 また、資源も同様にプロセスサブツリー単位で割当てられる (注4)。 一番最初のプロセスを保護壁にマップするためには新しく追加した システムコール crow_create_reserve(2) および jail(2)を用いる。 crow_create_reserve(2) は当該プロセスおよびそこから fork される全てのプ ロセスの CPU 資源およびメモリ資源の上限をカーネルに要求するシス テムコールであり、jail(2) は当該プロセスおよびそこから fork され る全てのプロセスを保護壁にマップするようカーネルに要求するシス テムコールである。 これらのシステムコールを用いて設定されたパラメータはカーネル内の プロセスの情報を保持するデータから参照可能であり、CPU スケジュー ラ, VM および各システムコール処理ルーチンに使用される。 プロセスは当然自分で前述のシステムコールを使って保護壁を作成す ることができるが、アプリケーションを無改造で使うために、ユーティ リティプログラムを用意している。 ユーティリティプログラムは前述のシステムコールを用いて保護壁を 設定した後、execve(2) を使ってターゲットのプログラムを起動する。  図3. 保護壁の生成の仕組 [保護壁の破壊] カーネル内で保持している保護壁の情報はリファレンスカウンタを持っ ており、保護壁に属する全てのプロセスが消滅した時点で自動的に破壊 される。 また、設計方針上、設定した保護壁の設定変更はできない。設定を変更 したい場合には、一度保護壁を破壊してから再度生成するという手順を 踏む必要がある。 [CPU 時間予約を実現する CPU スケジューラ]
(a) 通常の CPU スケジューリング goodness()によりプロセスの優先度計算方法は以下の通りである。
goodness()
{
if (リアルタイムプロセスである) {
priority += 1000 + プロセスの優先度;/*このプロセスが選択される*/
return priority;
}
if (以前のタイムスライスの残りがある) {
priority += 残りの ticks;
}
if (このプロセスのメモリマップが直前に実行されたプロセスのメモリ
マップと同じ) {
priority += 1;
}
priority += プロセスの優先度;
return priority;
}
 図4. 通常のスケジューリング
(b) CPU 時間予約対応の CPU スケジューリング
例) CPU 30% で予約した場合、
{p = 1000 [ms], c = 300[ms]} =(正規化)=> {p = 100 [ms], c = 30 [ms]}
が、実際に使われるパラメータとなる。
スケジューラはまず、第一段階として、RUN QUEUE から goodness()
を用いて次候補プロセスを選択する。  図5. CPU時間予約時のスケジューリング ※補足
[物理ページ予約のためのページング処理] Linux ではプロセスに対するメモリ管理は主にページングで実現されて おり、デマンドページング、コピーオンライト、スワップ処理機能が提 供されている。つまり、プロセスが使うデータが物理ページ上に存在す るか、スワップエリアに存在するかはページング処理の結果、言い換え ると犠牲ページの決定アルゴリズムで決まることになる。犠牲ページの 決定アルゴリズムは LRU (Least Recently Used)を採用されている。 Linux 2.2 系カーネルのページング機構は、ページアウト処理が必要に なった際に、使用物理ページ数が多いプロセスを見つけ出し、そのプロ セスの物理ページを LRU (注7)で選択しス ワップアウトする。さらに空きページが必要な場合には同様の処理を必 要な量の空きページができるまで繰り返す。処理内容を以下に示す。
swap_out()
{
for (counter=nr_tasks/(priority+1); counter; counter--) {
int max_cnt = 0;
struct task_struct *pbest;
for (init 以外の全てのプロセス) {
if (最近スワップアウトされていない &&
使用物理ページ数 > max_cnt) {
max_cnt = 使用物理ページ数;
pbest = 当該プロセス
}
}
}
pbest のスワップアウト処理;
}
本拡張では、プロセスサブツリー毎に利用できる物理ページの予約を、 予約されたページ数だけページアウトさせないという処理で実現してい る。具体的には犠牲ページを決める際、あらかじめアカウンティングし てあるプロセスサブツリーが現在利用している物理ページ数と予約され たページ数の差を用いて、ページアウトされるプロセスおよびページ数 を決定する。処理内容は以下の通り。
swap_out()
{
for (counter=nr_tasks/(priority+1); counter; counter--) {
int max_cnt = 0, swap_cnt;
struct task_struct *pbest;
for (init 以外の全てのプロセス) {
swap_cnt = 関連する全プロセスの使用物理ページ数 - 予約ページ数;
if (swap_cnt < 0) swap_cnt = 0;
if (最近スワップアウトされていない &&
swap_cnt > max_cnt) {
max_cnt = swap_cnt;
pbest = 当該プロセス
}
}
}
pbest のスワップアウト処理;
}
ここで実現している予約はページ数のみであり、mlock(2)で提供され ているような特定の仮想アドレス空間とマッピングされた物理ページの予 約ではない。この方式を採用した理由は、非リアルタイムアプリケーショ ンには LRU によるページ選択で十分であることと、アプリケーション の改造が不要であることがあげられる。 [仮想ホスト(jail)環境の実現方式]
仮想ホスト(jail)環境は、システムコール処理による強制アクセス制御
によって提供される。
次に、仮想ホスト(jail)環境の情報が設定されたプロセスがシステムコー ルを発行した場合、カーネルはその情報を参照しながらシステムコール 処理を行う。具体的には、カーネルは、システムコールを発行したプロ セス自身の仮想ホスト(jail)環境内のプロセスないしは計算機資源に対 するアクセスである場合には通常の処理を行い、そうでない場合には各 システムコール毎に必要な処理(EPERM を返す, ソケット情報の書き換 えなど)を行う。 次に、本実装で行っている制御について述べる。以下にカーネルの機能 から見た対応のリストの通りである。
[Footnote]
[Reference]
[Acknowledgement]
[Appendix]
/*
* Functions for read ticks on x86 and PowerPC
*/
#if defined (__i386__)
static inline void
rk_rdtsc(unsigned long long *data_p)
{
__asm __volatile(
"rdtsc"
:"=a"(*(int *)(data_p)), "=d"(*(((int *)data_p)+1)));
}
#elif defined (__powerpc__)
static inline void
rk_rdtsc(unsigned long long *data_p)
{
asm volatile ("0:mftbu 4;mftb %1;mftbu %0;cmpw 4,%0;bne 0b":"=r" (*(int*)(data_p)),
"=r" (*(((int*)data_p)+1)): :"r4");
}
#else
#error No method provided.
#endif
|