[发明专利]提供具有基于能力的安全性的函数级隔离的技术

说明书

实施例针对如下技术：检测与地址空间关联的第一函数，第一函数发起对地址空间中的第二函数的调用指令，第一函数在去特权操作模式中调用第二函数；以及为第二函数定义对于地址空间的段的可访问地址范围，每段在地址空间中具有不同的地址范围，其中准许第二函数在去特权操作模式中访问；实施例包含：切换到与第二地址空间和第二函数关联的堆栈；以及在去特权操作模式中发起第二函数的执行。

技术领域

本文描述的实施例一般涉及在去特权操作模式中提供具有基于能力的安全性的函数级隔离的技术。

背景技术

在当今的连网环境中，计算机安全领域已经变得越来越重要。攻击者可以利用感染计算装置的恶意软件并使其执行恶意操作，诸如从与主机计算机关联的商业或个人窃取敏感信息，传播给其他主机计算机，协助分布式拒绝服务攻击，从主机计算机发送出垃圾邮件或恶意电子邮件等。因此，对于保护计算机和计算机网络免受恶意软件和攻击者的恶意和疏忽大意利用仍有重大管理挑战。

附图说明

图1图示了装置的示例实施例。

图2图示了指令序列的示例。

图3图示了逻辑流程的示例。

图4图示了系统的示例。

图5图示了第二逻辑流程的示例。

图6图示了第一计算架构的示例。

图7图示了装置的示例性实施例。

具体实施方式

本文讨论的实施例可以应用于能够在租户（诸如云计算、功能即服务（FaaS）等）之间共享硬件计算资源的系统中。共享资源的这些系统需要一种方式来定界动作，并防止交叉租户工作载荷交互以保护安全性和隐私。定界动作可包含需要例如用沙盒、虚拟机等预先限制（含有）的任何操作 - 通常，这适用于通过隔离而包围的代码。虽然存在解决此挑战的方法，诸如虚拟机、过程、用于容器的名称空间和管理的运行时间，但是存在关于启动时间、调用性能和/或存储器开销方面的问题，限制了部署的适用性和密度。一些应用程序，如网络功能虚拟化（NFV），需要在纳秒到微秒范围内的时延，而当今典型的FaaS实现将导致针对调用的10毫秒时延。通常在此类应用中使用的轮询模式还有另一组问题 - 与隔离关联的密度和存储器开销-VM和容器仍然需要大量存储器 - 从几MB到GB，从而限制了服务器上的实例数量，并且轮询模式执行对于超额预订工作不良好。另一方面，运行完成方法由于函数调用之间的共享存储器空间而或者仅适用于在单个应用内，或者如果映射到具有良好隔离的FaaS模型，则将具有高时延。在极端情况中，当所有应用都被分解为本地运行和远程运行的功能（包括OS、平台和基础设施服务）时，需求性能都将达到每个服务器每秒亿万次调用 - 这是当今只有对于本机代码和CALL指令才是可达到的。

FaaS采用正在以惊人的速率增长（依据http://blog.spotinst.com/2017/05/01/spotinsts-ceo-takeouts-serverlessconf-2017/，到2021年为7-10 x），现有实施产生了若干问题。例如，当前的解决方案通常要求开发人员发布源代码。发布源代码或任何反向可工程设计的格式是应用提供商面临对服务提供商和普通公众的知识产权（IP）泄漏的某种风险。然而，即使服务提供商保护源代码，但它们也可能在单独的容器中分派它，这产生了另一组问题，例如，耗尽资源和增加时延。从而，这些现有实现使得在诸如网络分组处理应用之类的低时延实现中（例如，当分组数据作为参数传给函数时）由于安全隔离的性能惩罚而非常难以使用FaaS。由于对设立任何执行时间（例如，编译、翻译和验证）以及对于设立隔离的需要，现有系统还会造成效率损失。

本文讨论的实施例通过提供允许在实现安全沙盒的同时执行用本机代码编译的函数的执行环境来解决上述问题。而且，本文描述的函数级隔离/安全性适用于广泛的应用- 从包含FaaS模型的云到用于物联网（IoT）应用中的可靠性和安全性的轻量级隔离。实施例不限于这些示例。