operating-system - 未经正式验证，可以在ring0中运行的应用程序安全吗？

Question

在没有对ring0中运行的程序进行正式验证的情况下，如何确保安全？是否可以在不改变用户空间内核空间的情况下使用VM？

Answer 1

这个问题有些令人困惑，但是我会尽力回答。

在大多数人理解的意义上，以特权模式运行任何不受信任的代码不太可能是“安全的”。但是，当您正确推测时，可以使用类似于虚拟机的某种东西来缓和不受信任的进程可以在该环境中执行的操作。这是现代“管理程序”运行的原理-通过某些“监视”软件或硬件来控制对硬件（或内存）的访问。

就是说，如果您采用这种方法，则很可能需要对虚拟机进行正式验证。否则，恶意构建的程序似乎可能找到逃避虚拟机或使虚拟机以不良方式运行的方法。

解决此问题的一种合理的现代方法是使用证明携带代码，其中一段不受信任的代码会随其携带一个机器可检查的证明，证明其行为符合某些安全策略。此时，主机操作系统需要做的所有事情就是对照代码检查证明（计算上合理的廉价操作），然后可以安全地运行该代码而无需对其进行虚拟化或任何运行时检查。