macos - PCIDriverKit 授权检查失败(将 KEXT 迁移到 DEXT)

Question

kernel: DK: MyDriver-0x100000f45: provider entitlements check failed
kernel: DK: IOUserServer(com.MyDriver-0x100000f45)::exit(Entitlements check failed)
kernel: (com.MyDriver.dext) Kernel requested exit (Entitlements check failed)

我正在尝试使用 PCIDriverKit 创建一个驱动程序。找不到任何合理的示例代码。

我的问题是我试图访问所有设备，即使我已将它们的掩码正确地放入 Info.plist (0x12345678&0x000000000) 和 com.apple。 developer.driverkit = TRUE和 com.apple.developer.driverkit.transport.pci 权利。

对于大多数设备，我在 macOS 日志中收到上述错误。在我使用的 A KEXT 中，同样的面具工作得很好。

当然，SIP 是禁用的，系统扩展开发者模式是打开的。

我目前在 XCode 中使用“签名以在本地运行”选项，因为这是一个开发阶段。

如何获取 DEXT 以打开我 Mac 上的所有 PCI 设备？

编辑:根据 codesign -d --entitlements -，这些是 DEXT 的权利:

▒▒qq<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
        <key>com.apple.developer.driverkit</key>
        <true/>
        <key>com.apple.developer.driverkit.transport.pci</key>
        <array>
                <dict>
                        <key>IOPCIPrimaryMatch</key>
                        <string>0x12345678&amp;0x00000000</string>
                </dict>
        </array>
        <key>com.apple.security.app-sandbox</key>
        <true/>
        <key>com.apple.security.get-task-allow</key>
        <true/>
</dict>
</plist>

amfid 日志:

amfid: [com.apple.MobileFileIntegrity:amfid] Basic requirement validation failed, error: (null)
amfid: /Library/SystemExtensions/{SOME_GUID}/com.MyDriver.dext/com.MyDriver signature not valid: -67050

Answer 1

对于您的情况，为什么出现问题，我没有 100% 的答案。要在 未修改 系统上加载 dext，在对 dext 进行代码签名时肯定需要以下内容:

• 使用“Developer ID Application”证书身份签名并经过公证，或使用“Apple Developer”证书签名
• 嵌入式代码签名权利，包括通用 DriverKit 权利、任何特定于系列的权利，以及必要时有关用户客户端访问的权利。
• 来自 Apple 的配置文件匹配:
  1. 您在 dext 中嵌入的代码签名权利。
  2. 您用于签署 dext 的代码签名身份的类型和具体实例。
  3. dext 的应用程序和 Bundle ID。
  4. 如果使用 Apple Developer 签名身份，您将在其上测试 dext 的 Mac 的硬件 ID。

对于本地测试，您可以尝试以下操作来临时解决代码签名问题:

• 禁用系统完整性保护 (SIP)。出于 DriverKit 扩展的目的，这会禁用一些代码签名检查。
• 禁用特定于 DriverKit 的权利检查。这将关闭检查许多特定于家庭的权利。要禁用 检查，请在dk 内核启动参数中设置 标记0x8000，这是一个位域。请注意，除非您设置标记0x1，否则DriverKit 将被完全禁用。因此，使用 dk=0x8001 禁用 DriverKit 权利检查。
• 禁用 AMFI 检查。如果您尝试声明需要在配置文件中启用的权利，AMFI 通常会终止您的进程。您可以使用 amfi_get_out_of_my_way=1 内核引导参数禁用 AMFI。

显然，您对配置文件的控制有限，因为其中的权利必须得到 Apple 的批准。 (出于这个原因，如果您打算公开发布您的 dext，我通常建议您在开始对 dext 进行全面开发之前，先弄清楚您可能需要哪些权利，并请求它们来自 Apple。这个过程可能需要几个月的时间。)因此，当您没有这些配置文件时，虽然知道所需的确切的最小变通方法组合会很有趣，但我还没有详尽无遗对此进行了测试。我意识到这对让您的 dext 尽可能接近发货没有多大帮助，同时仍在等待 Apple 授予缺失的权利。希望有一天我可以系统地探索和记录所有这些。