Архитектурная поддержка защищенных вычислений при реализации объектно-ориентированых языков

Актуальность работы. Данная работа посвящена проектированию элементов процессорной архитектуры, обеспечивающих защищенное исполнение программ, имеющих объектно-ориентированную (00) семантику. Проблематика работы включает в себя два различные направления: защищенные вычисления и 00 технологии -, каждое из которых заслуживает отдельного рассмотрения.

Под «защищенными вычислениями» следует понимать обеспечение модульности на этапе исполнения (run-time), то есть такую организацию вычислений, при которой один программный модуль не может получить несанкционированный доступ к данным другого, размещенного в том же виртуальном пространстве. Модульное программирование является общепринятым технологическим приемом, способствующим решению нескольких задач.

Прежде всего, это — эффективная организация и реализация сложных проектов, предполагающих параллельную разработку различных компонент. Здесь модульность повышает производительность работ (а следовательно, снижает их стоимость) не только за счет распараллеливания, но и вследствии ускорения отладки, поскольку локализация ошибок упрощается.

Другим важным направлением является создание систем, критичных с точки зрения непрерывности и надежности функционирования. В качестве примера можно привести многопользовательские операционные системы, обработку финансовой информации, управление технологическими процессами, военные системы и т. п. Непременным атрибутом таких систем выступает многоуровневая защита от несанкционированного доступа, причем не только со стороны конечного пользователя, но и между внутренними компонентами.

В эпоху развития всемирной компьютерной сети важно учитывать еще одно обстоятельство: огромная масса чужого программного обеспечения стала легко доступна. С одной стороны, это хорошо, поскольку позволяет не «изобретать велосипед», а пользоваться готовыми разработками. Но, с другой стороны, никто не гарантирует их надежность, причем можно столкнуться как с ошибками, так и со злым умыслом. Использование защиты при работе с заимствованным программным обеспечением может помочь избежать многих проблем.

Защищенная система позволяет оттестировать продукт в строго определенном ограниченном окружении, не допуская распространения возможных отрицательных последствий.

К сожалению модуляризация продукта только на уровне программирования не гарантирует защищенности, ведь программа создается человеком, и, как уже упоминалось, здесь возможны и ошибки, и злой умысел. Строгая модульность может быть обеспечена только в специально предназначенной для этого среде программирования, способной выделять ограниченное рабочее пространство и контролировать его использование на этапе исполнения. Современные традиционные архитектуры если и предоставляют для этого какие-нибудь средства, то самые минимальные, поэтому для них защищенность реализуется интерпретационно. Ясно, что при таком подходе производительность системы существенно падает, что и ограничивает его применимость простыми приложениями. Типичным примером является исполнение программ, написанных на языке Java [1]. Повышение производительности дает так называемая компиляционная модель, то есть трансляция Java-приложений в родной (native) код используемой платформы. Однако, из-за отсутствия аппаратной поддержки получающийся код перегружен динамическими программными проверками, что, естественно, снижает его эффективность.

Представляется, что значительная часть накладного расхода, связанного с обеспечением модульности, может быть уменьшена введением адекватной архитектурной поддержки. Подтверждением тому служит успешный опыт эксплуатации, напрмер, системы Plessey System 250 [2] или комплексов Эльбрус-1 и Эльбрус-2 [3−5].

Второй гранью работы является 00 программирование. Парадигма объектной ориентации оказалась очень продуктивной, о чем свидетельствует широкое распространение и практическое использование этих идей. Достаточно посмотреть на список как «чистых» 00 языков, так и тех, которые расширяют стандартные средства 00 семантикой. Огромное количество программного обеспечения написано с использованием 00 технологии. Кажется очевидным, что поддержка 00 программирования должна быть широко востребована. К тому же, не умаляя достоинств прочих качеств 00 подхода, нужно заметить, что его популярность в значительной степени связана с дальнейшим движением в сторону модульности — черты, положительные свойства которой обсуждались выше.

Проблематика работы актуальна в той же степени, в какой актуально распространение практики защищенных вычислений. Одним из последних свидетельств заинтересованности в этом является широкое распространение технологии Java. При условии действительно эффективной реализации достаточно распространенных языков наиболее очевидны такие области применения, как военные и банковские системы, управление производством и технологическими процессами, электронная коммерция, системы администрирования и пр.

Цель исследования. При определении средств, которые должны быть вынесены в архитектуру, перед разработчиком встает ряд вопросов, таких как: на каких принципах удобнее строить межмодульную защиту (например, будет ли она контекстная или ключевая), где проходит граница между аппаратными и программными средствами, какова эффективность и относительная стоимость принимаемых решений, насколько они универсальны и пр. Все эти проблемы подробно рассмотрены в следующих разделах.

Тем не менее, здесь уместно обратиться к одному из аспектов, определяющих техническую позицию, а именно, номенклатура языков, которые должна поддерживать разрабатываемая среда программирования. Данная работа выполнялась в рамках проектирования микропроцессора Эльбрус-2000, и ответы на многие вопросы определялись рыночными соображениями. Было решено ограничиться распространенными универсальными языками со статическим типизированием, такими, как С, С++, FORTRAN, Pascal, Turbo-Pascal, Visual-Basic, компиляционная модель Java и т. д. Вообще говоря, перечисленные выше языки по своей природе не предназначены для защищенного программирования: они содержат некоторые конструкции, несовместимые с защитой. Однако, набор их средств так широк, что введение ограничений на использование «ненадежных» конструкций в защищенном режиме часто выглядит как стилевые рекомендации, призывающие к отказу от ассемблерных свойств. Часто корректность таких конструкций с точки зрения защищенности может быть проконтролирована программно, вследствии чего «ограничения на использование» выражаются только в снижении производительности системы.

Подытоживая сказанное выше, задачи, решаемые в данной диссертационной работе, формулируются следующим образом. Главной задачей является разработка расширения заданной базовой архитектуры, предназначенного для эффективной защищенной реализации различных 00 языков. При этом существенно, чтобы предлагаемое архитектурное подмножество отвечало ряду требований.

1. Оно должно следовать принципам заданной базовой архитектуры, не изменяя концептуальную основу последней. Для этого работа содержит анализ как общих подходов к защите, так и свойств базовой архитектуры.

2. Предлагаемые средства должны обладать универсальностью, достаточной для реализации различных 00 языков, то есть они должны представлять собой набор базовых семантических элементов 00 программирования. В то же время автор должен учесть и возможные специфические свойства, присущие таким распространенным языкам, как С++ или Java. Для решения этой подзадачи работа включает анализ распрсраненных 00 языков и формулирование искомого семантического базиса.

3. Работа должна содержать не только элементы архитектуры микропроцессора, такие, как размещение и адресация данных, перечень и форматы специальных типов, номенклатура и алгоритмы операций, но и предложения по взаимодействию аппаратуры и программного обеспечения, определению границ ответственности между ними, реализации неэлементарных семантических конструкций.

Научная новизна. В отличие от предыдущих разработок, направленных на защищенное программирование, существенной особенностью проекта Эльбрус-2000 является поддержка защищенного исполнения ОО языков. Дело в том, что парадигма 00 программирования, рассмотренная в свете защищенной реализации, семантически шире, чем процедурный подход. Поддержка 00 семантики, безусловно, возможна и с помощью известных базовых средств, однако эффективность такой системы представляется невысокой, по крайней мере — с точки зрения производительности. В проекте же Эльбрус-2000 ставилась задача исполнения 00 программ с минимальными потерями производительности, связанными с run-time защитой. С другой стороны, аппаратная поддержка должна быть достаточно универсальной для эффективной реализации целого ряда 00 языков. Одной из главных задач, решаемых в данной работе, является анализ ОО технологии и распространенных 00 языков с целью выявления такого набора базовых черт, который было бы выгодно и удобно вынести в архитектуру.

Таким образом, новизна данной работы заключается в распространении архитектурной поддержки защищенных вычислений в область 00 семантики. Внедрение результатов работы должно способствовать реализации защищенных сред программирования для 00 языков.

Результаты работы, выносимые на защиту. На защиту выносится расширение архитектуры (микро)процессоров, предназначенное для runtime поддержки защищенных вычислений, изложенных на 00 языке. Следует подчеркнуть, что свойство run-time защищенности является одним из основополагающих в базовой архитектуре и должно быть распространено на 00 расширение. Предлагаемое архитектурное подмножество не ориентировано на какой-либо определенный язык, а представляет собой семантический базис, достаточный для эффективной реализации сред программирования для большинства из распространенных статических 00 языков.

Практическая ценность. Результаты работы вошли составной частью в архитектуры микропроцессоров Эльбрус-ЗМ и Эльбрус-2000. Результаты моделирования показывают пригодность предложенных средств для реализации упомянутых языков.

В работе рассматриваются варианты архитектурного расширения, отличающиеся соотношением сложности и эффективности, что позволяет формировать архитектуру конкретного микропроцессора в зависимости от его предназначения, выбирая подходящий баланс.

Апробация. Положения диссертационной работы докладывались и обсуждались на научно-технических конференциях и семинарах:

• Мельниковские чтения. Москва, 19 февраля 1999 г.

• XXV Гагаринские чтения. Москва, 6−10 апреля 1999 г.

• семинары МЦСТ, НИИВТ.

Помимо этого результаты работы вошли в определение архитектуры микропроцессора Эльбрус-2000 и были использованы при создании экспериментальной версии компилятора с языка С++.

Публикации. По теме диссертации опубликованы следующие работы:

Груздов Ф.А., Сахин Ю. Х. Архитектурная поддержка типизации данных. Информационные технологии и вычислительные системы, п/р Емельянова C.B., 1/1999, Москва, ИВВС РАН, 1999, с.3−13.

Груздов Ф. А. Архитектурная поддержка защищенных вычислений при реализации объектно-ориентированных языков в машине Эльбрус-2000. Мельниковские чтения. Тезисы докладов научной конференции. М., 19 февраля 1999.

Груздов Ф. А. Типизация данных как архитектурный подход. XXV Гагаринские чтения. Тезисы докладов Международной молодежной научной конференции. Москва, 6−10 апреля 1999 г. М.: «ЛАТМЭС», 1999, том 1.-510С., ISBN 5−230−21 205−5.

Груздов Ф. А. Метод оптимизации передачи управления в конвейерных процессорах. Компьютерная хроника, N 7, М. 1999, с.55−64.

Артемов А.М., Волин B.C., Груздов Ф, А" Лизоркин А. П., Чудаков М. Л. Структура центрального процессора МВК Эльбрус-3. Тезисы доклада. Международная конференция «Высокопроизводительные ВС в управлении и научных исследованиях». Алма-Ата, сентябрь, 1991.

Кроме того имеются патенты США (в соавторстве): 5.958.048, 5.889.985, 5.794.029 -, а также зарегистрированные патентные заявки: 09/220,502, 60/120,355, 60/120,447, 60/120,721, 60/120,357, 60/120,445, 60/120,461, 60/120,450.

Структура работы. Работа включает введение, три главы и заключение.

Первые две главы посвящены обзору проблемы. Решаемая задачаrun-time поддержка защищенного ОО программирования — находится на стыке двух областей компьютерного знания: защищенных вычислений и ОО технологии. Соответственно, первые главы последовательно раскрывают эти направленя.

Результаты работы были использованы при формулировании микропрцессорной архитектуры, направленной на проектирование систем защищенного программирования, в том числе — на 00 языках. В соответствии с этой архитектурой разработан микропроцессор Эльбрус-2000, и написана его модель, позволившая создать экспериментальную версию компилятора с языка С++.

В работе предложены два варианта архитектурной поддержки.

Заключение

.

Диссертационная работа посвящена распространению практики защищенных вычислений в область 00 технологий. Основным результатом диссертационной работы является разработанное расширение защищенной микропроцессорной архитектуры, предназначенное для эффективной реализации систем защищенного программирования на 00 языках. Предложенное архитектурное подмножество следует принципам заданной базовой архитектуры, не изменяя концептуальную основу последней. При проектировании максимально использованы уже существующие средства, тем самым сокращая набор дополнительных архитектурных элементов. Разработанные средства обладают универсальностью, достаточной для поддержки различных 00 языков, то есть они представляют собой набор базовых семантических элементов 00 программирования. В то же время учтены и специфические свойства, присущие таким распространенным языкам, как С++ или Java. Работа не ограничивается только элементами архитектуры микропроцессора, такими, как размещение и адресация данных, перечень и форматы специальных типов, номенклатура и алгоритмы операций, но включает и предложения по взаимодействию аппаратуры и программного обеспечения, определению границ ответственности между ними, реализации неэлементарных семантических конструкций.

Для выполнения этих задач в ходе работы были проведены исследования и получены следующие результаты:

• Проанализированы принципы, составляющие существо защищенных вычислений и лежащие в основе всякой системы защиты.

• Сформулирован ряд положений, ограничивающих диапазон возможных решений.

• Рассмотрены известные методы организации защиты, их эффективность и применимость для решения поставленной задачи.

• Проведен анализ базовой архитектуры, выявлены ее концепции и принципы, которые затем сопоставлены с общими подходами к организации защищенных вычислений. Базовые средства архитектуры оценены с точки зрения использования их для поддержки 00 вычислений.

• Рассмотрены основные положения 00 программирования, сделан обзор распространенных языков программирования, включающих элементы 00 подхода.

• На основе анализа 00 языков сформулированы ограничения и требования к разрабатываемому расширению, обеспечивающие его универсальность.

• Разработаны дополнительные архитектурные элементы, позволяющие реализовывать системы защищенного программирования на языках, включающих 00 семантику. К таким элементам относятся специализированные типы данных и операции, предназначенные для их обработки. Дополнительные элементы представляют минимально необходимое расширение, а для получения полного базиса 00 поддержки широко используются средства базовой архитектуры.

• Предложены варианты организации данных и управляющих структур, специфических для 00 программирования, а также алгоритмы реализации конструкций ОО языков. Все это может служить руководством при создании систем защищенного программирования.

• Оценены накладные расходы, связанные с введением предложенных механизмов.

• Показано, что предложенное расширение действительно распространяет защищенность вычислений в область 00 программирования. Приведены примеры run-time контроля некоторых потенциальных ошибок или попыток несанкционированных действий.