パケットフィルターでトレーシング？ Linuxで活用が進む「Berkeley Packet Filter（BPF）」とは何か：Berkeley Packet Filter（BPF）入門（1）（3/3 ページ）

[味曽野雅史，OSSセキュリティ技術の会]

BPFの安全性

　LinuxはBPFプログラムをカーネル内で安全に実行するため、下記を行っています（一部の機能はオプションです）。

• 検証器による静的なBPFプログラムの検証
• BPFプログラム領域をread onlyなメモリ領域に配置（アーキテクチャが対応している場合）
• JITにおけるConstant Blinding（ROP攻撃対策）
• JITを常に有効化し、BPFインタープリタを除去する（Spectre Variant 2対策）

　また、「/proc/sys/kernel/unprivileged_bpf_disabled」を1にすると、「CAP_SYS_ADMIN」を持っていないユーザー（基本的にルートユーザー以外）はBPFシステムコールが利用できなくなります。

　2018年の年頭に公表されたSpectre variant 1およびvariant 2における、GoogleのProject ZeroのPoC（概念実証）でeBPFが利用されていたことを記憶されている人も多いかと思います。

　このことについて少し補足しておくと、PoCでは攻撃が成功しやすいように一部修正したカーネルを利用していました。また、Spectre対策用のパッチはすでに追加されています。そのため現在のカーネルで攻撃を実施することは非常に困難であると思います。

　BPFがカーネルで広く用いられるにつれ、セキュリティに対する意識も一層高まっています。現在、BPF関連のテストコードは約3万行あります。

　ただし、BPFが安全性を最優先に考慮しているといっても、100％バグがないとは言い切れません。一般論として、セキュリティ情報に気を配り、もしセキュリティに関するパッチがあれば迅速にアップデートすることが重要になります。

BPFの情報源

　最後に、BPFの情報源をまとめます。

　下記はBPFに関する公式のドキュメントです。

• BPF Documentation
  BPF全般に関するLinuxのドキュメント
• Linux Socket Filtering aka Berkeley Packet Filter (BPF)
  主にBPFのフィルタリング機能に関するLinuxのドキュメント。BPFの命令セットに関する記載もここにある

　また、下記も参考になります。

• BPF Features by Linux Kernel Version
  BPFの機能とカーネルバージョンの対応表
• BPF and XDP Reference Guide
  ネットワーク関連を中心BPFに関して技術的に詳しく書いてある（おすすめ）
• iovisor/bpf-docs
  BPFに関するドキュメント集
• Dive into BPF: a list of reading material
  BPFに関する包括的なリンク集。初投稿日は2016年9月だが、それ以降断続的にアップデートされている
• BPF, Linux kernel code execution engine
  ブログでBPFの主要開発者がBPF内部構造について記述している

　下記は、BPFに関連する主要なソースです。

• kernel/bpf
  BPFコア部分
• net/core/filter.c
  cBPFコア部分
• tools/bpf
  cBPFインタープリタ、jitコンパイラ
• tools/bpf/bpftool
  eBPFのデバッグツール
• tools/lib/bpf
  eBPFローダー
• tools/testing/selftests/bpf
  BPF関連のテストコード
• samples/bpf
  BPF関連のサンプルコード

　BPFの開発は歴史的経緯より、基本的にLinuxのnet-nextブランチで進められてきました。現在は主にbpf-nextブランチで進められています。bpf-nextブランチの内容がnet-nextにマージされ、最終的にカーネル本体へとマージされています。

　開発に関する詳細はLinuxのドキュメントを参照してください。

次回は、BPFのアーキテクチャについて、

　次回は、BPFの基礎として、Linuxで用いられるBPFのアーキテクチャについて説明します。

筆者紹介

味曽野 雅史（みその まさのり）

東京大学 大学院 情報理工学系研究科 博士課程

オペレーティングシステムや仮想化技術の研究に従事。

• メール：misono(at)os.ecc.u-tokyo.ac.jp
• ブログ：http://mmi.hatenablog.com/