7.4 安全扩展指令

7.4 安全扩展指令

本节摘要：前几节的门禁防的是"没资格的人进门"，本节的锁防的是"已经进门的人乱走"。本节盘点指令集层面的安全扩展：控制流完整性给跳转设合法落点、指针认证给指针盖防伪签名、隔离执行划出贴身保险库，以及 5.4 节侧信道伏笔的收线——投机执行的补墙工程。读完你应当能说清每类扩展防的是哪一步攻击、付的是哪种代价。

指令集的自卫术

先立威胁模型，否则扩展清单只是名词堆。传统门禁（特权级、页权限）假设"攻击者进不了门"；现实是内存漏洞（越界写、释放后使用）大量存在，攻击者的标准打法分三步：借助内存漏洞改写数据（改函数指针、改返回地址）→ 劫持控制流（让程序跳到注入的代码或现成的系统函数）→ 为所欲为。安全扩展的分工正对着这三步：控制流完整性让"跳到非法落点"这条路走不通；指针认证让"改指针"变困难；隔离执行让"为所欲为"的半径缩到最小。它们共同的新假设很硬朗：内存漏洞可以发生，但漏洞到战果之间每一步都要再付费。

控制流完整性：给跳转设合法落点

劫持控制流的经典入口是函数返回与间接跳转——它们的目标地址来自内存（栈上的返回地址、函数指针），而内存恰恰是漏洞的作案现场。控制流完整性（CFI）的思路是给每类跳转立"合法落点清单"：间接跳转只准落在声明的入口。Intel 的 CET 机制给出两件工具：影子栈——返回地址在压入普通栈的同时压入一个只受硬件保护的影子栈，函数返回时两处对账，不符即异常（读影子栈指针的指令如 rdssq 供运行库自检）；合法落点标记——间接跳转的目标必须是一条 endbr64 标记指令（编码 F3 0F 1E FA），编译器在函数入口与合法跳转目标处插入标记，跳到没有标记的字节直接异常。ARM 的对位方案叫 BTI（分支目标识别），思想相同。这一手直接废掉"改返回地址"与"跳进代码中部"两条千年老路。

ARM 的**指针认证（PAC）**则从源头加锁：函数序言里插入 paciasp（编码 0xD503233F）对返回地址做签名——用特权密钥与上下文计算校验位、塞进指针的高位空隙；返回前 autiasp（0xD50323BF）验签，被改过的地址验不过即异常。签名让"改栈上的返回地址"从写内存升级为"还要伪造出合法签名"——密钥在特权寄存器里，攻击者拿不到。它防不了改写未签名的普通数据指针，所以 PAC 与影子栈互为补强，两者在现代 ARM 与 x86 平台上已是默认开启的底座。

两个加固现场

把两件工具摆到反汇编器前，看它们改变了什么。现场一：ARM64 编译器给非叶函数挂上指针认证后，函数骨架变成这样：

stp     x29, x30, [sp, -16]!   // 保存帧指针与返回地址（x30）
paciasp                        // 对 x30 签名：校验位塞进指针高位空隙
...函数体...
autiasp                        // 返回前验签：签名对不上即异常
ldp     x29, x30, [sp], 16     // 恢复现场
ret
​

攻击者即便借内存漏洞改写了栈槽里的返回地址，autiasp 验出的签名对不上号，控制流在 ret 之前就被打断——"改一个字"不再够用，还得连签名一起伪造，而签名密钥住在特权寄存器里，用户态的漏洞代码够不着。

现场二：x86-64 开启间接分支跟踪后，合法的跳转目标在反汇编视图里长这样：

endbr64                        // 合法落点标记（F3 0F 1E FA）
push   rbp
mov    rbp, rsp
​

间接跳转若落在 endbr64 之外的任何字节——包括指令中段——控制流异常当场触发。面向返回与跳转的编程（ROP 类攻击的核心手法）从此要在"恰好落在合法落点"的约束下重新设计，可用代码片段的数量断崖式缩水，攻击的工程成本被硬性抬高。

隔离执行：贴身保险库

另一族扩展不防单次跳转，而是划出一个"即便内核被攻破也进不来"的保险库。Intel 的 SGX 允许应用划出飞地（enclave）：飞地内存被加密且受访问控制保护，连操作系统与监控器都读不了——云场景的价值直白：租户不必信任宿主平台的内核。ARM 的 TrustZone 走的是双世界：安全世界与非安全世界各跑一套软件（EL3 的安全监控器把门，7.1 节的 smc 指令是两界摆渡车），指纹、密钥类敏感任务住安全世界。AMD 的 SEV 则把隔离做到虚拟机粒度：内存按虚机加密、密钥由专用安全处理器持有。三家的共同哲学：把"必须信任谁"的清单缩到最短——硬件与最小信任基。代价同样要记：飞地的内存加密与进出切换开销不小，生态适配（调试、崩溃转储、与操作系统的协作）处处是坎，SGX 服务器平台的退场也提醒我们：安全扩展的商业生命周期与它的技术价值并不同轨。

补墙：侧信道的指令级应对

收 5.4 节的伏笔。投机执行留下的微架构痕迹让 Spectre 类攻击可以"按规则越权"——架构语义未破，机密从时间差里漏出。指令集层面的应对分三层。围栏类：屏障指令（如 lfence）被赋予新职责——插在分支后的数据使用之前，强迫"先确认真分支再读数据"，编译器与内核在敏感路径手动布防（内核里成片的屏障化补丁就是这场战争的遗迹）。禁投机类：给间接分支配预测禁用开关（各种 IBRS 类 MSR 位，7.2 节的面板加锁），切换特权时关掉旧预测的遗产。软件代偿类：retpoline 用一个精心构造的自旋替换间接跳转，让预测器彻底没得猜——微码与编译器联手的老式智慧。这三层共同确认了一个现实：侧信道的彻底根治遥遥无期，工程答案是"按攻击面分级付性能税"。较新的对策如内存标签扩展（MTE，给每 16 字节配标签、加载时自动验签）则把另一大类漏洞（越界与释放后使用）从"漏洞"降级为"当场异常"。

容易踩的坑

第一个坑：把安全扩展当银弹。CFI 防控制流劫持、PAC 防指针篡改、隔离防越权读取，各管一段；没有哪一件覆盖完整攻击链，纵深防御意味着多层叠用而非单点信仰。第二个坑：忽视性能与兼容的账单。影子栈改变栈布局（与某些手写汇编、信号处理代码冲突）、飞地限制调试与系统调用、投机缓解的性能税从百分之几到百分之几十不等——开启前先在目标负载上实测。第三个坑：误以为扩展一开就一劳永逸。PAC 曾被密钥泄露路径部分绕过、各类缓解措施屡有新论文击穿——安全扩展是"提高攻击成本"，不是"消灭攻击"，跟踪平台安全公告是长期义务。

本节要点回顾

• 威胁模型三步走：改数据 → 劫持控制流 → 为所欲为；控制流完整性、指针认证、隔离执行各堵一步。
• 影子栈与合法落点标记（CET 的 endbr64、ARM 的 BTI）废掉返回地址劫持；PAC 签名（paciasp 与 autiasp）让改指针要连签名一起伪造。
• 隔离执行（SGX 飞地、TrustZone 双世界、SEV 虚机加密）的哲学是把信任清单缩到最短，代价是开销与生态。
• 侧信道应对三层：屏障布防、预测禁用、软件代偿（retpoline）——按攻击面分级付性能税。
• 安全扩展提高攻击成本而非消灭攻击：多层叠用、实测开销、长期跟踪公告。