[發(fā)明專利]引導(dǎo)固件沙箱化

在審

• 申請?zhí)枺?/td>: 201980061975.6
• 申請日: 2019-09-16
• 公開（公告）號: CN112740211A
• 公開（公告）日: 2021-04-30
• 發(fā)明（設(shè)計）人: C·T·卡倫貝格;R·沃杰茨祖科;X·S·科瓦;A·J·菲什
• 申請（專利權(quán)）人: 蘋果公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/53;G06F9/4401;G06F12/14
• 代理公司: 北京市金杜律師事務(wù)所 11256
• 代理人: 黃倩

1.一種具有存儲于其中的程序指令的非暫態(tài)計算機(jī)可讀介質(zhì)，所述程序指令能夠由計算設(shè)備執(zhí)行以使所述計算設(shè)備執(zhí)行包括以下項(xiàng)的操作：

由引導(dǎo)加載程序啟動引導(dǎo)序列以加載所述計算設(shè)備的操作系統(tǒng)；

由所述引導(dǎo)加載程序檢測將在所述引導(dǎo)序列期間執(zhí)行的外圍設(shè)備的固件以初始化所述外圍設(shè)備以供所述計算設(shè)備使用；以及

響應(yīng)于所述檢測，由所述引導(dǎo)加載程序?qū)嵗瘜⑺龉碳c所述引導(dǎo)加載程序隔離的沙箱。

2.根據(jù)權(quán)利要求1所述的計算機(jī)可讀介質(zhì)，其中所述操作包括：

從包括在所述外圍設(shè)備中的選項(xiàng)只讀存儲器(OROM)加載所述固件；以及

在所述引導(dǎo)序列期間執(zhí)行所述固件以初始化所述外圍設(shè)備。

3.根據(jù)權(quán)利要求1所述的計算機(jī)可讀介質(zhì)，其中所述操作包括：

由所述引導(dǎo)加載程序?qū)⒁粋€或多個存儲器地址范圍分配給所述固件；以及

通過所述沙箱限制所述固件訪問未包括在所分配的一個或多個存儲器地址范圍中的存儲器地址。

4.根據(jù)權(quán)利要求3所述的計算機(jī)可讀介質(zhì)，其中所述操作包括：

由所述引導(dǎo)加載程序?qū)⒋鎯ζ鞯囊粋€或多個頁面分配給所述固件，其中所述一個或多個存儲器地址范圍包括對應(yīng)于所述一個或多個頁面的范圍。

5.根據(jù)權(quán)利要求3所述的計算機(jī)可讀介質(zhì)，其中所述分配包括將所述外圍設(shè)備的存儲器映射的輸入/輸出(MMIO)地址范圍分配給所述固件；并且

其中所述限制包括防止所述固件訪問所述計算設(shè)備的另一外圍設(shè)備的MMIO地址。

6.根據(jù)權(quán)利要求3所述的計算機(jī)可讀介質(zhì)，其中所述操作包括：

服務(wù)來自所述外圍設(shè)備的指定所述一個或多個存儲器地址范圍內(nèi)的地址的直接存儲器訪問(DMA)請求；以及

阻止來自所述外圍設(shè)備的指定所述一個或多個地址范圍之外的地址的直接存儲器訪問(DMA)請求。

7.根據(jù)權(quán)利要求1所述的計算機(jī)可讀介質(zhì)，其中所述操作包括：

在內(nèi)核模式下執(zhí)行所述引導(dǎo)加載程序，在所述內(nèi)核模式下，所述引導(dǎo)加載程序以一組不受限制的權(quán)限來執(zhí)行；并且

其中所述實(shí)例化包括使得所述固件在應(yīng)用程序模式下執(zhí)行，使得所述固件以一組受限的權(quán)限執(zhí)行。

8.根據(jù)權(quán)利要求7所述的計算機(jī)可讀介質(zhì)，其中所述操作包括：

由所述沙箱接收來自所述固件的使所述引導(dǎo)加載程序執(zhí)行操作的請求；

響應(yīng)于接收到所述請求，由所述沙箱調(diào)用系統(tǒng)調(diào)用，以使所述計算設(shè)備的處理器轉(zhuǎn)變?yōu)樵谒鰞?nèi)核模式下執(zhí)行所述引導(dǎo)加載程序；以及

響應(yīng)于確定允許所述固件請求所述操作，由所述引導(dǎo)加載程序執(zhí)行所述操作。

9.根據(jù)權(quán)利要求7所述的計算機(jī)可讀介質(zhì)，其中所述操作包括：

由所述沙箱接收來自所述引導(dǎo)加載程序的使所述固件執(zhí)行操作的請求；以及

響應(yīng)于接收到所述請求，由所述沙箱調(diào)用系統(tǒng)返回，以使所述計算設(shè)備的處理器轉(zhuǎn)變?yōu)樵谒鰬?yīng)用程序模式下執(zhí)行所述固件。

10.根據(jù)權(quán)利要求1所述的計算機(jī)可讀介質(zhì)，其中所述引導(dǎo)加載程序支持能夠用于傳送數(shù)據(jù)的多個統(tǒng)一可擴(kuò)展固件接口(UEFI)協(xié)議；并且

其中所述操作包括：

由所述沙箱將所述固件限制為僅使用所支持的多個UEFI協(xié)議的子集。

11.一種方法，包括：

由引導(dǎo)加載程序執(zhí)行引導(dǎo)序列以初始化計算設(shè)備的操作系統(tǒng)；

在所述引導(dǎo)序列期間：

由所述引導(dǎo)加載程序檢測加載到所述計算設(shè)備的外圍設(shè)備的存儲器中的設(shè)備驅(qū)動程序；以及

由所述引導(dǎo)加載程序?qū)嵗诚湟詫⑺鲈O(shè)備驅(qū)動程序的執(zhí)行與所述引導(dǎo)加載程序的執(zhí)行隔離。