Instrucciones RISC mejoradas por hardware

CHERI ( Capability Hardware Enhanced RISC Instructions ) es una tecnología diseñada para mejorar la seguridad de los procesadores RISC ( Reduced Instruction Set Computer ). CHERI busca abordar la causa raíz de los problemas derivados de la falta de seguridad de la memoria en implementaciones comunes de lenguajes de programación como C y C++ , responsables de aproximadamente el 70 % de las vulnerabilidades de seguridad en los sistemas modernos. ^{[ 1 ] [ 2 ]}

El hardware funciona asignando a cada referencia a cualquier dato o recurso del sistema sus propias reglas de acceso. Esto impide que los programas accedan o modifiquen elementos a los que no deberían tener acceso. También dificulta engañar a una parte de un programa para que acceda o modifique algo a lo que debería tener acceso, pero en un momento diferente. El mismo mecanismo se utiliza para implementar la separación de privilegios , dividiendo los procesos en compartimentos que limitan el daño que puede causar un error (de seguridad o de otro tipo).

CHERI se puede agregar a muchas arquitecturas de conjuntos de instrucciones diferentes , incluidas MIPS , AArch64 y RISC-V , lo que hace que se pueda utilizar en una amplia gama de plataformas.

El software debe recompilarse para obtener los beneficios de seguridad de memoria granular de CHERI, pero la mayoría del software requiere pocos (o ningún) cambio en el código fuente. ^{[ 3 ]} Los gobiernos han reconocido la importancia de CHERI como una forma de mejorar la ciberseguridad y proteger los sistemas críticos. ^{[ 4 ]} Está siendo desarrollado activamente por varias organizaciones empresariales y académicas. ^{[ 5 ]}

CHERI es una arquitectura de capacidades . ^{[ 6 ]} Las primeras arquitecturas de capacidades, como la computadora CAP y el Intel iAPX 432 , demostraron una gestión segura de la memoria, pero se vieron limitadas por la sobrecarga de rendimiento y la complejidad. ^{[ 7 ]} A medida que los sistemas se volvieron más rápidos y complejos, las vulnerabilidades como los desbordamientos de búfer y los errores de uso después de la liberación se generalizaron. CHERI aborda estos desafíos con un diseño pensado para entornos informáticos modernos. Refuerza la seguridad de la memoria y proporciona compartición y aislamiento seguros para manejar la creciente complejidad del software y combatir los ciberataques.

En las décadas de 1970 y 1980, las primeras arquitecturas de capacidades, como la computadora CAP (desarrollada en la Universidad de Cambridge) y la Intel iAPX 432, demostraron sólidas propiedades de seguridad. Estos sistemas se basaban en tablas de indirección para gestionar las capacidades, lo que generaba cuellos de botella en el rendimiento, ya que el acceso a la memoria requería múltiples búsquedas. Si bien este enfoque funcionaba cuando los procesadores eran lentos y la memoria rápida, se volvió impracticable a mediados de la década de 1980, cuando los procesadores se volvieron más rápidos y los tiempos de acceso a la memoria se quedaron rezagados. ^{[ 7 ]}

En 2010, DARPA lanzó el programa de diseño de sistemas seguros, resilientes y adaptables (CRASH) ^{[ 8 ] [ 9 ]} , que encomendó a los participantes el rediseño de sistemas informáticos para mejorar la seguridad. El equipo de SRI International y la Universidad de Cambridge revisó las arquitecturas de capacidades, buscando abordar los desafíos de seguridad de la memoria inherentes a los diseños convencionales.

Un sistema CHERI opera a nivel de hardware proporcionando un tipo impuesto por hardware (una capacidad CHERI ) que autoriza el acceso a la memoria. Este tipo incluye una dirección y otros metadatos , como límites y permisos. Las instrucciones que acceden a la memoria, como las de carga, almacenamiento y salto, utilizan uno de estos tipos para autorizar el acceso, mientras que en las arquitecturas tradicionales simplemente usarían una dirección.

Estos metadatos se almacenan en línea, junto con la dirección, en la memoria del ordenador y están protegidos por un bit de etiqueta , que se borra si se manipula la capacidad. Esto informa al ordenador de qué áreas de la memoria se pueden acceder mediante una operación específica y cómo un programa puede modificar o leer la memoria a través de dicha operación. Esto permite a los sistemas CHERI detectar casos en los que se opera sobre memoria que estaba fuera de los límites de donde el programa debía leer o escribir. Asociar los metadatos con el valor utilizado para acceder a la memoria, en lugar de con la memoria a la que se accede (a diferencia de una unidad de gestión de memoria ), significa que el hardware puede detectar casos en los que un programa intenta acceder a una parte de la memoria a la que debería tener acceso, cuando en realidad pretende acceder a otra parte de la memoria.

Las implementaciones de sistemas CHERI también incluyen modificaciones al asignador de memoria predeterminado , que es un componente que define que un programa debe tratar un rango de direcciones como un objeto . En un sistema CHERI, también debe comunicar esta información al hardware, estableciendo los límites del puntero (representado por una capacidad CHERI) que se devuelve. ^{[ 10 ]} También puede comunicar el tiempo de vida , para evitar errores de uso después de la liberación o uso después de la reutilización. ^{[ 11 ] [ 12 ] [ 13 ]}

Dependiendo del contexto, los sistemas CHERI pueden usarse para mejorar las comprobaciones a nivel de compilador, construir enclaves seguros ^[14 ] ^{o incluso} para ampliar las arquitecturas de instrucciones existentes. Un informe de Microsoft de 2019 reveló que las protecciones de CHERI podrían mitigar más del 70 % de los problemas de seguridad de memoria detectados en la empresa ese mismo año. ^{[ 15 ]} Las arquitecturas CHERI también están diseñadas para ser retrocompatibles con lenguajes de programación existentes como C y C++. Un estudio realizado por investigadores de la Universidad de Cambridge descubrió que portar seis millones de líneas de código fuente de C y C++ a CHERI requería cambios en el 0,026 % de las líneas de código fuente (LoC). ^{[ 3 ]}

La arquitectura introduce complejidad de hardware debido a los mecanismos de bits de etiqueta y las comprobaciones de capacidad necesarias para garantizar la seguridad de la memoria. Aunque se ha implementado la optimización para minimizar estos impactos, ^{[ 16 ]} las compensaciones de rendimiento pueden variar según las cargas de trabajo y las implementaciones específicas. Además, CHERI requiere modificaciones tanto en los ecosistemas de software como de hardware. Implementaciones como Morello permiten ejecutar binarios sin modificar, pero estos no obtienen beneficios de seguridad adicionales. El software debe recompilarse o adaptarse para usar el modelo basado en capacidades de CHERI, y los fabricantes de hardware deben incorporar extensiones de CHERI en sus diseños.

La estandarización sigue siendo un esfuerzo constante. Si bien iniciativas como la Alianza CHERI ^{[ 17 ]} y la estandarización RISC-V ^{[ 18 ]} buscan establecer un mayor respaldo, la falta de estándares industriales ampliamente aceptados para las características de CHERI ha retrasado su adopción. Adaptar software heredado o modernizar sistemas existentes para que funcionen con CHERI puede ser un desafío, especialmente para bases de código grandes y heterogéneas. La dificultad suele derivarse de las prácticas de programación utilizadas durante el desarrollo original del software, como la implementación de una gestión de memoria personalizada, donde la identificación de punteros a partir de enteros puede ser particularmente problemática. ^{[ 19 ]}

La arquitectura CHERI se ha implementado en múltiples plataformas y proyectos:

• Morello – Desarrollado por Arm como parte del programa Seguridad Digital por Diseño (DSbD) financiado por UKRI, ^{[ 20 ] [ 21 ]} el chip Morello es una arquitectura de superconjunto diseñada para evaluar características experimentales de CHERI para su posible uso en producción en la arquitectura AArch64. La placa Morello es compatible con CheriBSD, versiones personalizadas de Android y Linux . Sigue siendo un prototipo de investigación.
• CHERIoT – Presentado por Microsoft en 2023 ^{[ 22 ]} y ahora desarrollado por múltiples proveedores, ^{[ 23 ]} CHERIoT es una adaptación de RISC-V CHERI optimizada para pequeños dispositivos embebidos. ^{[ 12 ]} CHERIoT es un proyecto de diseño conjunto de hardware y software que construye un sistema operativo en tiempo real (RTOS) personalizado y un modelo de compartimentos junto con hardware especializado para proporcionar sólidas garantías de seguridad. Incorpora características avanzadas de seguridad de memoria inspiradas en los proyectos de seguridad temporal de CHERI realizados en Morello.
• Sonata – Desarrollada por lowRISC y fabricada por NewAE como parte del proyecto Sunburst, financiado por UKRI, la plataforma Sonata es un sistema basado en FPGA diseñado para ejecutar arquitecturas RISC-V. ^{[ 24 ]} La placa tiene un diseño de código abierto, lo que permite a investigadores y desarrolladores modificar y adaptar su hardware y software. Sonata está diseñada principalmente como un sistema de prototipado para CHERIoT.
• X730 – Lanzado por Codasip en 2024, este IP de procesador es una implementación del borrador del estándar RISC-V CHERI para un procesador de clase de aplicación. ^{[ 25 ]}
• ICENI – Anunciado por SCI Semiconductor en 2024, ^{[ 26 ]} ICENI es un microcontrolador compatible con CHERIoT diseñado para sistemas embebidos seguros.

Las implementaciones de CHERI dirigidas a sistemas operativos convencionales están diseñadas para admitir tanto software heredado como software de capacidades puras, lo que permite una adaptación gradual para las aplicaciones existentes. CHERI también se ha implementado en diversas arquitecturas de hardware en un entorno de investigación, incluyendo MIPS, ^{[ 6 ]} AArch64 (a través de la plataforma Morello) y RISC-V. ^{[ 27 ]}

En 2012 se presentaron los primeros prototipos de CHERI, ^{[ 28 ]} Estos prototipos ejecutaban un microkernel con código ensamblador escrito a mano para manipular capacidades. CHERI fue diseñado para ser fácil de implementar en arquitecturas modernas de segmentación superescalares. A diferencia de los sistemas de capacidades anteriores, CHERI eliminó la necesidad de tablas de indirección, ^{[ 6 ]} evitando los problemas de rendimiento asociados y demostrando que las arquitecturas de capacidades modernas podían implementarse de manera eficiente.

En 2014, el hardware CHERI demostró su capacidad para ejecutar un sistema operativo completo tipo UNIX, FreeBSD . Esta demostración mostró que el modelo de capacidades de CHERI puede integrarse con los ecosistemas de software existentes. CHERI se concibió originalmente como un prototipo de extensión de MIPS-64 . ^{[ 6 ]} La implementación utilizó capacidades de 256 bits, que contenían campos para una base de 64 bits, longitud, tipo de objeto y permisos, con algunos bits reservados para fines experimentales.

En 2015, CHERI introdujo un nuevo modelo de codificación de capacidades que separaba la dirección (conocida como cursor ) de los límites y permisos. Este refinamiento permitió que las capacidades funcionaran como punteros en el código C compilado, ^{[ 13 ]} mejorando la usabilidad. Ese mismo año, Arm se unió al proyecto y proporcionó comentarios críticos, destacando que, si bien duplicar el tamaño de los punteros podría ser aceptable, cuadruplicarlo no lo sería. Estos comentarios llevaron al desarrollo de CHERI Concentrate, ^{[ 16 ]} un modelo de codificación comprimida que redujo el tamaño de la capacidad a 128 bits al eliminar la redundancia entre la base, la dirección y la parte superior.

En 2019, CheriABI ^{[ 29 ]} demostró una implementación totalmente segura para la memoria de POSIX , lo que permite que el software de escritorio existente se vuelva seguro para la memoria con una sola recompilación.

Para 2020, se hizo evidente que los proveedores de software se mostraban reacios a adaptar su software sin el apoyo de los proveedores de hardware, mientras que estos últimos no estaban dispuestos a producir chips sin una demanda suficiente por parte de los clientes. UK Research and Innovation (UKRI) lanzó el programa Digital Security by Design (DSbD) ^{[ 30 ]} para abordar las barreras de adopción de CHERI. El programa asignó 70 millones de libras esterlinas, complementadas con 100 millones de libras esterlinas de inversión industrial, para construir el ecosistema de software de CHERI . ^{[ 30 ]}

Esta iniciativa financió el chip Morello de Arm, una arquitectura de superconjunto diseñada para evaluar características experimentales de CHERI para su posible uso en producción basado en AArch64 . La placa Morello fue diseñada para ejecutar CheriBSD y versiones personalizadas de Android y Linux. Al mismo tiempo, el proyecto Cornucopia ^{[ 31 ]} demostró que CHERI podía garantizar la seguridad de la memoria espacial y temporal, ofreciendo protección determinista contra el aliasing temporal de objetos del montón (aproximadamente, "uso después de la liberación"). El proyecto de seguimiento, Cornucopia Reloaded, ^{[ 11 ]} mostró una seguridad temporal eficiente utilizando características de tabla de páginas en Morello, en particular, tiempos de pausa casi insignificantes para la aplicación que utiliza la revocación.

En 2023, Microsoft presentó CHERIoT, ^{[ 12 ]} una adaptación de CHERI para RISC-V optimizada para pequeños dispositivos integrados. CHERIoT incorporó ideas de Cornucopia y técnicas de coloración de memoria como SPARC ADI y Arm MTE para mejorar la seguridad. Como parte del proyecto Sunburst financiado por UKRI, lowRISC lanzó la plataforma Sonata para impulsar el desarrollo de CHERI basado en RISC-V y apoyar los esfuerzos de estandarización. Tanto el trabajo de investigación de CHERI RISC-V como CHERIoT contribuyeron al proceso de estandarización para una familia oficial de extensiones CHERI para RISC-V. ^{[ 18 ]} Codasip anunció que tenía núcleos IP RISC-V con extensiones CHERI disponibles para licenciar. ^{[ 32 ]}

La Alianza CHERI se lanzó en 2024. ^{[ 33 ]} Esta organización sin fines de lucro fue creada por varias empresas de alta tecnología para acelerar la adopción de CHERI. Proporciona una plataforma para la colaboración y ayuda a que la tecnología sea más visible y fácil de usar. Su objetivo es agrupar el ecosistema y da la bienvenida a miembros interesados ​​en CHERI, desde empresas comerciales hasta universidades, centros de investigación y comunidades de código abierto. Está organizada en grupos de trabajo ^{[ 34 ]} que se centran en temas específicos (portabilidad de sistemas operativos, herramientas, recomendaciones de diseño...). También organiza conferencias centradas en CHERI ^{[ 35 ]} y participa en varios eventos para promover la tecnología.

Para 2024, SCI Semiconductors anunció ICENI, ^{[ 26 ]} un chip compatible con CHERIoT diseñado específicamente para sistemas embebidos seguros. Codasip está desarrollando activamente una implementación del kernel de Linux para la arquitectura RISC-V. ^{[ 36 ]} La Alianza CHERI, una organización sin fines de lucro con sede en Cambridge, Reino Unido, se estableció para promover la adopción de la tecnología CHERI y su integración en productos y sistemas digitales seguros, incluyendo a Google como miembro fundador. ^{[ 5 ]}

En 2025, la División de Semiconductores de Wyvern Global anunció WARP, ^{[ 37 ]} el primer chipset RISC-V nativo CHERI-BSD disponible comercialmente, construido desde cero teniendo en cuenta CHERI, y anunció un programa de adopción OEM con el mismo nombre para que los fabricantes existentes integraran la tecnología en sus placas existentes utilizando el chipset WARP. También se comprometieron a adoptar CHERI en todos sus productos y servicios existentes de principio a fin en el futuro y se unieron a la alianza CHERI CIC ^{[ 38 ].}