Limpador de endereços assistido por hardware

Observação:esta página aborda o uso do HWASan em componentes da plataforma Android. Para informações sobre como executar apps Android criados com o NDK no HWASan, consulte a documentação para desenvolvedores.

Consulte Noções básicas sobre os relatórios do HWASan para informações sobre como ler falhas do HWASan.

O limpador de endereços assistido por hardware (HWASan) é uma ferramenta de detecção de erros de memória semelhante ao AddressSanitizer. O HWASan usa muito menos RAM em comparação com o ASan, o que o torna adequado para a higienização de todo o sistema. O HWASan só está disponível no Android 10 e versões mais recentes e apenas em hardware AArch64.

Embora seja principalmente útil para código C/C++, o HWASan também pode ajudar a depurar código Java que causa falhas em C/C++ usado para implementar interfaces Java. Ele é útil porque captura erros de memória quando eles acontecem, apontando diretamente para o código responsável.

É possível atualizar as imagens HWASan pré-criadas para dispositivos Pixel com suporte em ci.android.com (instruções de configuração detalhadas).

Em comparação com o ASan clássico, o HWASan tem:

• Sobrecarga de CPU semelhante (~2x)
• Sobrecarga de tamanho de código semelhante (40 a 50%)
• Sobrecarga de RAM muito menor (10% a 35%)

O HWASan detecta o mesmo conjunto de bugs do ASan:

• Overflow/underflow do buffer de heap e pilha
• Uso de heap depois da liberação de memória
• Uso de pilha fora do escopo
• Double free/wild free

Além disso, o HWASan detecta o uso da pilha após o retorno.

O HWASan (igual ao ASan) é compatível com o UBSan, e ambos podem ser ativados em um destino ao mesmo tempo.

Detalhes e limitações da implementação

O HWASan é baseado na abordagem de marcação de memória, em que um pequeno valor de tag aleatório é associado a ponteiros e a intervalos de endereços de memória. Para que um acesso à memória seja válido, as tags de ponteiro e de memória precisam ser correspondentes. O HWASan depende do recurso Top Byte Ignore (TBI) da ARMv8, também chamado de inclusão de tags de endereço virtual, para armazenar a tag do ponteiro nos bits mais altos do endereço.

Leia mais sobre o design do HWASan no site de documentação do Clang.

Por design, o HWASan não tem as redzones de tamanho limitado do ASan para detectar overflows ou a quarentena de capacidade limitada do ASan para detectar uso após a liberação. Por esse motivo, o HWASan pode detectar um bug independentemente do tamanho do overflow ou de quanto tempo atrás a memória foi desalocada. Isso dá ao HWASan uma grande vantagem sobre o ASan.

No entanto, o HWASan tem um número limitado de valores de tag possíveis (256), o que significa que há uma probabilidade de 0,4% de não encontrar nenhum bug durante uma execução do programa.

Requisitos

As versões recentes (4.14+) do kernel comum do Android oferecem suporte ao HWASan pronto para uso. As ramificações específicas do Android 10 não têm suporte para HWASan.

O suporte ao espaço do usuário para HWASan está disponível a partir do Android 11.

Se você estiver trabalhando com um kernel diferente, o HWASan exige que o kernel do Linux aceite ponteiros marcados em argumentos de chamada de sistema. O suporte a isso foi implementado nos seguintes conjuntos de patches upstream:

• ABI de endereço marcado arm64
• arm64: ponteiros de usuário sem tag transmitidos ao kernel
• mm: Avoid creating virtual address aliases in brk()/mmap()/mremap()
• arm64: validar endereços marcados em access_ok() chamado de linhas de execução do kernel

Se você estiver criando com um conjunto de ferramentas personalizado, verifique se ele inclui tudo até a confirmação do LLVM c336557f.

Usar o HWASan

Use os comandos abaixo para criar toda a plataforma usando o HWASan:

lunch aosp_walleye-userdebug # (or any other product)
export SANITIZE_TARGET=hwaddress
m -j

Para sua conveniência, você pode adicionar a configuração SANITIZE_TARGET a uma definição de produto, semelhante a aosp_coral_hwasan.

Para usuários familiarizados com o AddressSanitizer, muita complexidade do build foi eliminada:

• Não é necessário executar o make duas vezes.
• Os builds incrementais funcionam imediatamente.
• Não é necessário exibir userdata.

Algumas restrições do AddressSanitizer também foram removidas:

• Os executáveis estáticos são aceitos.
• Não é necessário limpar nenhum destino, exceto a libc. Ao contrário do ASan, não há a exigência de que, se uma biblioteca for limpa, todos os executáveis que a vinculam também precisam ser limpos.

É possível alternar entre imagens HWASan e regulares com o mesmo número de build (ou superior) livremente. Não é necessário limpar o dispositivo.

Para pular a limpeza de um módulo, use LOCAL_NOSANITIZE := hwaddress (Android.mk) ou sanitize: { hwaddress: false } (Android.bp).

Limpar destinos individuais

O HWASan pode ser ativado por destino em um build regular (não higienizado), desde que libc.so também seja higienizado. hwaddress: true foi adicionado ao bloco de sanitização em "libc_defaults" em bionic/libc/Android.bp. Em seguida, faça o mesmo no destino em que você está trabalhando.

A desinfecção da libc permite a inclusão de tags em alocações de memória do heap em todo o sistema, além da verificação das tags para operações de memória dentro de libc.so. Isso pode detectar bugs mesmo em binários em que o HWASan não estava ativado se o acesso de memória incorreto estiver em libc.so (por exemplo, pthread_mutex_unlock() em um mutex delete()ed).

Não é necessário mudar nenhum arquivo de build se toda a plataforma for criada usando o HWASan.

Flashstation

Para fins de desenvolvimento, é possível atualizar um build do AOSP com suporte a HWASan em um dispositivo Pixel com o carregador de inicialização desbloqueado usando a Flashstation. Selecione o destino _hwasan, por exemplo, aosp_flame_hwasan-userdebug. Consulte a documentação do NDK para HWASan para desenvolvedores de apps para mais detalhes.

Stack traces melhores

O HWASan usa um unwinder rápido baseado em ponteiro de frame para registrar um stack trace para cada evento de alocação e desalocação de memória no programa. O Android ativa os ponteiros de frame no código AArch64 por padrão, então isso funciona muito bem na prática. Se você precisar desfazer o código gerenciado, defina HWASAN_OPTIONS=fast_unwind_on_malloc=0 no ambiente do processo. Os rastros de pilha de acesso a memória incorretos usam o unwinder "lento" por padrão. Essa configuração afeta apenas rastros de alocação e desalocação. Essa opção pode exigir muito da CPU, dependendo da carga.

Simbolização

Consulte Simulação em "Noções básicas sobre os relatórios do HWASan".

HWASan em apps

Assim como o AddressSanitizer, o HWASan não pode acessar o código Java, mas pode detectar bugs nas bibliotecas JNI. Até o Android 14, não era compatível com a execução de apps HWASan em um dispositivo que não fosse HWASan.

Em um dispositivo HWASan, os apps podem ser verificados com o HWASan criando o código com SANITIZE_TARGET:=hwaddress no Make ou -fsanitize=hwaddress nas flags do compilador. Em um dispositivo sem HWASan (com o Android 14 ou mais recente), é necessário adicionar uma configuração de arquivo wrap.sh LD_HWASAN=1. Consulte a documentação para desenvolvedores de apps para saber mais.