[news] NX-bit (No eXecute) 関連

NX-bit は、メモリページ領域が実行可能かそうでないかを区別するためのフラグです。

NX-bit の特徴としては以下の通り。

• セキュリティに特化した機能
  NX-bit を活用することにより、悪意のあるプログラムが不正にメモリ領域を侵犯することをハードウェア的に防ぐことが可能になります。NX-bit が存在していない場合、安価に不正なメモリアクセスを検知することが困難で、ソフトウェア的に判断するしかありませんでした。
  NX-bit は特に難しい仕組みではなく実行可能かどうかのフラグのみの判断ですので、大きなパフォーマンスダウンには繋がらないと私は考えています。
• AMD64 で初めて実装
  AMD 社が初めて実装しています。AMD 社ではこの技術を Enhanced Virus Protection (EVP) と名付けており、セキュリティに有効だとアピールしています。最近では Intel の EM64T や Transmeta の Efficeon にも実装されるとの報道もあります。
  [AMD 64 and Enhanced Virus Protection(AMD)]
• 32-bit OS でも対応可能
  AMD64 では 64-bit OS 以外でも 32-bit OS にも NX-bit を採用することが可能です。
• Windows では XP SP2 にて対応可能
  XP SP2 より Hardware DEP として NX-bit を活用することが可能になりました。今後も Windows Server 2003 SP1 への組み込みも検討されているとのことでした。
  DEP の詳細については <[XPSP2]: データ実行防止機能 (DEP)> をどうぞ。
• XD bit (Execute Disable Bit)
  Intel 社の NX-bit 対応。AMD64 と同等の機能を実装しています。

この page は <AMD64 (x86-64) 関連>、<IA-32e(Extended Memory 64 Technology)関連>、<AMD64/IA-32e 対応 OS 関連> の特設 page です。

お勧め

• [NX bit(Wikipedia)]
  NX-bit について詳細な記載有り。特に NX-bit 対応 OS リストは必見。お勧め。
• [解説：IDF Spring 2004レポート：64bitへ動き出したIAサーバの胎動(@IT)]
  元麻布春男さんの記事。記事中の「セキュリティの向上を目指す「NX」」の章によく纏まった文章があります。お勧め。

• [AMD64と拡張ウィルス防止機能(Enhanced Virus Protection)(AMD)]
  AMD の「拡張ウィルス防止機能(Enhanced Virus Protection)」本拠地。
• [エグゼキュート・ディスエーブル・ビット機能(インテル)]
  [Execute Disable Bit Functionality Blocks Malware Code Execution(Intel Developer Services)]
  Intel の XD-bit 本拠地。

用語、特集

• [NXビットとは 【NX bit】(IT用語辞典 e-Words)]

対応 OS リスト

• Windows
  Windows XP SP2 にて対応可能。Windows Server 2003 SP1 でも対応予定。
  <[XPSP2]: データ実行防止機能 (DEP)>
• Linux
  Linux Kernel 2.6.8 にて標準実装されました。今後は多くの Distributor に実装されていくと思われます。
• OpenBSD
  対応しているっぽいです。
  [OpenBSD 3.5 Release(OpenBSD)]

関連記事

• [マイクロソフト：「SP2の問題は欠陥とはいえない」(CNET Japan)] (05.01.30)
  [Windows XP SP2の欠陥にロシア企業が独自パッチ(Slashdot.jp)]
  [Defeating XP SP2 Heap Protection(Slashdot.org)]
• [Intel、Xeonのステッピングを「XD bit」搭載のE-0に変更(PC Watch)] (04.10.09)
• [インテル、Windows XP SP2のDEP機能に対応(PC Watch)] (04.09.25)
  Intel も NX-bit に対応したらしい。Intel 版は「Execute Disable Bit」(XD bit)」というネーミングになるそうな。
• [Transmeta、90nmプロセスの「Efficeon TM8800」発表(PC Watch)] (04.09.14)
  [Transmeta、90nmプロセス製造の「Efficeon TM8800」を発表(MYCOM PC WEB)]
• [米レッドハット、「Enterprise Linux 3」アップグレード版を発売(CNET Japan)] (04.09.08)
  [Red Hat Enterprise Linuxの最新版アップデートは、サブスクリプション方式の真価を実証(レッドハット)]
  [Red Hat Enterprise Linux 3、Update 3でExec-ShieldとNXをサポート(Slashdot.jp)]
  NX-bit 対応を始め、セキュリティにこだわった製品構成になっているようです。
• [NX機能対応のSempron 3100+が店頭に登場(MYCOM PC WEB)] (04.08.25)
• [Linux Kernel 2.6.8 Released(Slashdot.org)] (04.08.14)
  [Linux 2.6.8 / 2.6.8.1 リリース(Slashdot.jp)]
  2.6.8 released。NFS での Bug が早速見つかったようです。今回から NX-bit をサポートする patch が正式に採用されたようです。
  Update : NFS の patch が加わった 2.6.8.1 が release されています。
• [Cliffのリストフィルタ：2004年7月7日〜7月14日(japan.linux.com)] (04.07.20)
  [Linux-Kernel Archive NX: List of apps that probably break with NX]
  japan.linux.com より。NX patch を適用すると動作しないアプリケーションリストが投稿されたそうです。有名所が結構、駄目出し喰らってます。
• [レッドハットとインテル、Linux向けウイルス対策技術「NX」をサポート(CNET Japan)] (04.06.06)
  [オープンソースでも実装されるNX機能 - Linux kernel 2.6で利用可能に(MYCOM PC WEB)]
  [Linux: x86 No Execute Support(KernelTrap)]
  [Red Hat Introduces NX Software Support For Linux(Slashdot.org)]
  [AMD 64 and Enhanced Virus Protection(AMD)]
  [http://people.redhat.com/mingo/nx-patches/]
  Linux で NX-bit をサポートする patch が公開されました。patch を見て貰えれば分かるのですが、修正範囲はごく限られています。Arjan さんとこの kernel-2.6.6-1.411 には既に公開された patch を組み込んでいるらしい。はえー。
  この patch はいつ頃本流に組み込まれるんだろう。楽しみ。
• [Intel、PrescottのステッピングをE-0に変更(PC Watch)] (04.06.02)
  EM64T、NX-bit(Execute Disable Bit)対応も盛り込まれているとのこと。デスクトップ版 SpeedStep も気になる所。
• [Intel Vs. AMD x86-64(japan.linux.com)] (04.06.01)
  む。リストによると Intel は NX-bit を始めからサポートしない方針らしい。2/24 の E-Mail らしいので状況は刻々と変わっているはずなので、現状はどうなっているのだろうか。
• [http://www.itmedia.co.jp/enterprise/0405/26/epic02.html] (04.05.26)
  ITmedia の記事「完成近づくWindows XP SP2――NXのバグが最後の障害に」。実質今日にでも RC2 公開予定だったんだけど、やっぱり延期か？
• [Transmeta、Efficeonに「No eXecute」機能を搭載(PC Watch)] (04.05.18)
  [Transmeta To Add 'NX' Antivirus Feature To Chips(Slashdot.org)]
  NX bit 対応を表明した模様。
• [PrescottのNX機能とAMD64対応は夏から有効化(Slashdot.jp)] (04.05.16)
• [解説：IDF Spring 2004レポート：64bitへ動き出したIAサーバの胎動(@IT)]
• [OSがバッファオーバーフロー攻撃から解放される日(哲太郎の備忘録)]
  [Shudo's Notes (2004-5)]
  NX Bit：後で纏める予定。Linux Kernel だと ./arch\x86_64\kernel\setup64.c にある nonx32_setup が関係していそう。Kernel parameter に noexec32=on とかしたら世界が変わりそう。もしそうだとすると随分前から組み込まれているね。まだまだ調査が必要だな。