ใช้โมดูลผู้ให้บริการ pKVM

หน้านี้จะอธิบายวิธีใช้งานโมดูลผู้ให้บริการเครื่องเสมือน (pKVM) ที่ใช้เคอร์เนลที่มีการป้องกัน เมื่อคุณทำตามขั้นตอนเหล่านี้เสร็จแล้ว คุณควรมีโครงสร้างไดเรกทอรีที่คล้ายกับ

Makefile
el1.c
hyp/
    Makefile
    el2.c

1. เพิ่มรหัสไฮเปอร์ไวเซอร์ EL2 (el2.c) อย่างน้อยโค้ดนี้ต้องประกาศฟังก์ชัน init ที่ยอมรับการอ้างอิงไปยังโครงสร้าง pkvm_module_ops ดังนี้

   #include <asm/kvm_pkvm_module.h>
   
   int pkvm_driver_hyp_init(const struct pkvm_module_ops *ops)
   {
     /* Init the EL2 code */
   
     return 0;
   }
   

   API โมดูลผู้ให้บริการ pKVM เป็นโครงสร้างที่ห่อหุ้ม Callback ไปยังฟังก์ชัน pKVM Hypervisor โครงสร้างนี้เป็นไปตามกฎ ABI เดียวกันกับอินเทอร์เฟซ GKI

2. สร้าง hyp/Makefile เพื่อสร้างโค้ด Hypervisor ดังนี้

   hyp-obj-y := el2.o
   include $(srctree)/arch/arm64/kvm/hyp/nvhe/Makefile.module
   

3. เพิ่มโค้ดเคอร์เนล EL1 (el1.c) ส่วน init ของโค้ดนี้ต้องมีการเรียกใช้ pkvm_load_el2 module เพื่อโหลดโค้ดไฮเปอร์ไวเซอร์ EL2 จากขั้นตอนที่ 1

   #include <linux/init.h>
   #include <linux/module.h>
   #include <linux/kernel.h>
   #include <asm/kvm_pkvm_module.h>
   
   int __kvm_nvhe_pkvm_driver_hyp_init(const struct pkvm_module_ops *ops);
   
   static int __init pkvm_driver_init(void)
   {
       unsigned long token;
   
       return pkvm_load_el2_module(__kvm_nvhe_pkvm_driver_hyp_init, &token);
   }
   module_init(pkvm_driver_init);
   

4. สุดท้าย ให้สร้างไฟล์ประเภทรากเพื่อเชื่อมโยงโค้ด EL1 และ EL2 เข้าด้วยกัน

   ifneq ($(KERNELRELEASE),)
   clean-files := hyp/hyp.lds hyp/hyp-reloc.S
   
   obj-m := pkvm_module.o
   pkvm_module-y := el1.o hyp/kvm_nvhe.o
   
   $(PWD)/hyp/kvm_nvhe.o: FORCE
            $(Q)$(MAKE) $(build)=$(obj)/hyp $(obj)/hyp/kvm_nvhe.o
   else
   all:
           make -C $(KDIR) M=$(PWD) modules
   clean:
           make -C $(KDIR) M=$(PWD) clean
   endif
   

โหลดโมดูล pKVM

คุณสามารถโหลดโมดูลผู้ให้บริการ pKVM ได้โดยใช้ modprobe เช่นเดียวกับโมดูลผู้ให้บริการ GKI อย่างไรก็ตาม ด้วยเหตุผลด้านความปลอดภัย การโหลดจะต้องเกิดขึ้นก่อนที่จะยกเลิกการจัดสรร หากต้องการโหลดโมดูล pKVM คุณต้องตรวจสอบว่าได้รวมโมดูลไว้ใน ระบบไฟล์ราก (initramfs) และคุณต้องเพิ่มสิ่งต่อไปนี้ลงใน บรรทัดคำสั่งของเคอร์เนล:

kvm-arm.protected_modules=mod1,mod2,mod3,...

โมดูลผู้ให้บริการ pKVM ที่จัดเก็บไว้ใน initramfs จะรับลายเซ็นและการปกป้องของ initramfs

หากโหลดโมดูลผู้ให้บริการ pKVM รายการหนึ่งไม่ได้ ระบบจะถือว่าระบบไม่ปลอดภัยและจะเริ่มเครื่องเสมือนที่มีการป้องกันไม่ได้

เรียกใช้ฟังก์ชัน EL2 (hypervisor) จาก EL2 (โมดูลเคอร์เนล)

การเรียก Hypervisor (HVC) เป็นคำสั่งที่ให้เคอร์เนลเรียกไฮเปอร์ไวเซอร์ เมื่อเปิดตัวโมดูลผู้ให้บริการ pKVM แล้ว HVC สามารถใช้เพื่อเรียกใช้ฟังก์ชันที่ EL2 (ในโมดูล Hypervisor) จาก EL1 (โมดูลเคอร์เนล) ได้

1. ในรหัส EL2 (el2.c) ให้ประกาศตัวแฮนเดิล EL2:

Android-14

  void pkvm_driver_hyp_hvc(struct kvm_cpu_context *ctx)
  {
    /* Handle the call */

    cpu_reg(ctx, 1) = 0;
  }

Android-15

  void pkvm_driver_hyp_hvc(struct user_pt_regs *regs)
  {
    /* Handle the call */

    regs->regs[0] = SMCCC_RET_SUCCESS;
    regs->regs[1] = 0;
  }

1. ในรหัส EL1 (el1.c) ให้ลงทะเบียนเครื่องจัดการ EL2 ในผู้ให้บริการ pKVM โมดูล:

   int __kvm_nvhe_pkvm_driver_hyp_init(const struct pkvm_module_ops *ops);
   void __kvm_nvhe_pkvm_driver_hyp_hvc(struct kvm_cpu_context *ctx); // Android14
   void __kvm_nvhe_pkvm_driver_hyp_hvc(struct user_pt_regs *regs);   // Android15
   
   static int hvc_number;
   
   static int __init pkvm_driver_init(void)
   {
     long token;
     int ret;
   
     ret = pkvm_load_el2_module(__kvm_nvhe_pkvm_driver_hyp_init,token);
     if (ret)
       return ret;
   
     ret = pkvm_register_el2_mod_call(__kvm_nvhe_pkvm_driver_hyp_hvc, token)
     if (ret < 0)
       return ret;
   
     hvc_number = ret;
   
     return 0;
   }
   module_init(pkvm_driver_init);
   

2. ในรหัส EL1 (el1.c) ให้เรียก HVC:

   pkvm_el2_mod_call(hvc_number);