Google在Pixel 10調(diào)制解調(diào)器中引入Rust代碼 進(jìn)一步提高安全性

Google正把安全焦點(diǎn)對(duì)準(zhǔn)現(xiàn)代智能手機(jī)中長(zhǎng)期防護(hù)薄弱的一塊：蜂窩基帶。但公司并非試圖推翻重寫數(shù)十年的調(diào)制解調(diào)器固件，而是通過在 Pixel 10 調(diào)制解調(diào)器中引入一個(gè)基于 Rust 的 DNS 解析器，來強(qiáng)化這一傳統(tǒng)操作系統(tǒng)防御難以覆蓋的攻擊面。

Google在多年研究中已經(jīng)發(fā)現(xiàn)，一旦攻擊者成功打入基帶層面，操作系統(tǒng)常用的沙箱與漏洞緩解機(jī)制往往就不再奏效。

問題首先出在蜂窩調(diào)制解調(diào)器的構(gòu)建方式上。 手機(jī)基帶實(shí)際上相當(dāng)于一套獨(dú)立的操作系統(tǒng)，通常使用 C/C++ 編寫，運(yùn)行著體量達(dá)數(shù)十兆字節(jié)的大量閉源代碼，負(fù)責(zé)從信號(hào)處理到協(xié)議協(xié)商的方方面面。 在這種環(huán)境下進(jìn)行內(nèi)存管理極為困難，結(jié)果往往是固件“內(nèi)存不安全”，容易出現(xiàn)緩沖區(qū)溢出、釋放后使用、內(nèi)存泄漏等缺陷，并被串聯(lián)利用成遠(yuǎn)程代碼執(zhí)行漏洞。

Google Project Zero 團(tuán)隊(duì)此前已經(jīng)在 Pixel 所用的 Exynos 調(diào)制解調(diào)器上，演示了可以通過互聯(lián)網(wǎng)遠(yuǎn)程實(shí)現(xiàn)代碼執(zhí)行，并整理出二十多個(gè) Exynos 基帶漏洞，其中 18 個(gè)被評(píng)為嚴(yán)重等級(jí)。 盡管這些具體缺陷隨后陸續(xù)被修補(bǔ)，但并未改變底層風(fēng)險(xiǎn)：代碼庫依舊復(fù)雜、閉源且高度暴露在外部攻擊面上。 將整套固件徹底改寫為使用內(nèi)存安全語言，在現(xiàn)實(shí)中短期幾乎不可能。 基帶廠商在過去數(shù)十年中，圍繞 3GPP 規(guī)范不斷疊加代碼層次，其中大量?jī)?nèi)容被視作商業(yè)機(jī)密。

與此同時(shí)，基帶必須在實(shí)時(shí)性極高的條件下運(yùn)行，這也使得 C 和 C++ 長(zhǎng)期成為性能優(yōu)先的自然選擇。 其他內(nèi)存安全語言，如 Python 或 C#，依賴?yán)厥諜C(jī)制，這會(huì)帶來不可預(yù)期的延時(shí)抖動(dòng)，對(duì)基帶這類對(duì)時(shí)延極為敏感的負(fù)載來說不可接受。 Rust 為Google提供了一條新的路徑。 該語言通過所有權(quán)與借用模型，在編譯階段強(qiáng)制內(nèi)存安全，由嚴(yán)格的“借用檢查器”而非垃圾回收來把關(guān)。 在 Rust 中，某一類內(nèi)存錯(cuò)誤根本無法通過編譯，這讓它適合用于既要求高性能又需要安全保障的關(guān)鍵組件。

在當(dāng)前階段，Google并未嘗試全面重寫，而是選定了一個(gè)暴露面突出、邊界相對(duì)清晰的子系統(tǒng)：基帶內(nèi)部的 DNS 解析。 隨著蜂窩網(wǎng)絡(luò)功能不斷遷移到基于 IP 的數(shù)據(jù)網(wǎng)絡(luò)，DNS 已成為手機(jī)查找服務(wù)、路由呼叫轉(zhuǎn)移等功能的核心依賴。 DNS 解析器必須接收不受信任的數(shù)據(jù)包并解析一套相當(dāng)復(fù)雜的協(xié)議，當(dāng)它們以 C 或 C++ 實(shí)現(xiàn)時(shí)，已經(jīng)多次被證明會(huì)成為可被利用的漏洞源頭。

為強(qiáng)化這一路徑，Google選擇了 Rust 生態(tài)中廣泛使用的 hickory-proto DNS 庫，該庫擁有完善測(cè)試與活躍維護(hù)。 由于 Pixel 調(diào)制解調(diào)器并不存在極端嚴(yán)苛的內(nèi)存限制，團(tuán)隊(duì)可以將裁剪后的、基于 no_std 的 hickory-proto 版本直接集成到基帶固件中。 在剔除標(biāo)準(zhǔn)庫依賴以適應(yīng)基帶約束之后，這些 Rust 組件為固件額外帶來的體積約為 371KB。 在新的架構(gòu)下，抵達(dá)調(diào)制解調(diào)器的 DNS 請(qǐng)求將首先由 Rust 代碼處理，然后才可能觸及遺留的 C/C++ 路徑。 針對(duì)惡意 DNS 數(shù)據(jù)包發(fā)起的內(nèi)存破壞攻擊，會(huì)優(yōu)先撞上 Rust 在編譯期施加的安全約束，而非開發(fā)者手寫的指針運(yùn)算。

Pixel 10 是首款在調(diào)制解調(diào)器中搭載 Rust DNS 解析器的設(shè)備。 Google將這一舉措定位為未來工作的模板：先從最危險(xiǎn)、解析邏輯復(fù)雜的代碼入手，將其隔離并遷移到內(nèi)存安全的 Rust 環(huán)境中，隨著時(shí)間推移逐步縮小暴露在不受信任數(shù)據(jù)面前的遺留代碼占比。 這一漸進(jìn)式改造路線，試圖在不推翻既有基帶生態(tài)的前提下，為Android體系中最薄弱的環(huán)節(jié)加上一道更牢靠的防線。