カーネルとユーザーランド

アプリが好きな番地を読めるなら、他人のパスワードも読める

前のレッスンで、OS がメモリを割り振り、CPU の時間を配ると見てきました。ではその割り振りを、アプリの側が無視して勝手に他人の領域を読んだらどうなるのでしょうか。

これができてしまう機械では、ブラウザで開いたページのスクリプトが、隣で動いているパスワード管理アプリのメモリを覗けます。逆に、アプリのバグで書き込み先の番地が 1 桁ずれただけで、OS 自身の管理表を壊してマシンごと落ちます。

つまり「割り振りを守ってください」というお願いでは足りません。守らせる仕組みが要ります。そしてその仕組みは、破られない場所、つまりソフトウェアより下のハードウェア側に置く必要があります。

CPU に、2 段のギアが刻まれている

x86 の CPU には特権レベルという段があり、いちばん上がリング 0、いちばん下がリング 3 です。OS の中核であるカーネルはリング 0 で動き、メモリのどの番地でも読み書きでき、機器に直接命令を出せます。ブラウザもエディタもシェルも、リング 3 で動きます。リング 3 からは、自分に割り当てられた領域の外へは手が届きません。届かないのは行儀の問題ではなく、そこへアクセスした瞬間に CPU が命令の実行を拒んで OS に通報するからです。

この境目があるおかげで、ブラウザが落ちても OS は無事です。落ちたのはリング 3 の住人 1 人ぶんなので、OS が後片付けをして終わります。逆にリング 0 で回復できない失敗が起きると、後片付けをする側が壊れているので、機械ごと止めるしかありません。Linux のカーネルパニックがそれです。

覚えておく価値があるのは、デバイスドライバもリング 0 で動くという点です。機器を直接叩く以上そこにいるしかないのですが、つまり素性の怪しいドライバを 1 本入れるだけで、OS の安全装置は簡単に無効化されます。ブルースクリーンの原因がドライバであることが多いのは、このためです。

なお、sudo で root になってもリング 0 には入りません。root のプロセスもリング 3 で動いています。増えるのは権限の位置ではなく、カーネルに頼める仕事の範囲だけです。強い権限を持つプロセスでも、メモリの外へは相変わらず手が届きません。

もう 1 つ、カーネル空間と物理メモリを同じものだと思わないでください。どちらも仮想の番地の上に置かれていて、違うのはアクセスできる資格だけです。

カーネル以外の全部が、ユーザーランド

リング 3 側をまとめてユーザーランドと呼びます。シェル、コマンド群、常駐サービス、デスクトップ環境、標準ライブラリ。普段「Linux を触っている」と言うとき、手で触れているのはほぼこちら側です。

Linux のディストリビューションが何十種類もあるのに、どれも Linux と呼べるのはこのためです。中心にあるカーネルは同じで、周りに置くユーザーランドが違うだけだからです。標準ライブラリを何にするか、パッケージをどう配るか、初期化を誰が担当するか。ここの選び方が違うだけで、まったく別の使い心地になります。同じ理由で、カーネルだけあっても人間には何もできません。

そして境目を越える手段は 1 つしか用意されていません。それがシステムコールです。