バークレーパケットフィルタ

バークレーパケット フィルタ( BPF、BSD パケット フィルタ、クラシック BPFまたはcBPFとも呼ばれる) は、コンピュータネットワーク パケットをオペレーティング システムレベルでキャプチャおよびフィルタリングできるネットワーク タップおよびパケット フィルタです。データ リンク層への生のインターフェイスを提供し、生のリンク層パケットを送受信できるようにします。^[1]また、ユーザー空間プロセスが、受信するパケットを指定するフィルタ プログラムを提供できるようにします。たとえば、tcpdumpプロセスは、TCP 接続を開始するパケットのみを受信したい場合があります。BPF は、プロセスが提供するフィルタを通過するパケットのみを返します。これにより、オペレーティング システムカーネルからプロセスに不要なパケットがコピーされることがなくなり、パフォーマンスが大幅に向上します。フィルタ プログラムは仮想マシンの命令の形式であり、カーネル内で 解釈されるか、ジャストインタイム(JIT) メカニズムによってマシン コードにコンパイルされて実行されます。

BPF は、ネットワーク トラフィックの分析などが必要なプログラムで使用されます。ネットワーク インターフェイスのドライバーがプロミスキャス モードをサポートしている場合は、インターフェイスをそのモードに設定して、他のホスト宛てのパケットも含め、ネットワーク上のすべてのパケットを受信できるようにします。

BPF フィルタリング メカニズムは、ほとんどのUnix 系オペレーティング システムで使用できます。BPF は、インターフェイス全体ではなく、フィルタリング メカニズムだけを指すために使用されることがあります。LinuxやTru64 UNIXなどの一部のシステムでは、BPF 生インターフェイス以外の生インターフェイスをデータ リンク層に提供しますが、その生インターフェイスには BPF フィルタリング メカニズムを使用します。

Linuxカーネルは、JITメカニズムを使用するBPFフィルタリングメカニズムの拡張バージョンであるeBPFを提供し、パケットフィルタリングやカーネル内の他の目的に使用されます。eBPFはMicrosoft Windowsでも利用できます。^[2]

オリジナルの論文は、1992年にスティーブン・マッキャンとヴァン・ジェイコブソンがローレンス・バークレー研究所に在籍中に執筆した。^{[1] [3]}

BPF は、ネットワーク インターフェイスにバインドできる疑似デバイスを提供します。デバイスからの読み取りでは、ネットワーク インターフェイスで受信されたパケットでいっぱいのバッファーが読み取られ、デバイスへの書き込みでは、ネットワーク インターフェイスにパケットが挿入されます。

2007 年、ロバート・ワトソンとクリスチャン・ペロンは、FreeBSDオペレーティングシステムの BPF 実装にゼロコピーバッファ拡張を追加しました。 ^[4]これにより、デバイスドライバ割り込みハンドラのカーネルパケットキャプチャが、BPF デバイス経由で受信したすべてのパケットデータの 2 つのコピーの必要性を回避するために、ユーザープロセスメモリに直接書き込むことができるようになりました。ユーザープロセスの受信パスに 1 つのコピーが残りますが、これにより、異なる BPF デバイスコンシューマの独立性が維持され、完全なパケットデータをコピーするのではなく、ヘッダーを BPF バッファにパックできるようになります。^[5]

BPF のフィルタリング機能は、固定長命令、1 つのアキュムレータ、および 1 つのインデックス レジスタを備えた 32 ビット マシンであるBPF仮想マシンのマシン言語のインタープリタとして実装されています。この言語のプログラムは、パケットからデータを取得し、パケットのデータに対して算術演算を実行し、結果を定数またはパケット内のデータと比較したり、結果内のビットをテストしたりして、それらのテストの結果に基づいてパケットを受け入れるか拒否することができます。

BPF は、ロード (ld) 命令とストア (str) 命令を「オーバーロード」することによって拡張されることがよくあります。

従来の Unix ライクな BPF 実装は、カーネル空間用に記述されているにもかかわらず、ユーザー空間で使用できます。これは、プリプロセッサ条件を使用して実現されます。

一部のプロジェクトでは、オリジナルとは異なる BPF 命令セットまたは実行手法を使用します。

FreeBSD、NetBSD、WinPcapなどの一部のプラットフォームでは、パフォーマンスを向上させるために、ジャストインタイム コンパイラ(JIT)を使用してBPF 命令をネイティブ コードに変換します。 Linux には、デフォルトでは無効になっている BPF JIT コンパイラが含まれています。

同じ仮想マシン言語のカーネル モード インタープリタは、Tru64 Unixなどの他のオペレーティング システムの生データ リンク層メカニズム、 Linux カーネルのソケット フィルタ、WinPcap およびNpcapパケット キャプチャ メカニズムで使用されます。

BPF のユーザー モード インタープリターは、pcap APIの libpcap/WinPcap/Npcap 実装で提供されるため、そのフィルタリング メカニズムのカーネル モード サポートがないシステムでパケットをキャプチャする場合、パケットをユーザー モードでフィルタリングできます。pcap API を使用するコードは両方のタイプのシステムで動作しますが、フィルタリングがユーザー モードで行われるシステムでは、フィルタリングされるパケットも含め、すべてのパケットがカーネルからユーザー空間にコピーされます。このインタープリターは、pcap を使用してキャプチャされたパケットを含むファイルを読み取るときにも使用できます。

もう一つのユーザーモードインタープリタはuBPFで、JITとeBPF（cBPFなし）をサポートしています。そのコードは、Linux以外のシステムでeBPFサポートを提供するために再利用されています。^[6] MicrosoftのWindows上のeBPFは、uBPFとPREVAIL形式検証器に基づいています。^[7] uBPFをRustで書き直したrBPFは、 Solanaブロックチェーンプラットフォームによって実行エンジンとして使用されています。^[8]

クラシック BPF は通常、一致するパターンを記述する非常に高レベルのテキスト ルールからプログラムによって生成されます。そのような表現の 1 つはlibpcapにあります。^{[9]クラシック BPF と eBPF は、}マシン コード として直接記述することも、アセンブリ言語を使用してテキスト表現することもできます。有名なアセンブラには、Linux カーネルのbpf_asmツール (cBPF)、bpfc(cBPF)、ubpfアセンブラ (eBPF) などがあります。bpftoolコマンドは、両方の BPF フレーバーの逆アセンブラとしても機能します。アセンブリ言語は必ずしも互換性があるわけではありません。

eBPFバイトコードは最近、高水準言語のターゲットになっています。LLVMは2014年にeBPFのサポートを追加し、GCCは2019年に続きました。どちらのツールキットでも、 Cやその他のサポートされている言語をeBPFにコンパイルできます。P4のサブセットも、LLVMベースのコンパイラキットであるBCCを使用してeBPFにコンパイルできます。^[10]

Spectre攻撃は、LinuxカーネルのeBPFインタープリタまたはJITコンパイラを利用して、他のカーネルプロセスからデータを抽出する可能性があります。^[11]カーネルのJIT強化機能により、この脆弱性が軽減されます。^[12]

中国のコンピュータセキュリティグループPangu Labは、NSAが複雑なLinuxバックドアの一部としてネットワーク通信を隠すためにBPFを使用したと述べた。^[13]

バージョン 3.18 以降、Linux カーネルには、eBPFと呼ばれる 10 個の 64 ビット レジスタを持つ拡張 BPF 仮想マシンが含まれています。これは、eBPF プログラムをさまざまなトレースポイントに接続するなど、ネットワーク以外の目的で使用できます。^{[14] [15] [16]カーネル バージョン 3.19 以降、eBPF フィルターは}ソケットに接続でき、^{[17] [18]}カーネル バージョン 4.1 以降では、イングレスおよびエグレス ネットワーク データ パスのトラフィック制御分類子に接続できます。^{[19] [20]元の古いバージョンは、遡及的に}クラシック BPF ( cBPF )に名前が変更されました。現在、Linux カーネルは eBPF のみを実行し、ロードされた cBPF バイトコードは、プログラムの実行前にカーネル内で透過的に eBPF 表現に変換されます。^[21]すべてのバイトコードは、サービス拒否攻撃を防ぐために実行前に検証されます。 Linux 5.3までは、実行時間が無制限になる可能性を防ぐために、検証ツールはループの使用を禁止していましたが、最近のカーネルでは実行時間が制限されたループが許可されています。^[22]

• 証明コード
• エクスプレスデータパス

• McCanne, Steven; Jacobson, Van (1992-12-19) 「BSD パケット フィルタ: ユーザー レベルのパケット キャプチャのための新しいアーキテクチャ」(PDF)。

• bpf(4) –  FreeBSDカーネル インターフェースマニュアル– 従来の BPF の例
• bpfc、Berkeley Packet Filter コンパイラ、Linux BPF JIT 逆アセンブラ (netsniff-ng の一部)
• Linux カーネルの BPF ドキュメント
• Linux フィルタのドキュメント (cBPF と eBPF バイトコード形式の両方)