eBPF

eBPFは、オペレーティングシステムカーネルなどの特権コンテキスト でプログラムを実行できる技術です。^{[ 5 ]}これは、LinuxのBerkeley Packet Filter （BPF、元々は「拡張」を意味する「e」）フィルタリングメカニズムの後継であり、Linuxカーネルのネットワーク以外の部分でも使用されています。

これは、カーネルのソースコードを変更したりカーネルモジュールをロードしたりすることなく、実行時にカーネルの機能を安全かつ効率的に拡張するために使用されます。^{[ 6 ]}安全性は、静的コード分析を実行し、クラッシュ、ハング、またはその他の方法でカーネルに悪影響を与えるプログラムを拒否するカーネル内検証器によって提供されます。^{[ 7 ] [ 8 ]}

この検証モデルは、実行環境が制限され、ランタイムがプログラムについて何も知らないサンドボックス環境とは異なります。 ^{[ 9 ]}自動的に拒否されるプログラムの例としては、強力な終了保証のないプログラム（終了条件のない for/while ループなど）や、安全チェックなしでポインタを逆参照するプログラムなどがあります。^{[ 10 ]}

検証に合格したロードされたプログラムは、ネイティブ実行パフォーマンスのために、解釈されるか、カーネル内でジャストインタイムコンパイル(JIT コンパイル) されます。実行モデルはイベント駆動型で、いくつかの例外を除いて完了まで実行されます。^{[ 2 ]}つまり、プログラムはオペレーティングシステムカーネルのさまざまなフックポイントにアタッチでき、イベントがトリガーされると実行されます。eBPF のユースケースには、 XDPなどのネットワーク、トレース、セキュリティサブシステムが含まれます (ただし、これらに限定されません)。^{[ 5 ]} eBPF の効率性と柔軟性により、本番環境の問題を解決するための新しい可能性が開かれたことから、ブレンダン・グレッグはeBPF を「Linux のスーパーパワー」と称したことで有名です。^{[ 11 ]}リーナス・トーバルズは、「BPF は実際に非常に役立っており、その真の力は、要求されるまで有効にならない特殊なコードを実行できるようにする点にある」と述べています。^{[ 12 ]} Linux での成功により、eBPFランタイムはWindowsなどの他のオペレーティングシステムに移植されています。^{[ 4 ]}

eBPFは、古典的なBerkeley Packet Filter（cBPF、後付けで付けられた名称）から発展したものです。最も基本的なレベルでは、10個の64ビットレジスタ（cBPFの2つの32ビット長レジスタの代わりに）、異なるジャンプセマンティクス、呼び出し命令とそれに対応するレジスタ渡し規約、新しい命令、およびこれらの命令の異なるエンコーディングが導入されました。^{[ 13 ]}

eBPF という別名は、Linux カーネル コミュニティなどで BPF とよく同義語として使われています。^{[ 2 ] [ 50 ]} eBPF と BPF は、 LLVMのような技術名として言及されています。^{[ 2 ]} eBPF は、 Berkeley Packet Filterのフィルタリング仮想マシンのマシン 言語から拡張バージョンとして発展しましたが、その使用例がネットワークの範囲を超えたため、今日では「eBPF」は擬似頭字語として解釈されることが多くなっています。^{[ 2 ]}

ミツバチはeBPFの公式ロゴです。最初のeBPFサミットで投票が行われ、ミツバチのマスコットは「eBee」と名付けられました。^{[ 51 ] [ 52 ]}このロゴは元々Vadim Shchekoldinによって作成されました。^{[ 52 ]}過去には非公式のeBPFマスコットが存在しましたが、^{[ 53 ]}広く採用されることはありませんでした。

eBPF Foundation は、eBPF の強力な機能を拡張し、Linux を超えて成長するための貢献を拡大することを目標として、2021 年 8 月に設立されました。^{[ 1 ]}創設メンバーには、 Meta、Google、Isovalent、Microsoft、Netflixが含まれます。その目的は、eBPF テクノロジーに関連するさまざまなオープンソース、オープンデータ、および/またはオープンスタンダードプロジェクトを支援するために資金を調達、予算化、支出することであり^{[ 54 ]}、eBPF エコシステムの成長と採用をさらに促進することです。設立以来、Red Hat、Huawei、Crowdstrike、Tigera、DaoCloud、Datoms、FutureWei も参加しています。^{[ 55 ]}

eBPFは、例えば以下のような多くの大規模生産ユーザーに採用されています。

• Metaは、facebook.comへのすべてのトラフィックに対して、Katranレイヤー4ロードバランサーを介してeBPFを使用しています^{[ 56 ] [ 57 ] [ 58 ] [ 31 ]}
• Google はGKEで eBPF を使用し、監査を置き換えるために BPF LSM を開発して使用し、ネットワークに eBPF を使用しています^{[ 29 ] [ 59 ] [ 60 ] [ 61 ]}
• Cloudflare は、負荷分散、DDoS 保護、セキュリティの強制に eBPF を使用しています^{[ 62 ] [ 63 ] [ 64 ] [ 65 ] [ 66 ]}
• Netflixは、フリート全体のネットワークの可観測性とパフォーマンス診断にeBPFを使用しています^{[ 67 ] [ 68 ]。}
• Dropboxはレイヤー4の負荷分散にKatranを介してeBPFを使用しています^{[ 69 ]}
• Android はNAT46 とトラフィック監視に eBPF を使用します^{[ 70 ] [ 71 ] [ 72 ]}
• Samsung GalaxyはネットワークソリューションにeBPFを使用しています^{[ 73 ]}
• Yahoo! Inc は、 レイヤー 4 の負荷分散に Cilium を介して eBPF を使用しています^{[ 74 ]}
• LinkedInはインフラストラクチャの可観測性のためにeBPFを使用しています^{[ 75 ]}
• AlibabaはKubernetes Podの負荷分散にeBPFを使用しています^{[ 76 ]}
• DatadogはKubernetes Podのネットワークとセキュリティの強制にeBPFを使用しています^{[ 77 ] [ 78 ] [ 79 ]}
• Trip.com はKubernetes Pod ネットワークに eBPF を使用しています^{[ 80 ] [ 81 ]}
• ShopifyはFalco ^{[ 82 ]}を介して侵入検知にeBPFを使用しています。
• DoorDashは カーネルレベルの監視にBPFAgentを介してeBPFを使用しています^{[ 83 ]}
• Microsoft はeBPF と XDP を Windows に移植しました^{[ 84 ] [ 85 ] [ 86 ]}
• SeznamはCiliumを介してeBPFを使用してレイヤー4の負荷分散を行っています^{[ 87 ]。}
• DigitalOceanは、仮想ネットワーク内の内部サービスへのアクセスをレート制限するためにeBPFとXDPを使用しています^{[ 88 ]。}
• CapitalOneはKubernetes PodのネットワークにeBPFを使用しています^{[ 89 ]}
• Bell Canadaは、 SRv6を使用して通信ネットワークを近代化するためにeBPFを使用しています^{[ 90 ]}
• Elastic_NVは、オブザーバビリティ提供の一環として、コードプロファイリングにeBPFを使用しています^{[ 91 ]。}
• AppleはKubernetes PodのセキュリティにeBPFを使用しています^{[ 92 ]}
• SkyはKubernetes PodのネットワークにeBPFを使用しています^{[ 93 ]}
• ウォルマートはレイヤー4の負荷分散にeBPFを使用しています^{[ 94 ] [ 95 ]}
• ファーウェイはDIGLIMセキュアブートシステムを通じてeBPFを使用しています^{[ 96 ]}
• IKEAはKubernetes PodのネットワークにeBPFを使用しています^{[ 97 ]}
• ニューヨーク・タイムズはネットワークにeBPFを使用している^{[ 98 ]}
• Red Hatは、自社のプライベートクラウドにおいて、負荷分散とトレースのためにeBPFを大規模に利用しています。
• Palantir Technologiesは、大規模なKubernetesクラスタのネットワーク問題をデバッグするためにeBPFを使用しています^{[ 99 ]。}
• Bloombaseは、ネットワークストレージ層における脅威の検出と軽減にeBPFを使用しています。

プログラマビリティの容易さから、eBPF は脆弱なマイクロプロセッサに対するSpectreなどのマイクロアーキテクチャのタイミングサイドチャネル攻撃を実装するためのツールとして使用されてきました。^{[ 100 ]}非特権 eBPF はx86-64の Spectre v1、v2、v4 に対する緩和策を実装していますが、^{[ 101 ] [ 102 ]}最終的に、サポートされていないアーキテクチャのユーザーを保護し、将来のハードウェア脆弱性の影響を制限するために、カーネル コミュニティによって非特権の使用はデフォルトで無効になっています。^{[ 103 ]} x86-64 では、Spectre v1 は分岐なし境界強制 (命令のマスキングなど) と投機的実行パスの検証の組み合わせによって緩和されます。Spectre v4 は投機的バリア (lfence など) によってのみ緩和され、Spectre v2 は利用可能な場合は retpoline ^{[ 104 ]}または投機的バリアによって緩和されます。これらの対策は、カーネルが所有する機密情報（カーネルアドレスなど）が悪意のあるeBPFプログラムによって漏洩するのを防ぐものですが、無害なeBPFプログラムが所有/処理する機密情報（数値として保存されている暗号鍵など）を誤って漏洩するのを防ぐようには設計されていません。^{[ 102 ]}

• Express Data Path

• グレッグ、ブレンダン（2019年12月）。BPFパフォーマンスツール。アディソン・ウェスリー。ISBN 978-0136554820。
• David Calavera、Lorenzo Fontana (2019年12月)。Linux Observability With BPF。O'Reilly Media, Incorporated。ISBN 978-1492050209。
• グレッグ、ブレンダン（ 2020年12月）。システムパフォーマンス、第2版。アディソン・ウェスリー。ISBN 978-0136820154。
• ライス、リズ（2022年4月）。eBPFとは何か？ ISBN 978-1492097259。
• ライス、リズ（2023年4月）。eBPFを学ぶ：拡張された可観測性、ネットワーク、およびセキュリティのためのLinuxカーネルのプログラミング。O'Reilly Media。ISBN 978-1098135126。
• Thaler, Dave 編 (2024 年 10 月). BPF 命令セットアーキテクチャ (ISA) . IETF . doi : 10.17487/RFC9669 . RFC 9669. 2024 年 1 月 5 日取得.

• eBPF.io - 概要、チュートリアル、eBPFコミュニティリソース
• eBPF.foundation - Linux FoundationのeBPF Foundationサイト
• eBPF開発者向けチュートリアル：例題を通してeBPFを段階的に学ぶ
• eBPFドキュメンタリー - eBPFの始まりに関するドキュメンタリー