Standard SMC 진입과 thread 할당

Linux 드라이버가 이 진입에 넘기는 값

Linux v6.18.37은 ioctl 인자를 optee_msg_arg로 만들고 선택한 전송 ABI로 호출합니다. CALL_WITH_ARG 계열의 a1:a2는 메시지 물리 주소의 상위·하위 32비트이지만, CALL_WITH_REGD_ARG에서는 등록된 공유 메모리 cookie이며 a3는 offset입니다. FF-A 구성에는 별도의 전송 구현이 있으므로 이 레지스터 표를 공통 규약처럼 적용하지 않습니다.

양쪽 코드를 이어서 읽기

QUESTION

Standard SMC 진입과 thread 할당 단계에서 실제로 바뀌는 상태는 무엇인가?

STRUCTURE

객체와 주소가 놓이는 구조

CALL PATH

실행 흐름

STATE LEDGER

단계별 입력과 출력

각 단계의 입력과 처리 후 바뀌는 상태를 정리한 표다. 사용 중인 소스 버전에서 다른 필드를 변경한다면 그에 맞춰 표도 수정한다.

분석 범위의 전제와 비교해, 다음 단계에 잘못된 입력을 넘긴 부분부터 조사한다.

VISUAL WALKTHROUGH

주소와 객체의 이동을 그림으로 읽기

아래 그림은 주소, 객체를 사용하는 기간, 제어권을 넘기는 시점을 중심으로 정리했다. 실제 주소와 크기는 사용 중인 보드의 bdinfo, 맵 파일과 링커 심벌로 확인한다.

UPSTREAM SOURCE

원본 코드

아래 코드는 OP-TEE OS 4.10.0의 core/arch/arm/kernel/thread_optee_smc.c에서 28-116줄을 그대로 가져온 것이다. 설명을 위해 실제 코드를 가짜 의사 코드로 바꾸지 않았다.

28
29static_assert(NOTIF_VALUE_DO_BOTTOM_HALF ==
30	      OPTEE_SMC_ASYNC_NOTIF_VALUE_DO_BOTTOM_HALF);
31
32void thread_handle_fast_smc(struct thread_smc_args *args)
33{
34	thread_check_canaries();
35
36	if (IS_ENABLED(CFG_NS_VIRTUALIZATION) &&
37	    virt_set_guest(args->a7) && args->a7 != HYP_CLNT_ID) {
38		args->a0 = OPTEE_SMC_RETURN_ENOTAVAIL;
39		goto out;
40	}
41
42	tee_entry_fast(args);
43
44	if (IS_ENABLED(CFG_NS_VIRTUALIZATION))
45		virt_unset_guest();
46
47out:
48	/* Fast handlers must not unmask any exceptions */
49	assert(thread_get_exceptions() == THREAD_EXCP_ALL);
50}
51
52uint32_t thread_handle_std_smc(uint32_t a0, uint32_t a1, uint32_t a2,
53			       uint32_t a3, uint32_t a4, uint32_t a5,
54			       uint32_t a6 __unused, uint32_t a7 __maybe_unused)
55{
56	uint32_t rv = OPTEE_SMC_RETURN_OK;
57
58	thread_check_canaries();
59
60	if (IS_ENABLED(CFG_NS_VIRTUALIZATION) && virt_set_guest(a7))
61		return OPTEE_SMC_RETURN_ENOTAVAIL;
62
63	/*
64	 * thread_resume_from_rpc() and thread_alloc_and_run() only return
65	 * on error. Successful return is done via thread_exit() or
66	 * thread_rpc().
67	 */
68	if (a0 == OPTEE_SMC_CALL_RETURN_FROM_RPC) {
69		thread_resume_from_rpc(a3, a1, a2, a4, a5);
70		rv = OPTEE_SMC_RETURN_ERESUME;
71	} else {
72		thread_alloc_and_run(a0, a1, a2, a3, 0, 0);
73		rv = OPTEE_SMC_RETURN_ETHREAD_LIMIT;
74	}
75
76	if (IS_ENABLED(CFG_NS_VIRTUALIZATION))
77		virt_unset_guest();
78
79	return rv;
80}
81
82/**
83 * Free physical memory previously allocated with thread_rpc_alloc_arg()
84 *
85 * @cookie:	cookie received when allocating the buffer
86 */
87static void thread_rpc_free_arg(uint64_t cookie)
88{
89	if (cookie) {
90		uint32_t rpc_args[THREAD_RPC_NUM_ARGS] = {
91			OPTEE_SMC_RETURN_RPC_FREE
92		};
93
94		reg_pair_from_64(cookie, rpc_args + 1, rpc_args + 2);
95		thread_rpc(rpc_args);
96	}
97}
98
99static uint32_t get_msg_arg(struct mobj *mobj, size_t offset,
100			    size_t *num_params, struct optee_msg_arg **arg,
101			    struct optee_msg_arg **rpc_arg)
102{
103	void *p = NULL;
104	size_t sz = 0;
105
106	if (!mobj)
107		return OPTEE_SMC_RETURN_EBADADDR;
108
109	p = mobj_get_va(mobj, offset, sizeof(struct optee_msg_arg));
110	if (!p || !IS_ALIGNED_WITH_TYPE(p, struct optee_msg_arg))
111		return OPTEE_SMC_RETURN_EBADADDR;
112
113	*arg = p;
114	*num_params = READ_ONCE((*arg)->num_params);
115	if (*num_params > OPTEE_MSG_MAX_NUM_PARAMS)
116		return OPTEE_SMC_RETURN_EBADADDR;

READING CONTRACT

발췌 범위와 읽기 기준

원문 28-116줄에는 앞뒤 문맥이 포함됩니다. 기준 구문 uint32_t thread_handle_std_smc(uint32_t a0은 L52에 있습니다. 발췌 첫 줄을 함수 정의의 시작으로 해석하지 않습니다.

SMC 레지스터로 전달받은 값은 검증해야 한다. a1-a2로 구성한 물리 주소, 캐시 속성, 메시지 크기, 공유 메모리의 관리 주체를 확인한 뒤 해당 주소의 메모리에 접근한다.

RELATED SOURCE

함께 읽어야 하는 원본 코드

첫 코드 조각만으로 동작이 완성되지 않는 경우 호출 매크로, 객체 정의와 실제 실행 목록을 같은 페이지에 묶었다. 각 조각은 같은 기준 commit에서 가져왔다.

677}
678
679/* Note: this function is weak to let platforms add special handling */
680TEE_Result __weak tee_entry_std(struct optee_msg_arg *arg, uint32_t num_params)
681{
682	return __tee_entry_std(arg, num_params);
683}
684
685/*
686 * If tee_entry_std() is overridden, it's still supposed to call this
687 * function.
688 */
689TEE_Result __tee_entry_std(struct optee_msg_arg *arg, uint32_t num_params)
690{
691	TEE_Result res = TEE_SUCCESS;
692
693	/* Enable foreign interrupts for STD calls */
694	thread_set_foreign_intr(true);
695	switch (arg->cmd) {
696	case OPTEE_MSG_CMD_OPEN_SESSION:
697		entry_open_session(arg, num_params);
698		break;
699	case OPTEE_MSG_CMD_CLOSE_SESSION:
700		entry_close_session(arg, num_params);
701		break;
702	case OPTEE_MSG_CMD_INVOKE_COMMAND:
703		entry_invoke_command(arg, num_params);
704		break;
705	case OPTEE_MSG_CMD_CANCEL:
706		entry_cancel(arg, num_params);
707		break;
708#if defined(CFG_CORE_DYN_SHM) && !defined(CFG_CORE_FFA)
709	case OPTEE_MSG_CMD_REGISTER_SHM:
710		register_shm(arg, num_params);
711		break;
712	case OPTEE_MSG_CMD_UNREGISTER_SHM:
713		unregister_shm(arg, num_params);
714		break;
715#endif
716	case OPTEE_MSG_CMD_DO_BOTTOM_HALF:
717		if (IS_ENABLED(CFG_CORE_ASYNC_NOTIF))
718			notif_deliver_event(NOTIF_EVENT_DO_BOTTOM_HALF);
719		else
720			goto err;
721		break;
722	case OPTEE_MSG_CMD_STOP_ASYNC_NOTIF:
723		if (IS_ENABLED(CFG_CORE_ASYNC_NOTIF))
724			notif_deliver_event(NOTIF_EVENT_STOPPED);
725		else
726			goto err;
727		break;
728#ifdef CFG_CORE_DYN_PROTMEM
729	case OPTEE_MSG_CMD_GET_PROTMEM_CONFIG:
730		get_protmem_config(arg, num_params);
731		break;
732#ifdef CFG_CORE_FFA
733	case OPTEE_MSG_CMD_ASSIGN_PROTMEM:
734		assign_protmem(arg, num_params);
735		break;
736#else
737	case OPTEE_MSG_CMD_LEND_PROTMEM:
738		lend_protmem(arg, num_params);
739		break;
740	case OPTEE_MSG_CMD_RECLAIM_PROTMEM:
741		reclaim_protmem(arg, num_params);
742		break;
743#endif /*!CFG_CORE_FFA*/
744#endif /*CFG_CORE_DYN_PROTMEM*/
745	default:
746err:
747		EMSG("Unknown cmd 0x%x", arg->cmd);
748		res = TEE_ERROR_NOT_IMPLEMENTED;
749	}
750
751	return res;
752}
753
754static TEE_Result default_mobj_init(void)
755{
756#ifdef CFG_CORE_RESERVED_SHM
757	shm_mobj = mobj_phys_alloc(default_nsec_shm_paddr,
758				   default_nsec_shm_size, SHM_CACHE_ATTRS,
759				   CORE_MEM_NSEC_SHM);
760	if (!shm_mobj)
761		panic("Failed to register shared memory");
762#endif
763
764#ifdef CFG_SECURE_DATA_PATH
765	sdp_mem_mobjs = core_sdp_mem_create_mobjs();

89	if (cookie) {
90		uint32_t rpc_args[THREAD_RPC_NUM_ARGS] = {
91			OPTEE_SMC_RETURN_RPC_FREE
92		};
93
94		reg_pair_from_64(cookie, rpc_args + 1, rpc_args + 2);
95		thread_rpc(rpc_args);
96	}
97}
98
99static uint32_t get_msg_arg(struct mobj *mobj, size_t offset,
100			    size_t *num_params, struct optee_msg_arg **arg,
101			    struct optee_msg_arg **rpc_arg)
102{
103	void *p = NULL;
104	size_t sz = 0;
105
106	if (!mobj)
107		return OPTEE_SMC_RETURN_EBADADDR;
108
109	p = mobj_get_va(mobj, offset, sizeof(struct optee_msg_arg));
110	if (!p || !IS_ALIGNED_WITH_TYPE(p, struct optee_msg_arg))
111		return OPTEE_SMC_RETURN_EBADADDR;
112
113	*arg = p;
114	*num_params = READ_ONCE((*arg)->num_params);
115	if (*num_params > OPTEE_MSG_MAX_NUM_PARAMS)
116		return OPTEE_SMC_RETURN_EBADADDR;
117
118	sz = OPTEE_MSG_GET_ARG_SIZE(*num_params);
119	if (!mobj_get_va(mobj, offset, sz))
120		return OPTEE_SMC_RETURN_EBADADDR;
121
122	if (rpc_arg) {
123		size_t rpc_sz = 0;
124
125		rpc_sz = OPTEE_MSG_GET_ARG_SIZE(THREAD_RPC_MAX_NUM_PARAMS);
126		p = mobj_get_va(mobj, offset + sz, rpc_sz);
127		if (!p)
128			return OPTEE_SMC_RETURN_EBADADDR;
129		*rpc_arg = p;
130	}
131
132	return OPTEE_SMC_RETURN_OK;
133}
134
135static void clear_prealloc_rpc_cache(struct thread_ctx *thr)
136{
137	thread_rpc_free_arg(mobj_get_cookie(thr->rpc_mobj));
138	mobj_put(thr->rpc_mobj);
139	thr->rpc_arg = NULL;
140	thr->rpc_mobj = NULL;
141}
142
143static uint32_t call_entry_std(struct optee_msg_arg *arg, size_t num_params,
144			       struct optee_msg_arg *rpc_arg)
145{
146	struct thread_ctx *thr = threads + thread_get_id();
147	uint32_t rv = 0;
148
149	if (rpc_arg) {
150		/*
151		 * In case the prealloc RPC arg cache is enabled, clear the
152		 * cached object for this thread.
153		 *
154		 * Normally it doesn't make sense to have the prealloc RPC
155		 * arg cache enabled together with a supplied RPC arg
156		 * struct. But if it is we must use the supplied struct and
157		 * at the same time make sure to not break anything.
158		 */
159		if (IS_ENABLED(CFG_PREALLOC_RPC_CACHE) &&
160		    thread_prealloc_rpc_cache)
161			clear_prealloc_rpc_cache(thr);
162		thr->rpc_arg = rpc_arg;
163	}
164
165	if (tee_entry_std(arg, num_params))
166		rv = OPTEE_SMC_RETURN_EBADCMD;
167	else

DETAILS

내부 동작을 더 깊게 읽기

IMPLEMENTATION NOTES

구현을 읽을 때 놓치기 쉬운 부분

OBJECT LIFETIME

객체와 수명

FAILURE PATH

실패 지점과 증상

로그가 끊긴 함수뿐 아니라 그 함수에 주소, 크기, 플래그를 전달한 앞 단계도 조사한다. 오류 처리 후 등록된 객체나 하드웨어 설정이 그대로 남아 있는지도 확인한다.

EVIDENCE

소스 밖에서 확인할 증거

소스에서 파악한 동작을 실제 빌드 결과와 대상 보드의 로그로 확인한다. 아래 명령의 보드 이름과 툴체인 접두사는 사용 중인 빌드 환경에 맞게 바꾼다.

LAB

직접 확인할 실험

1. 01
   잘못 정렬된 message PA 전달

   TF-A opteed 진입 전후에 thread_smc_args의 주소·크기·반환값과 timestamp를 함께 남긴다.

2. 02
   32/64-bit SMC 조합 비교

   thread_handle_std_smc 진입 전후에 optee_msg_arg의 주소·크기·반환값과 timestamp를 함께 남긴다.

3. 03
   thread pool 고갈 시 Linux driver 반환값 기록

   message address lookup 진입 전후에 mobj의 주소·크기·반환값과 timestamp를 함께 남긴다.

PRIMARY REFERENCES

원문과 다음 글