Filtro de paquetes de Berkeley

El filtro de paquetes de Berkeley ( BPF ; también conocido como filtro de paquetes BSD , BPF clásico o cBPF ) es un mecanismo de captura de red y filtro de paquetes que permite capturar y filtrar paquetes de red informática a nivel del sistema operativo . Proporciona una interfaz directa a las capas de enlace de datos , permitiendo el envío y la recepción de paquetes de la capa de enlace ^{[ 1 ]} , y permite que un proceso de espacio de usuario proporcione un programa de filtro que especifique qué paquetes desea recibir. Por ejemplo, un proceso tcpdump puede querer recibir solo paquetes que inicien una conexión TCP. BPF devuelve solo los paquetes que pasan el filtro proporcionado por el proceso. Esto evita copiar paquetes no deseados del núcleo del sistema operativo al proceso, mejorando considerablemente el rendimiento. El programa de filtro se presenta en forma de instrucciones para una máquina virtual , que son interpretadas, o compiladas a código máquina mediante un mecanismo justo a tiempo (JIT), y ejecutadas en el núcleo.

BPF es utilizado por programas que necesitan, entre otras cosas, analizar el tráfico de red. Si el controlador de la interfaz de red admite el modo promiscuo , permite que la interfaz se configure en ese modo para que se puedan recibir todos los paquetes de la red , incluso aquellos destinados a otros hosts.

El mecanismo de filtrado BPF está disponible en la mayoría de los sistemas operativos tipo Unix . A veces, BPF se utiliza para referirse únicamente al mecanismo de filtrado, en lugar de a toda la interfaz. Algunos sistemas, como Linux y Tru64 UNIX , proporcionan una interfaz sin procesar a la capa de enlace de datos distinta de la interfaz sin procesar BPF, pero utilizan los mecanismos de filtrado BPF para dicha interfaz.

El núcleo de Linux proporciona una versión extendida del mecanismo de filtrado BPF, denominada eBPF , que utiliza un mecanismo JIT y se emplea para el filtrado de paquetes, así como para otros fines en el núcleo. eBPF también está disponible para Microsoft Windows . ^{[ 2 ]}

El artículo original fue escrito por Steven McCanne y Van Jacobson en 1992 mientras estaban en el Laboratorio Lawrence Berkeley . ^{[ 1 ] [ 3 ]}

BPF proporciona pseudodispositivos que se pueden vincular a una interfaz de red; las lecturas del dispositivo leerán búferes llenos de paquetes recibidos en la interfaz de red, y las escrituras en el dispositivo inyectarán paquetes en la interfaz de red.

En 2007, Robert Watson y Christian Peron añadieron extensiones de búfer de copia cero a la implementación de BPF en el sistema operativo FreeBSD , ^{[ 4 ]} permitiendo que la captura de paquetes del kernel en el controlador de interrupciones del controlador del dispositivo escribiera directamente en la memoria del proceso de usuario para evitar la necesidad de dos copias de todos los datos del paquete recibidos a través del dispositivo BPF. Si bien una copia permanece en la ruta de recepción para los procesos de usuario, esto preserva la independencia de los diferentes consumidores del dispositivo BPF, además de permitir el empaquetado de las cabeceras en el búfer BPF en lugar de copiar los datos completos del paquete. ^{[ 5 ]}

Las capacidades de filtrado de BPF se implementan como un intérprete de lenguaje máquina para la máquina virtual de BPF , una máquina de 32 bits con instrucciones de longitud fija, un acumulador y un registro de índice . Los programas en ese lenguaje pueden obtener datos del paquete, realizar operaciones aritméticas con ellos y comparar los resultados con constantes o con datos del paquete o bits de prueba en los resultados, aceptando o rechazando el paquete según los resultados de esas pruebas.

BPF se suele ampliar "sobrecargando" las instrucciones de carga (ld) y almacenamiento (str).

Las implementaciones tradicionales de BPF tipo Unix pueden utilizarse en el espacio de usuario, a pesar de haber sido escritas para el espacio del kernel. Esto se logra mediante condiciones de preprocesador .

Desde la versión 3.18, el kernel de Linux incluye una máquina virtual BPF extendida con diez registros de 64 bits, denominada eBPF . Puede utilizarse para fines distintos a la red, como adjuntar programas eBPF a diversos puntos de rastreo . ^{[ 6 ] [ 7 ] [ 8 ]} Desde la versión 3.19 del kernel, los filtros eBPF pueden adjuntarse a sockets , ^{[ 9 ] [ 10 ]} y, desde la versión 4.1 del kernel, a clasificadores de control de tráfico para la ruta de datos de red de entrada y salida. ^{[ 11 ] [ 12 ]} La versión original y obsoleta ha sido renombrada retroactivamente a BPF clásico ( cBPF ). Actualmente, el kernel de Linux ejecuta solo eBPF y el bytecode cBPF cargado se traduce de forma transparente a una representación eBPF en el kernel antes de la ejecución del programa. ^{[ 13 ]} Todo el bytecode se verifica antes de su ejecución para prevenir ataques de denegación de servicio. Hasta Linux 5.3, el verificador prohibía el uso de bucles para evitar tiempos de ejecución potencialmente ilimitados; ahora se permiten bucles con tiempo de ejecución limitado en los núcleos más recientes. ^{[ 14 ]}

Algunos proyectos utilizan conjuntos de instrucciones BPF o técnicas de ejecución diferentes a las originales.

Algunas plataformas, como FreeBSD , NetBSD y WinPcap , utilizan un compilador justo a tiempo (JIT) para convertir las instrucciones BPF en código nativo y así mejorar el rendimiento. Linux incluye un compilador JIT para BPF que está desactivado por defecto.

Los intérpretes en modo kernel para ese mismo lenguaje de máquina virtual se utilizan en mecanismos de capa de enlace de datos sin procesar en otros sistemas operativos, como Tru64 Unix , y para filtros de sockets en el kernel de Linux y en el mecanismo de captura de paquetes WinPcap y Npcap .

La implementación de la API pcap en libpcap/WinPcap/Npcap proporciona un intérprete en modo usuario para BPF. De esta forma, al capturar paquetes en sistemas sin soporte en modo kernel para este mecanismo de filtrado, los paquetes pueden filtrarse en modo usuario. El código que utiliza la API pcap funciona en ambos tipos de sistemas, aunque, en aquellos donde el filtrado se realiza en modo usuario, todos los paquetes, incluidos los que se filtrarán, se copian del kernel al espacio de usuario. Este intérprete también puede utilizarse para leer archivos que contienen paquetes capturados con pcap.

Otro intérprete en modo usuario es uBPF , que admite JIT y eBPF (sin cBPF). Su código se ha reutilizado para proporcionar soporte para eBPF en sistemas que no son Linux. ^{[ 15 ]} El eBPF de Microsoft en Windows se basa en uBPF y el verificador formal PREVAIL. ^{[ 16 ]} rBPF , una reescritura de uBPF en Rust, es utilizado por la plataforma blockchain Solana como motor de ejecución. ^{[ 17 ]}

El BPF clásico generalmente es emitido por un programa a partir de alguna regla textual de muy alto nivel que describe el patrón a coincidir. Una de estas representaciones se encuentra en libpcap . ^{[ 18 ]} El BPF clásico y el eBPF también pueden escribirse directamente como código máquina o utilizando un lenguaje ensamblador para una representación textual. Entre los ensambladores notables se incluyen la herramienta del kernel de Linux bpf_asm(cBPF), bpfc(cBPF) y el ubpfensamblador (eBPF). El bpftoolcomando también puede actuar como un desensamblador para ambas variantes de BPF. Los lenguajes ensambladores no son necesariamente compatibles entre sí.

El código de bytes eBPF se ha convertido recientemente en un objetivo para lenguajes de alto nivel. LLVM añadió soporte para eBPF en 2014, y GCC lo hizo en 2019. Ambos conjuntos de herramientas permiten compilar C y otros lenguajes compatibles a eBPF. Un subconjunto de P4 también se puede compilar a eBPF utilizando BCC, un conjunto de compiladores basado en LLVM. ^{[ 19 ]}

El ataque Spectre podría aprovechar el intérprete eBPF o el compilador JIT del kernel de Linux para extraer datos de otros procesos del kernel. ^{[ 20 ]} Una función de endurecimiento JIT en el kernel mitiga esta vulnerabilidad. ^{[ 21 ]}

El grupo chino de seguridad informática Pangu Lab afirmó que la NSA utilizó BPF para ocultar comunicaciones de red como parte de una compleja puerta trasera de Linux . ^{[ 22 ]}

• Código portador de prueba
• Ruta de datos exprés

• McCanne, Steven; Jacobson, Van (1992-12-19). "El filtro de paquetes BSD: una nueva arquitectura para la captura de paquetes a nivel de usuario" (PDF) .

• bpf(4) – Manual de interfaces del kernel de FreeBSD – un ejemplo de BPF convencional 
• bpfc, un compilador de Berkeley Packet Filter, desensamblador JIT de Linux BPF (parte de netsniff-ng)
• Documentación de BPF para el kernel de Linux
• Documentación de filtros de Linux , para formatos de código de bytes cBPF y eBPF.