上周，SentinelOne宣布了其v5.0代理的早期可用性，它成為第一個本機支持Apple的新M1(又名Apple芯片或arm64 Macs)體系結(jié)構(gòu)的終端安全代理。與其他MacsOS的EDR/XDR安全解決方案不同，有了本機支持，Sentinel代理無需在Apple的翻譯軟件層(稱為Rosetta 2)下運行。

在這篇文章中，SentinelOne的研究人員解釋了在這個領(lǐng)域中所有熱門術(shù)語的含義，從“Rosetta2”和“Apple Silicon”到“arm64 architecture”和“Universal 2”二進制文件，并解釋為什么在Apple Silicon上本機運行安全軟件具有明顯的性能和安全優(yōu)勢。

去年，蘋果公司宣布將為Macs設(shè)備構(gòu)建自己的CPU，而不是依靠英特爾作為其處理器，這一消息轟動一時。這些新設(shè)備于2020年末開始發(fā)售，并通過多個代號與Intel Macs進行了區(qū)別。

蘋果公司為推銷他們的新設(shè)備創(chuàng)造的第一個術(shù)語是“Apple silicon”，意思是指基于ARM公司設(shè)計的芯片的CPU芯片。蘋果授權(quán)基礎(chǔ)設(shè)計，并自行設(shè)計。很明顯，他們不想把自己的芯片標榜為是ARM芯片，而更愿意用一個獨特的品牌名稱“Apple silicon”來體現(xiàn)其品牌價值。

當然，蘋果公司已經(jīng)在iOS系統(tǒng)中使用他們自己定制的ARM芯片很多年了，并用“A”和數(shù)字說明符來進行編號，比如A10、A11、A12等等(當前版本的iOS系統(tǒng)搭載的是A14芯片)。大概是為了保持這種編號的規(guī)定，第一個Macs ARM芯片被編碼為“M1”。隨著蘋果不斷迭代設(shè)計，我們希望看到M2和M3等產(chǎn)品。因此，除了被稱為“Apple Silicon Macs，蘋果的第一代非英特爾設(shè)備也被稱為“M1 Mac”。

這就有必要是我們研究二進制文件——可執(zhí)行文件格式，它是蘋果和第三方軟件的基礎(chǔ)，可以在這些新的M1芯片上運行。當然，這些必須有一個與CPU架構(gòu)兼容的格式。在英特爾設(shè)備上，我們有x86_64 Macsh-O可執(zhí)行文件;對于M1/Apple silicon Macs，本機二進制格式是arm64e Macsh-O。

因此，我們有一個基于ARM的M1/Apple硅處理器架構(gòu)和運行在上面的arm64二進制文件。這似乎很簡單，但有一個問題：過去15年或更長時間里為英特爾Macs電腦編寫的所有軟件呢?不要忽視這樣一個事實：至少在未來的兩年內(nèi)，蘋果仍在銷售和生產(chǎn)帶有英特爾芯片的Macs電腦。同時擁有兩個完全不兼容的軟件目錄的兩個硬件產(chǎn)品線是站不住腳的。蘋果需要找到一種方法，讓在英特爾設(shè)備上構(gòu)建的軟件能夠在新的M1設(shè)備上運行。

輸入Rosetta 2和通用文件格式。

英特爾、ARM和對翻譯軟件的需求

Rosetta這個名字源于著名的“Rosetta Stone”，正是這塊石碑讓我們得以將埃及象形文字翻譯成現(xiàn)代語言。蘋果原始的Rosetta軟件實際上幫助公司在2000年代中期將早期的架構(gòu)PowerPC轉(zhuǎn)化為英特爾。

由于 M1 芯片底層架構(gòu)和過去不同，由此帶來的應(yīng)用生態(tài)兼容性問題是首先需要解決的，為此蘋果也開啟了為期兩年的 Mac 過渡計劃。具體來說，蘋果借助的是 macOS 11 Big Sur 系統(tǒng)以及其內(nèi)置的 Universal 2、Rosetta 2 和 Virtualizaion 三種技術(shù)來解決問題。不過話雖如此，可能還是會有小伙伴會比較猶豫，這些措施真的可以解決 M1 芯片 Mac 的軟件兼容性問題嗎?特別是原來在 x86 架構(gòu)上的應(yīng)用，開發(fā)者還沒有及時做適配，能在 Mac 上很好地運行嗎?

對于這個問題，其實蘋果已經(jīng)給出了專門的解決方案，就是 Rosetta 2。

Rosetta 2 是內(nèi)置在 macOS 11 Big Sur 系統(tǒng)里的，在幕后工作，只有當你第一次下載一款 x86 應(yīng)用，第一次打開時，才會提示你安裝 Rosetta 2。

換句話說，Rosetta 2 的存在完全不會對你過去一直以來使用 Mac 的習慣造成影響，它幾乎是無感的，悄悄做著翻譯工作。

想要知道你使用的 App 到底是原生在 Mac 上運行的，還是經(jīng)過 Rosetta 2“翻譯”之后的，只要在 “應(yīng)用程序”文件夾中找到這個應(yīng)用的圖標，右鍵打開菜單欄里的 “顯示簡介”，如果應(yīng)用種類后面有一個 “Intel”，說明這個應(yīng)用就是 x86 版本經(jīng)過 Rosetta 2 翻譯的。

基于這樣的機制，Rosetta 2 能夠幫助 x86 架構(gòu)的應(yīng)用在 M1 芯片的 Mac 上保持流暢快速的響應(yīng)，從而獲得很好的使用體驗。

當然，Rosetta 2 做翻譯的方案畢竟只是權(quán)宜之計，不會一直存在，只是在開發(fā)者們將自己的應(yīng)用全面轉(zhuǎn)到 M1 芯片原生狀態(tài)之前扮演過渡的作用。

當時，Rosetta的研發(fā)者使用了一種通用的文件格式，它是一種“FAT”二進制文件，其中包含PowerPC和Intel二進制文件。無論CPU是PowerPC還是Intel，操作系統(tǒng)都從FAT通用二進制文件中提取正確的文件，并在CPU上本機運行它。但是，如果Intel CPU遇到只有PowerPC二進制文件的軟件，它將執(zhí)行Rosetta轉(zhuǎn)換器，并將PowerPC二進制文件傳遞給Rosetta執(zhí)行。

對于M1 Mac，蘋果采取了類似的方法：開發(fā)者(比如SentinelOne)使用Universal 2二進制格式在一個版本中發(fā)布他們軟件的Intel和arm64版本。使用Universal 2二進制格式，操作系統(tǒng)會檢查它運行在哪個體系結(jié)構(gòu)上，并自動選擇適當?shù)腶rm64(適用于M1 Mac)或Intel(適用于x86_64)片來執(zhí)行。然而，如果M1 Mac遇到尚未進行本機轉(zhuǎn)換的開發(fā)人員提交的Intel二進制文件，它就會將二進制文件傳遞給Rosetta 2轉(zhuǎn)換機制來處理。

按著蘋果公司的說法，整個過程對用戶來說應(yīng)該是“透明的”，在這里“透明”的意思是“不可見的”，而不是“明顯的”。然而，Rosetta 2的工作方式與原始的Rosetta并不完全相同，這對性能和安全都有影響，用戶應(yīng)該注意這一點。

新的體系結(jié)構(gòu)意味著終端安全性面臨新的挑戰(zhàn)

原始的Rosetta和Rosetta 2的主要區(qū)別在于進行翻譯的時間。對于Rosetta 2，蘋果希望避免在原始Rosetta機制下影響一些嚴重消耗資源的軟件的性能問題，比如Adobe CS2。

最初的Rosetta的問題在于，每次運行該軟件時都會翻譯該軟件，從而在每次啟動時都反復給CPU造成負擔。 Apple采用Rosetta 2的方法是，通過在軟件首次啟動時進行“提前”(AOT)翻譯并將該翻譯保存以供將來發(fā)布，來盡可能地避免這種情況。

雖然這是一種改進仿真軟件性能的好方法，但也有缺點，特別是從安全軟件的角度來看。

相對于翻譯后的代碼，本機arm64代碼至少具有兩個性能優(yōu)勢，而翻譯后的代碼與大型，復雜的程序(例如EDR產(chǎn)品)特別相關(guān)。

我們上面提到的Ahead-of-Time轉(zhuǎn)換是通過名為oahd_helper的幫助程序進行的。該程序負責在首次運行x86_64二進制文件時創(chuàng)建轉(zhuǎn)換后的AOT二進制文件。要翻譯的x86_64代碼的大小越大，啟動時間越長。當需要oahd_helper轉(zhuǎn)換非常大的Intel可執(zhí)行文件時，這又會導致設(shè)備上的內(nèi)存和CPU占用過多。

其次，對于需要在運行時解析的復雜程序代碼的某些部分，無法進行完整的AOT轉(zhuǎn)換。由于局部環(huán)境變量和條件的原因，有時直到運行時才能確定需要運行什么代碼。雖然理論上開發(fā)人員可以提前編譯所有可能的代碼分支，但這既效率低下又容易出錯。必要時確定運行什么代碼并即時進行編譯(即時編譯或JIT編譯)的效率和防錯性要高得多。

在其他條件相同的情況下，當你在本機處理器上運行本機代碼時，JIT編譯是沒問題的，但當代碼必須通過Rosetta進行翻譯時，這意味著盡管使用了AOT編譯，但仍然需要進行一些即時編譯。當這種情況發(fā)生時，內(nèi)核將控制權(quán)轉(zhuǎn)移給一個特殊的Rosetta翻譯存根，由它來處理這項工作。簡而言之，任何足夠復雜的程序(如EDR解決方案)都需要通過Rosetta實時翻譯至少一部分Intel代碼，而與運行本機arm64代碼的安全解決方案相比，這種翻譯將導致性能損耗。

蘋果也在自己的官方文件中也提到了這一事實：

“翻譯過程需要時間，所以用戶可能會認為翻譯后的應(yīng)用程序有時會啟動或運行得更慢。”

通過設(shè)計，本機M1軟件更安全

但是性能并不是唯一需要擔心的事情。更重要的是，本機M1代碼比通過Rosetta翻譯運行英特爾代碼更安全。這是因為macOS Big Sur(acOS Big Sur是蘋果公司研發(fā)的桌面端操作系統(tǒng)，于北京時間2020年6月23日在2020蘋果全球開發(fā)者大會上發(fā)布，該操作系統(tǒng)適用于一部分Mac電腦。)帶來的變化之一只適用于Apple silicon Macs，即本機arm64代碼不能在M1 Mac上執(zhí)行，除非它有有效的代碼簽名。

除非附加了有效的簽名，否則Apple Silicon Mac在任何情況下都不允許執(zhí)行本機arm64代碼。但是，翻譯后的x86_64代碼不受此限制：翻譯后的x86_64代碼完全可以通過Rosetta執(zhí)行，而沒有任何簽名信息。

你可以在M1 Mac上用一個簡單的“hello world”程序輕松驗證這一點。如果首先將下面的程序編譯為arm64e，請注意操作系統(tǒng)在嘗試執(zhí)行時是如何阻止它的，但是一旦我們重新編譯了與x86_64可執(zhí)行文件相同的源文件，就可以在沒有代碼簽名且沒有代碼的情況下運行hello.out：

這就允許了軟件篡改的可能性，即通過Rosetta(Rosetta)翻譯僅以英特爾二進制代碼運行的軟件，其代碼簽名可能被刪除，代碼被修改，程序在沒有有效開發(fā)者代碼簽名的情況下通過Rosetta(Rosetta)執(zhí)行。

盡管嘗試進行此類攻擊的攻擊者還有其他障礙需要清除，但仍然存在這樣的情況：在M1 Mac上，本機arm64代碼比翻譯后的Intel代碼在本質(zhì)上更安全，因為后者無需進行任何代碼簽名檢查就可以運行。

這自然就引出了一個問題：Rosetta本身是否可以用作攻擊媒介。盡管所有組件都通過系統(tǒng)完整性保護進行了鎖定，但Rosetta是一個多方面且復雜的機制，由許多聯(lián)鎖部件組成，每個部件都有潛在的攻擊面。

在Rosetta的某些部件上，研究人員已經(jīng)完成了一些初始的、出色的逆向工程，但關(guān)于這個轉(zhuǎn)換層還有很多需要了解的地方，研究仍在進行中。

總結(jié)

毫無疑問，蘋果在Rosetta 2上比原始Rosetta有了長足的進步，這也許可以解釋為什么某些軟件開發(fā)人員尚未進行過渡，也許還不了解本機M1支持的優(yōu)勢。其他開發(fā)人員可能更愿意讓他們的解決方案在Rosetta下運行，以利用他們尚未或無法轉(zhuǎn)換為ARM的舊式Intel模塊的優(yōu)勢。

但是，如上所述，出于性能和安全方面的考慮，在Apple芯片上本機運行安全軟件的好處顯而易見。就像在其他地方，蘋果可能會在某些地方禁用Rosetta 2，而不會引起人們的注意。最后，同樣不可避免的是，正如最初的Rosetta在蘋果最終完全從Intel的PowerPC架構(gòu)過渡過來之后的幾年就停產(chǎn)了，蘋果最終將放棄對Apple silicon平臺上的翻譯軟件的支持。

本文翻譯自：

https://www.sentinelone.com/blog/why-your-macos-edr-solution-shouldnt-be-running-under-rosetta-2/