為什么 Fuchsia 不限制對時鍾的訪問以防止不受信任的進程執行定時攻擊？

Question

定時攻擊是指惡意代碼通過測量其他更受信任的進程對私有數據執行已知操作所需的時間來找出它不應該擁有的一些信息。

對象能力 model 的擁護者通常認識到，您可以通過默認不提供時鍾來減少計時攻擊，要求進程具有時鍾能力，否則拒絕他們以任何方式測量時間的流逝。 鑒於 Fuchsia 是一種非常具有對象能力的操作系統，為什么默認情況下時鍾可用？

Answer 1

這是一個公平的問題，這是一個間接的答案，因為它沒有回答為什么時鍾訪問可用。

具體來說，當涉及到計時攻擊時，時鍾只是一種便利，在大多數情況下，它並不是記錄計時信息的必要條件，因為其他機制（例如計數競爭的旋轉操作或將計時與其他操作進行比較）通常就足夠了，盡管有時更難建立。

還出現了其他實際問題，例如在您描述的路徑上也希望限制線程，通過常用的標准庫互斥鎖，這些線程也與這個問題空間有一些深層聯系，這些互斥鎖依賴於掛起時間。 這里的含義變得有些問題，因為試圖拉出所有此類訪問會阻礙非常常見的運行時的啟動，並且根據實現細節，許多設計也可能會阻礙常見程序的性能。

--

編輯：我還應該補充一點，我們有郵件列表，在這里： fuchsia.dev/fuchsia-src/contribute/community/get-involved 這個問題在那里會受到歡迎，並且有可能提出圍繞這個引入一些功能的提案. 開始討論的最佳地點是那些郵件列表。 我希望我們在那里見到你！