2. 硬件基础：MMU与IOMMU工作原理、物理地址与虚拟地址映射、DMA与设备访问模型

安全驱动开发的核心在于对内存和IO的精确控制。现代处理器通过内存管理单元（MMU）和IO内存管理单元（IOMMU）提供硬件级隔离。本章深入剖析这两大硬件的核心原理，建立驱动开发者必须掌握的地址转换与DMA安全模型。

2.1 内存管理单元（MMU）与虚拟地址映射

MMU是CPU内部负责将虚拟地址（VA）转换为物理地址（PA）的硬件模块。每个用户态进程拥有独立的虚拟地址空间，通过MMU实现进程间内存隔离。

2.1.1 地址转换核心流程

当CPU执行指令访问内存时，MMU执行以下步骤：

1. 获取虚拟地址：CPU发出VA（如0x7f00_1000）。
2. TLB查找：MMU首先查询转译后备缓冲器（TLB），若命中则直接获得物理地址。
3. 页表遍历：TLB未命中时，MMU硬件遍历多级页表（通常为4级，如PGD→PUD→PMD→PTE）。
4. 权限检查：检查页表项中的读/写/执行权限位，若违反则触发缺页异常或保护错误。
5. 物理地址生成：将虚拟页号（VPN）映射为物理页框号（PFN），加上页内偏移得到最终PA。

2.1.2 虚拟地址空间布局（以ARMv8 64位为例）

驱动开发中，内核驱动运行在最高特权级（EL1/环0），使用内核虚拟地址空间。访问用户空间缓冲区时，必须通过copy_from_user/copy_to_user等安全API，避免直接解引用用户指针。

2.1.3 MMU隔离机制SVG图

2.2 IO内存管理单元（IOMMU）与DMA隔离

MMU保护CPU视角的内存，但DMA设备直接访问物理内存，绕过MMU。IOMMU（如Intel VT-d、AMD-Vi、ARM SMMU）为设备提供类似MMU的地址转换和隔离能力。

2.2.1 IOMMU核心功能

• 设备地址转换：将设备发出的设备虚拟地址（DVA）或IO虚拟地址（IOVA）转换为物理地址。
• DMA隔离：每个设备或设备组拥有独立的设备页表，防止设备越权访问内存。
• 中断重映射：将设备中断重定向到指定CPU，防止中断注入攻击。
• 访问权限控制：对DMA操作进行读/写权限检查。

2.2.2 有/无IOMMU的DMA访问模型对比

2.2.3 IOMMU地址转换流程SVG图

2.3 物理地址与虚拟地址映射实践

驱动开发中，理解地址映射是编写安全代码的前提。以下列出驱动常见的地址操作场景：

2.3.1 地址类型速查表

2.3.2 典型映射代码示例（Linux内核）

/* 分配DMA缓冲区并建立IOMMU映射 */
struct device *dev = &pdev->dev;
dma_addr_t dma_handle;
void *cpu_addr;

/* 分配一致DMA内存（IOMMU自动映射） */
cpu_addr = dma_alloc_coherent(dev, size, &dma_handle, GFP_KERNEL);
if (!cpu_addr)
    return -ENOMEM;

/* cpu_addr: 内核虚拟地址，驱动通过此地址访问缓冲区 */
/* dma_handle: IO虚拟地址（IOVA），设备通过此地址发起DMA */

/* 使用完毕后释放 */
dma_free_coherent(dev, size, cpu_addr, dma_handle);

2.4 设备访问模型与DMA安全

2.4.1 三种DMA访问模型

1. 直接DMA（无IOMMU）：设备直接使用物理地址。驱动必须分配连续物理内存，且无法隔离设备访问范围。
2. IOMMU映射DMA：设备使用IOVA。驱动可分配分散物理页，IOMMU提供连续IOVA视图，同时实现访问控制。
3. SWIOTLB（软件IO TLB）：当硬件IOMMU不可用时，内核使用SWIOTLB在物理内存中预留缓冲区，作为DMA安全中转。

2.4.2 DMA攻击场景与IOMMU防御

2.4.3 安全驱动DMA编程原则

• 最小映射原则：只为DMA操作映射必要的内存区域，操作完成后立即解除映射。
• 验证设备来源：在支持IOMMU的系统中，检查设备是否在可信IOMMU域中。
• 使用DMA API：避免直接操作页表或物理地址，统一使用内核DMA子系统。
• 错误处理：检查DMA映射返回值，处理IOMMU页错误。