PCIDriverKit 权利检查失败将 KEXT 迁移到 DEXT

问题描述

kernel: DK: MyDriver-0x100000f45: provider entitlements check Failed
kernel: DK: IoUserServer(com.MyDriver-0x100000f45)::exit(Entitlements check Failed)
kernel: (com.MyDriver.dext) Kernel requested exit (Entitlements check Failed)

我正在尝试使用 PCIDriverKit 创建驱动程序。找不到任何合理的示例代码。

我的问题是我正在尝试访问所有设备，即使我已将它们的掩码正确放入 Info.plist (0x12345678&0x000000000) 和 com.apple.developer.driverkit = TRUE 和 com.apple.developer.driverkit.transport.pci 权利。

对于大多数设备，我在 macOS 日志中收到上述错误。在 A KEXT 中，我之前使用的同一个掩码效果很好。

当然禁用SIP，开启系统扩展开发者模式。

我目前正在 XCode 中使用“签名以在本地运行”选项，因为这是一个开发阶段。

如何获得 DEXT 以打开 Mac 上的所有 PCI 设备？

编辑： 根据 codesign -d --entitlements -：

，这些是 DEXT 的权利

▒▒qq<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
        <key>com.apple.developer.driverkit</key>
        <true/>
        <key>com.apple.developer.driverkit.transport.pci</key>
        <array>
                <dict>
                        <key>IOPCIPrimaryMatch</key>
                        <string>0x12345678&amp;0x00000000</string>
                </dict>
        </array>
        <key>com.apple.security.app-sandBox</key>
        <true/>
        <key>com.apple.security.get-task-allow</key>
        <true/>
</dict>
</plist>

amfid 日志：

amfid: [com.apple.MobileFileIntegrity:amfid] Basic requirement validation Failed,error: (null)
amfid: /Library/SystemExtensions/{SOME_GUID}/com.MyDriver.dext/com.MyDriver signature not valid: -67050

解决方法

对于为什么在您的情况下出现问题，我没有 100% 的答案。要在 未修改 系统上加载 dex，在对 dex 进行代码设计时，您肯定需要以下内容：

• 使用“Developer ID Application”证书身份签名并进行公证，或使用“Apple Developer”证书签名
• 嵌入式代码签名权利，包括通用 DriverKit 权利、任何特定于系列的权利以及与用户客户端访问相关的权利（如有必要）。
• 来自 Apple 的配置文件匹配：
  1. 您在 dex 中嵌入的代码签名权利。
  2. 您用于对 dex 进行签名的代码签名身份的类型和特定实例。
  3. dext 的应用程序和捆绑 ID。
  4. 如果使用 Apple 开发人员签名身份，则为您将在其上测试 dex 的 Mac 的硬件 ID。

对于本地测试，您可以尝试以下方法来临时解决代码签名问题：

• 禁用系统完整性保护 (SIP)。出于 DriverKit 扩展的目的，这会禁用一些代码签名检查。
• 禁用特定于 DriverKit 的权利检查。这将关闭检查许多特定于家庭的权利。要禁用检查，请在 0x8000 内核引导参数中设置标志 dk，这是一个位域。请注意，除非您设置标志 0x1，否则 DriverKit 将被完全禁用。因此，请使用 dk=0x8001 禁用 DriverKit 权利检查。
• 禁用 AMFI 检查。如果您尝试声明需要在配置文件中启用的权利，AMFI 通常会终止您的进程。您可以使用 amfi_get_out_of_my_way=1 内核引导参数禁用 AMFI。

显然，您对配置文件的控制有限，因为其中的权利必须得到 Apple 的批准。 （因此，如果您打算公开发布您的 dext，我通常建议您尝试在开始对 dex 进行全面开发之前尝试确定您可能需要哪些权利，并请求它们来自 Apple。这个过程可能需要几个月的时间。) 因此，当您没有这些配置文件时，了解所需的解决方法的确切最小组合会很有趣，但我没有详尽无遗对此进行了测试。我意识到这对于在等待 Apple 授予缺失的权利的同时让您的 dext 尽可能接近发货并没有多大帮助。希望有一天我可以系统地探索和记录所有这些。