iOS XNU Çekirdeği: Mach Mikroçekirdek ve BSD Katmanlarının Güvenlik ve Bellek İzolasyonu: Maliyet, süre, standartlar ve yasal/mühendislik sınırları

Bölüm 1: Bu Nedir ve Neden Hayati Önem Taşır?

XNU (X is Not Unix), Apple ekosisteminin (iOS, macOS, watchOS, tvOS) temelini oluşturan hibrit bir çekirdek mimarisidir. Bu analiz, Mach 3.0 mikroçekirdek mirasının (görev/iş parçacığı yönetimi, IPC, sanal bellek) ve FreeBSD türevi BSD katmanının (POSIX uyumluluğu, dosya sistemi, ağ yığını, süreç modeli) güvenlik ve bellek izolasyonu üzerindeki etkileşimini inceler. Ontolojik çerçeve, “parçacıklandırılmış ayrıcalık” (privilege separation) ilkesinin, tek adres alanında (monolitik BSD) ve çoklu adres alanlarında (Mach IPC) nasıl çelişkili ve tamamlayıcı çalıştığını kapsar. Temel parametreler; sanal bellek haritalama (pmap), Mach port hakları (capabilities), kod imzalama (AMFI/Trust Cache), Pointer Authentication Codes (PAC) ve Kernel Integrity Protection (KIP/KTRR) mekanizmalarıdır. Metodoloji; statik/dinamik analiz, CVE kök neden analizi ve Apple Platform Güvenliği belgeleri ile açık kaynak XNU kaynak kodunun (xnu-11215.x.x) çapraz referanslı incelemesini temel alır.

Bölüm 2: Perde Arkası: Sistem Nasıl Çalışıyor?

XNU’nun güvenlik mimarisi, Mach’in “port tabanlı yetkilendirme” (capability-based security) modeli ile BSD’nin “UID/GID tabanlı erişim kontrolü” (DAC) birleşiminden doğar. Çekirdek modu (kernel space) tek bir sanal adres alanında çalışır; bu da Mach ve BSD veri yapılarının (task_struct, proc, vm_map) fiziksel bellekte komşu olmasına neden olur. İzolasyon, donanım destekli sayfa tablosu girişi (PTE) izinleri (AP/RW/XN), ARMv8.3+ PAC ile işaretçi bütünlüğü ve ARMv8.5+ MTE (Memory Tagging Extension) ile sağlanır. Mach IPC, mesaj kuyrukları (ipc_port) üzerinden çapraz süreç iletişimini denetler; port hakları (send/receive/send-once) çekirdek tarafından doğrulanır. BSD katmanı proc yapısı üzerinden kimlik bilgilerini (kauth_cred_t) tutar ancak sistem çağrıları (syscalls) unix_syscall vektörü üzerinden Mach mach_msg veya mach_trap mekanizmasına düşer. Bu çift katmanlılık, bir BSD exploitinin (örn. use-after-free fileproc) Mach port manipülasyonuna (port replacement) dönüşerek çekirdek okuma/yazma yetkisi (tfp0) kazanmasına zemin hazırlar.

Bölüm 3: Bilim Dünyası ve Uzmanlar Nasıl İnceliyor?

Güvenlik değerlendirmesi; Common Criteria (ISO/IEC 15408) EAL 4+ sertifikasyon hedefleri, NIST SP 800-53 (SC-3, SI-7, SI-16) kontrolleri ve ARMv8-A Mimari Referans Kılavuzu (ARM DDI 0487) donanım zorunlulukları çerçevesinde yapılır. Kod imzalama politikası (Code Signing), Apple Root CA zinciri (Apple Root CA – G3/G4) ve RFC 5280 (X.509) standartlarına bağlıdır. Çekirdek uzantıları (Kexts) ve DriverKit sürücüleri için IOKit eşleşme kuralları ve entitlement tabanlı erişim (com.apple.developer.kernel.*), sıfır güven (Zero Trust) prensiplerine uygun olarak modellenir. Statik analizde Clang Static Analyzer, Coverity ve özel XNU denetleyicileri (OSVerify); dinamik analizde dtrace, ktrace ve panic döküm analizi (IPSW kernelcache sembolleri ile) kullanılır. Fuzzing metodolojisi; syzkaller (Linux odaklı ama XNU portu var), jackalope ve Apple içi libFuzzer hedefleri (mach_msg, syscalls, IOKit external methods) ile gerçekleştirilir. Yasal çerçeve; DMCA 1201 (anti-circumvention) güvenlik araştırmacılarını kısıtlar, ancak DMCA istisnası (2021/2024) “iyi niyetli güvenlik testi” kapsamını genişletir.

Bölüm 4: Önemli Parametreler ve Karşılaştırma Rehberi

Bölüm 5: Günlük Hayatta ve Doğada Nerede Karşımıza Çıkar?

XNU güvenlik mimarisi, mobil cihaz yönetimi (MDM), kurumsal veri koruma (DLP) ve yüksek güvenlikli mobil iş istasyonları için referans mimaridır. Pratik senaryo: Bir kurumsal iOS uygulaması (Managed App Configuration), com.apple.developer.managed-configuration entitlement’ı ile veri sızıntısını engellerken, arka planda Mach IPC (xpc_connection_t) üzerinden launchd ve securityd ile kimlik doğrulama belirteçleri (tokens) paylaşır. Kritik vaka analizi: Checkm8 (CVE-2019-8900) Boot ROM DFU modu USB DFU işleme hatası (heap overflow) ile güvenli önyükleme zincirini (Chain of Trust) kırdı; donanım tabanlı, patchlenemez. ForcedEntry (CVE-2021-30860) CoreGraphics PDF JBIG2 decode integer overflow -> heap corruption -> PAC bypass (PACMAN benzeri mantık hatası) -> Kernel RCE -> Spyware (Pegasus) kurulumu. Bu vaka, bellek güvenliği (MTE/PAC) ve sandbox kaçışının (Safari Renderer -> Kernel) birleşiminin sistem çökertme maliyetini sıfıra indirdiğini kanıtladı. Maliyet analizi: Sıfır gün (0-day) iOS exploit zinciri piyasa değeri $2M-$8M aralığındadır; bu da XNU koruma katmanlarının (PAC, KTRR, PPL) ekonomik olarak “kırma maliyeti”ni artırdığını gösterir.

Bölüm 6: Karşılaşılan Zorluklar ve Pratik Çözümler

Ana operasyonel darboğaz, Mach/BSD sınırındaki semantik boşluktur. Mach task ve BSD proc yapıları ayrı yaşam döngülerine sahiptir; task_terminate vs exit senkronizasyon hataları (race conditions) UAF yaratır. İkinci risk, IOKit C++ çok biçimliliği (vtable) ve IOUserClient external method dispatch tablolarının kullanıcı alanından kontrollü indekslenmesidir; type confusion (CVE-2022-32893 vb.) sık görülür. Üçüncü, PAC koruması IA (Instruction Address) anahtarı için SCTLR_EL1.EnIA bitine bağlıdır; çekirdek modunda anahtar sıfırlama (key rotation) yoktur, bu da PACMAN (speculative execution ile PAC doğrulama atlatma) gibi mikro mimari saldırılara kapı açar. Çözüm yolları: 1) DriverKit ile sürücüleri kullanıcı alanına taşıma (IPC maliyeti vs güvenlik kazancı). 2) kalloc_type ve kheap izolasyonu (zone allocator hardening) ile heap feng shui zorlaştırma. 3) PPL (Protected Page List) ve APFS Sealed Snapshots ile yazma korumasını donanım/MMU seviyesinde kilitleme. 4) Lockdown Mode ile com.apple.security.get-task-allow, task_for_pid, JIT (MAP_JIT) ve IOKit yüzeyünü çalışma zamanında daraltma.

Bölüm 7: Gelecek Perspektifi ve Yeni Gelişmeler

Son gelişmelerde ARMv9 / ARMv8.7-A mimarisi (FEAT_MTE2, FEAT_RME – Realm Management Extension) merkeze alındı. M2/A15+ çiplerde MTE (Memory Tagging Extension) üretimde etkin; malloc ve vm_allocate etiketli bellek döndürüyor. RME (CCA – Confidential Compute Architecture), sanal makine izolasyonu (Realm VMs) için Granule Protection Table (GPT) ve Realm Management Monitor (RMM) getiriyor; bu, iOS’ta sanal makine tabanlı izolasyon (örn. güvenli enclave dışı hassas işlemler) için altyapı hazırlıyor. CHERI (Capability Hardware Enhanced RISC Instructions) uyarlamaları (CHERIBSD/CHERI-XNU prototipleri) işaretçi yetkilendirmesini (bounds + permissions) donanımda birleştirerek C/C++ bellek güvenliğini kökten çözmeyi hedefliyor. 5-10 Yıllık Projeksiyon: Monolitik çekirdek bileşenlerinin (VFS, Network Stack) Rust ile yeniden yazılması (Apple halihazırda driverkit ve system extensions için Rust kullanıyor). eBPF benzeri çekirdek programlanabilirliği (XNU bpf/dtrace evrimi) güvenlik sensörleri için. Yasal alanda; EU DMA (Digital Markets Act) “sideloading” zorunluluğu, AMFI ve Trust Cache mimarisinin kullanıcı kontrolüne açılmasını (alternatif app store’lar için) zorlayabilir; bu da kod imzalama zincirinin (CDHash verification) esnetilmesini gerektirecek.

Bölüm 8: Merak Edilen Sorular ve Cevaplar

Soru 1: XNU neden “Gerçek Mikroçekirdek” değil, “Hibrit” olarak sınıflandırılır?

Mach mikroçekirdeği (görev, IPC, VM) asenkron mesajlaşma ile ayırılırken, BSD katmanı (VFS, Socket, Proc) performans için çekirdek adres alanında (kernel map) monolitik birleştirilmiştir. Bu, Mach IPC gecikmesini (context switch, copyin/out) kritik yollar (syscall, page fault) için ortadan kaldırır ancak tek bir BSD hatasının (örn. uipc socket buffer overflow) tüm Mach alt sistemini (port namespace, VM map) tehlikeye atması anlamına gelir.

Soru 2: PAC (Pointer Authentication Codes) ROP saldırılarını tamamen engeller mi?

Hayır. PAC, geri dönüş adreslerini ve fonksiyon işaretçilerini imzalayarak ROP/JOP zincirlerini kırar. Ancak PACMAN (MIT, 2022) spekülatif yürütme yan kanalı ile PAC doğrulama sonucunu (geçerli/geçersiz) sızırtırak brute-force imza tahmini yapar. Ayrıca IA anahtarı süreç bazlı değil, EL1 (çekirdek) bazlıdır; bir çekirdek exploit’i PAC imzalamak için gerekli PACIA/PACIB talimatlarını çalıştırabilir (gadget zinciri ile).

Soru 3: KTRR (Kernel Text Read-Only Region) ve PPL (Protected Page List) farkı nedir?

KTRR, önyükleme sırasında (iBoot) tanımlanan, çekirdek metin (code) ve salt okunur veri bölümlerini kapsayan, MMU seviyesinde (Stage-2 translation / EL2/EL3 kontrolü) yazmaya kapalı bir bölgedir. PPL (iOS 16+/A16+), çalışma zamanında çekirdek tarafından dinamik olarak yönetilen, kritik veri yapılarını (task_all_image_info, amfid trust cache, pmap sayfa tabloları) koruyan, ppl_enter/ppl_leave API’leri ile geçici yazma izni veren daha ince taneli bir mekanizmadır.

Soru 4: Mach Port hakları (Capabilities) BSD dosya tanımlayıcılarından (fd) nasıl farklıdır?

Mach portları nesne yetkilendirmesidir (Object Capability): Hak (send/receive), port nesnesine (ipc_port) işaret eder ve çekirdek tarafından referans sayacı ile yönetilir. Taşınabilirler (IPC ile başkasına gönderilebilir). BSD fdler isim tabanlıdır: Süreç özelinde bir tablo indeksidir (fileproc), dup/sendmsg (SCM_RIGHTS) ile paylaşılır ancak yetki portun kendisinde değil, süreç tablosundadır. Portlar “ne yapabileceğini” (capability), fd’ler “neye eriştiğini” (ambient authority) temsil eder.

Soru 5: iOS’ta “Sandbox Escape” ve “Kernel Exploit” ayrımı operasyonel olarak nasıl değerlendirilir?

Sandbox Escape (Renderer -> Userland Daemon/Root): Uygulama konteynerinden (sandbox_check) çıkıp root yetkili bir süreç (örn. mediaserverd, locationd) veya launchd namespace’ine erişimdir. Kernel Exploit (Userland Root -> Kernel): task_for_pid(0) (tfp0) veya kernel_task portu ele geçirerek çekirdek belleğine okuma/yazma (R/W), KPP/KTRR bypass, kod yürütme (KEXEC) elde etmesidir. Zincir: Safari RCE -> Sandbox Escape -> Kernel Exploit -> Persistence (Bootkit).

Soru 6: DriverKit, IOKit C++ sürücülerine göre güvenlikte ne kazandırır?

DriverKit sürücüleri User-space‘te (DriverKit.framework, IOUserServer) çalışır. Çökme (crash) sadece o sürücü sürecini öldürür, çekirdek panik etmez (Availability artışı). Bellek güvenliği: Swift/ARC kullanımı UAF/Double Free riskini azaltır. İzolasyon: Kendi sanal adres alanında, kendi task portu ile; çekirdek IOUserClient yerine IPC (Mach messages) ile konuşur. Saldırı yüzeyi: Çekirdek IOKit C++ vtable/dispatch yüzeyinden, kullanıcı alanı IPC seri hale getirme (serialization) yüzeyine kayar.

Soru 7: MTE (Memory Tagging Extension) heap overflow’ları nasıl engeller?

MTE, her 16 baytlık bellek granülüne (granule) 4-bit bir “tag” (etiket) atar. İşaretçi (pointer) üst bitlerde (TBI – Top Byte Ignore) bu tag’i taşır. Yükleme/Depolama (Load/Store) talimatları işaretçideki tag ile bellekteki tag’i donanımsal olarak karşılaştırır. Eşleşmezse Synchronous (anında SIGSEGV/BRK) veya Asynchronous (performans sayacı/kesme) modda hata üretir. Bu, malloc/free sonrası UAF (Use-After-Free) ve OOB (Out-of-Bounds) erişimlerini deterministik yakalar.

Soru 8: Apple Güvenlik Ödül Programı (Apple Security Bounty) XNU araştırmasını nasıl etkiler?

Program, iCloud hesap calma ($100k), Kernel RCE ($250k – $1M), Zero-click Kernel ($1M-$2M) gibi katmanlı ödüllerle sorumlu ifşayı (Coordinated Vulnerability Disclosure) teşvik eder. Bu, exploit piyasa değerini (siyah piyasa $2M+) beyaz piyasa ödülü ile rekabet ettirerek, araştırmacıları Apple’a bildirime yönlendirir. Ancak “Lockdown Mode” bypass ödülleri ($2M) gibi yeni kategoriler, saldırı yüzeyinin daraltıldığını ve zorluğunu artırdığını gösterir.

Bölüm 9: Bilmeniz Gereken Temel Terimler

Mach Port (Mach Portu): Mikroçekirdekte IPC’nin temel birimi; çekirdek tarafından yönetilen, hak tabanlı (send/receive/send-once) bir iletişim uç noktası. ipc_port yapısı ile temsil edilir, ipc_kobject ile çekirdek nesnelerine (task, thread, host, memory_entry) bağlanır.
Task (Görev): Mach’te kaynak tutucu varlık; sanal adres alanı (vm_map), port hak tablosu (ipc_space), iş parçacıklarını içerir. BSD proc yapısının Mach karşılığıdır; task_for_pid(0) çekirdek görev portunu (tfp0) verir.
KTRR (Kernel Text Read-Only Region): Önyükleme kilidi (Boot ROM -> iBoot) ile donatılan, çekirdek kod ve salt okunur veri segmentlerini kapsayan, EL2/EL3/MMU Stage-2 korumalı yazma engelli bellek bölgesi.
PAC (Pointer Authentication Codes): ARMv8.3+ ISA uzantısı; QARMA algoritması ile işaretçi değerinin üst bitlerine (PAC field) bağlamsal bir imza (context modifier + key) ekler, kontrolünde (AUTIA/RETAB) doğrular.
PPL (Protected Page List): Çalışma zamanında çekirdek tarafından yönetilen, kritik çekirdek veri yapılarını (trust cache, pmap, amfid state) içeren, ppl_enter/ppl_leave ile geçici yazma izni verilen sayfa listesi koruma mekanizması.
AMFI (Apple Mobile File Integrity): Çekirdek uzantısı (kext) olarak çalışan, Mach-O yükleyicisi (load_code_signature) kancası üzerinden kod imzalama politikasını (CDHash, Trust Cache, Entitlements) zorlayan modül.
tfp0 (Task For PID 0): kernel_task (PID 0) için Mach görev portu (send right) elde etme yetkisi; çekirdek sanal belleğine (vm_read/vm_write/vm_allocate) ve port manipülasyonuna tam erişim sağlar, “Kutsal Kase” yetkisidir.
MTE (Memory Tagging Extension): ARMv8.5+; bellek granülleri (16B) ve işaretçiler için 4-bit etiket (tag) eşleşmesi kontrolü yapan, heap bellek güvenliğini (UAF, OOB) donanımda sağlayan uzantı.
Entitlement (Yetki/Hak): Uygulama/İkili dosyası içine gömülü (Code Signature içinde), com.apple.* formatında anahtar-değer çiftleri; Sandbox, AMFI, IOKit, iCloud erişimini belirler. task_for_pid-allow en kritik çekirdek yetkisidir.
Lockdown Mode (Kilitlenme Modu): iOS 16+; JIT derlemeyi devre dışı bırakır, task_for_pid kısıtlar, IOKit yüzeyini azaltır, bağlantı isteklerini filtreler; hedefli siber saldırılara (mercenary spyware) karşı yüzey daraltma profili.

Bölüm 10: Özet ve Çıkarılması Gereken Dersler

XNU güvenlik mimarisi, Mach’in yetki tabanlı (capability) tasarımı ile BSD’nin POSIX uyumluluğu arasındaki gerilimi, donanım destekli iz