PCIDriverKit 授权检查失败（将 KEXT 迁移到 DEXT）

Question

kernel: DK: MyDriver-0x100000f45: provider entitlements check failed
kernel: DK: IOUserServer(com.MyDriver-0x100000f45)::exit(Entitlements check failed)
kernel: (com.MyDriver.dext) Kernel requested exit (Entitlements check failed)

我正在尝试使用 PCIDriverKit 创建驱动程序。找不到任何合理的示例代码。

我的问题是我正在尝试访问所有设备，即使我已经将他们的面具正确地放在

Info.plist (0x12345678&0x000000000)

和

com.apple.developer.driverkit = TRUE

和

com.apple.developer.driverkit.transport.pci

权利。

对于大多数设备，我在 macOS 日志中收到上述错误。在我使用的 A KEXT 中，同样的面具工作得很好。

SIP当然是禁用的，系统扩展开发者模式是开启的。

我目前在 XCode 中使用“签名以在本地运行”选项，因为这是一个开发阶段。

如何获得 DEXT 以打开我 Mac 上的所有 PCI 设备？

编辑： 根据

codesign -d --entitlements -

，这些是 DEXT 的权利：

▒▒qq<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
        <key>com.apple.developer.driverkit</key>
        <true/>
        <key>com.apple.developer.driverkit.transport.pci</key>
        <array>
                <dict>
                        <key>IOPCIPrimaryMatch</key>
                        <string>0x12345678&amp;0x00000000</string>
                </dict>
        </array>
        <key>com.apple.security.app-sandbox</key>
        <true/>
        <key>com.apple.security.get-task-allow</key>
        <true/>
</dict>
</plist>

amfid 日志：

amfid: [com.apple.MobileFileIntegrity:amfid] Basic requirement validation failed, error: (null)
amfid: /Library/SystemExtensions/{SOME_GUID}/com.MyDriver.dext/com.MyDriver signature not valid: -67050

Answer 1

对于为什么你的情况出了问题，我没有 100% 的答案。要在 unmodified 系统上加载 dext，您在对 dext 进行代码签名时肯定需要以下内容：

• 使用‘Developer ID Application’证书身份签名并进行公证，或者使用‘Apple Developer’证书签名
• 嵌入式代码签名权利，包括通用 DriverKit 权利、任何特定于系列的权利，以及必要时有关用户客户端访问的权利。
• 来自 Apple 的配置文件匹配：
  1. 您在 dext 中嵌入的代码签名权利。
  2. 您用于签署 dext 的代码签名身份的类型和具体实例。
  3. dext 的 Application & Bundle ID。
  4. 如果使用 Apple Developer 签名身份，您将在其上测试 dext 的 Mac 的硬件 ID。

对于本地测试，您可以尝试以下操作来临时解决代码签名问题：

• 禁用系统完整性保护（SIP）。出于 DriverKit 扩展的目的，这会禁用一些代码签名检查。
• 禁用特定于 DriverKit 的权利检查。这将关闭检查许多特定于家庭的权利。要disable检查，set标志

  0x8000

  在

  dk

  内核引导参数，这是一个位域。请注意，除非您set 标记

  0x1

  ，否则DriverKit 将被完全禁用。所以使用

  dk=0x8001

  禁用 DriverKit 权利检查。
• 禁用 AMFI 检查。如果您尝试声明需要在配置文件中启用的权利，AMFI 通常会终止您的进程。您可以使用

  amfi_get_out_of_my_way=1

  内核引导参数禁用 AMFI。

显然，您对配置文件的控制有限，因为其中的权利必须得到 Apple 的批准。 （出于这个原因，如果您打算公开发布您的 dext，我通常建议您在开始对 dext 进行全面开发之前，先弄清楚您可能需要哪些权利，并向 Apple 提出要求。这个过程可能需要个月。）因此，虽然知道当您没有这些配置文件时所需的确切的最小变通方法组合会很有趣，但我还没有对此进行详尽的测试。我意识到这对让您的 dext 尽可能接近发货没有多大帮助，同时仍在等待 Apple 授予缺失的权利。希望有一天我可以系统地探索和记录所有这些。