Data Execution Prevention

La prévention de l'exécution des données (data execution prevention, DEP) est un dispositif de sécurité intégré à de nombreux systèmes d'exploitation modernes tels Linux, Mac OS X, iOS, Microsoft Windows et Android. Il est destiné à empêcher l'exécution de code depuis des blocs de mémoire censés contenir des données afin d'affaiblir les probabilités de réussite d'une attaque de type dépassement de tampon.

DEP fut introduit dans Linux en 2004 (kernel 2.6.8^[1]), sur Microsoft Windows en 2004 avec le Service Pack 2 de Windows XP^[2] ainsi que sur Mac OS X lors de la transition vers X86 en 2006^[3]

Modes d'application

Matériel

L'activation de la fonctionnalité DEP consiste à passer le bit NX à 1 dans le processeur. Il préviendra toute exécution de code dans la plage mémoire allouée aux données et remontera une exception si cela arrive.

Logiciel

Sous Linux, on trouve des émulations d'activation du bit NX : par exemple dans la solution PaX.

Le DEP logiciel consiste, sous Microsoft Windows, à vérifier, lorsqu'une exception est remontée, si elle est enregistrée dans une table prévue à cet effet. Cela implique que le programme soit spécifiquement conçu pour exploiter cette fonctionnalité. Dans ce cas, il n'y a aucun lien avec le bit NX.

Voir aussi

• Dépassement de tampon
• Protection de l'espace exécutable
• Un outil (anglais) permettant de tester le support DEP d'une application.