Компанията Siemens пусна хипервизор Jailhouse 0.12

Компания Siemens е публикувала освобождаване на хипервизора Jailhouse 0.12. Хипервизорът поддържа работа на системи x86_64 с VMX+EPT или SVM+NPT (AMD-V), както и на процесори ARMv7 и ARMv8/ARM64 с разширения за виртуализация. По отделно развива генератор на образи за хипервизора Jailhouse, създадени на базата на Debian пакети за поддържащи устройства. Кодът на проекта се разпространява под лицензия GPLv2.

Хипервизорът е реализиран като модул за Linux ядро и осигурява виртуализация на ниво ядро. Компонентите за гостуващи системи вече са включени в основното ядро на Linux. За управление на изолацията се използват предоставените от съвременните CPU хардуерни механизми за виртуализация. Отличителните характеристики на Jailhouse са леката реализация и ориентацията към фиксирането на виртуални машини към определен CPU, области на RAM и хардуерни устройства. Този подход позволява на един физически многоядерен сървър да осигурява работата на множество независими виртуални среди, всяка от които е прикрепена към собственото си ядро.

При строга привързаност към CPU разходите от работата на хипервизора се свеждат до минимум и реализирането му става значително по-просто, тъй като няма нужда от сложен планировчик за разпределение на ресурсите — предоставянето на отделно CPU ядро гарантира, че на това CPU няма да се изпълняват други задачи. Плюсът на този подход е, че осигурява гарантиран достъп до ресурси и предсказуема производителност, което прави Jailhouse подходящо решение за задачи, работещи в реално време. Минусът е ограничената мащабируемост, зависеща от броя ядра на CPU.

В терминологията на Jailhouse виртуалните среди се наричат „камери“ (cell, в контекста на jailhouse). Вътре в камерата системата изглежда като еднопроцесорен сървър, показващ производителност близка до производителността на отделено CPU ядро. В камерата може да бъде стартирана среда на произволна операционна система, както и олекотени среди за изпълнение на едно приложение или специално подготвени отделни приложения, предназначени за решаване на задачи в реално време. Конфигурацията се задава в .cell-файлове, определящи CPU, региони на паметта и входно/изходни портове.

В новото издание

• Добавена поддръжка на платформите Raspberry Pi 4 Model B и Texas Instruments J721E-EVM;
• Преработено устройството ivshmem, използвано за организиране на взаимодействието между клетките. Върху новото ivshmem може да се реализира транспорт за VIRTIO;
  
• Реализирана е възможността за деактивиране на създаването на големи страници памет (hugepage) за блокиране на уязвимостта CVE-2018-12207 в процесорите Intel, която позволява на непривилегирован атакуващ да инициира отказ в услугата, водещ до зависване на системата в състояние «Machine Check Error»;
• За системи с ARM64 процесори е реализирана поддръжка на SMMUv3 (System Memory Management Unit) и TI PVU (Peripheral Virtualization Unit). За изолирани среди, изпълнявани върху оборудване (bare-metal), е добавена поддръжка на PCI;
• На x86 системи за кореновите камери е реализирана възможността за активиране на режима CR4.UMIP (User-Mode Instruction Prevention), предоставян от Intel процесорите, който позволява забрана на изпълнението в потребителското пространство на някои инструкции, като SGDT, SLDT, SIDT, SMSW и STR, които могат да бъдат използвани в атаки, насочени към повишаване на привилегиите в системата.

Източник: opennet.ru