Společnost Siemens byl vydán volný hypervizor . Hypervisor podporuje provoz na systémech x86_64 s rozšířeními VMX+EPT nebo SVM+NPT (AMD-V), stejně jako na procesorech ARMv7 a ARMv8/ARM64 s rozšířeními pro virtualizaci. Samostatně generátor obrazů pro hypervisor Jailhouse, vytvářených na základě balíčků Debian pro podporované zařízení. Kód projektu pod licencí GPLv2.
Hypervisor je implementován jako modul pro jádro Linuxu a zajišťuje virtualizaci na úrovni jádra. Komponenty pro hostitelské systémy jsou již součástí základního jádra Linuxu. K řízení izolace se používají hardwarové mechanismy virtualizace, které poskytují moderní CPU. Významnými vlastnostmi Jailhouse jsou lehká implementace a zaměření na přiřazení virtuálních strojů k pevnému CPU, oblastem RAM a hardwarovým zařízením. Tento přístup umožňuje na jednom fyzickém vícejádrovém serveru zajistit provoz několika nezávislých virtuálních prostředí, z nichž každé je přiděleno svému procesorovému jádru.
Při přísném přiřazení k CPU se náklady na provoz hypervisoru minimalizují a jeho implementace se značně zjednodušuje, protože není nutné vykonávat složitý plánovač přidělování zdrojů — vyčlenění samostatného jádra CPU zajišťuje, že na tomto CPU nebudou vykonávány žádné jiné úkoly. Výhodou takového přístupu je možnost zaručit přístup k prostředkům a předvídatelný výkon, což činí Jailhouse vhodným řešením pro úkoly vykonávané v reálném čase. Nevýhodou je omezená škálovatelnost, která je omezena počtem jader CPU.
V terminologii Jailhouse se virtuální prostředí nazývají „komorami“ (cell, v kontextu jailhouse). Uvnitř komory systém vypadá jako jednovláknový server, který vykazuje výkon výkonu vyhrazeného jádra CPU. V komoře může běžet prostředí libovolného operačního systému, stejně jako zjednodušená prostředí pro spuštění jedné aplikace nebo speciálně připravené samostatné aplikace určené k řešení úloh reálného času. Konfigurace je určena v , které definují přidělené CPU, oblasti paměti a porty pro vstup/výstup.
V nové verzi
- Přidána podpora platforem Raspberry Pi 4 Model B a Texas Instruments J721E-EVM;
- zařízení ivshmem, využívané pro organizaci interakce mezi buňkami. Nad novým ivshmem lze implementovat transport pro VIRTIO;
- Implementována možnost deaktivace vytváření velkých stránek paměti (hugepage) k zablokování zranitelnosti v procesorech Intel, což umožňuje neprivilegovanému útočníkovi iniciovat odmítnutí služby, vedoucí k zamrznutí systému ve stavu „Machine Check Error“;
- Pro systémy s procesory ARM64 byla implementována podpora SMMUv3 (System Memory Management Unit) a TI PVU (Peripheral Virtualization Unit). Pro izolovaná prostředí spuštěná nad hardwarem (bare-metal) byla přidána podpora PCI;
- Na systémech x86 pro kořenové kontejnery byla implementována možnost aktivace režimu CR4.UMIP (User-Mode Instruction Prevention), poskytovaného procesory Intel, který umožňuje zakázat vykonávání některých instrukcí v uživatelském prostoru, jako jsou SGDT, SLDT, SIDT, SMSW a STR, které mohou být využity v útocích zaměřených na zvýšení privilegií v systému.
Zdroj: opennet.ru
