Společnost Microsoft představila projekt Hyperlight, který vyvíjí hypervisor určený k integraci do aplikací za účelem izolované exekuce kódu, který není důvěryhodný nebo vyžaduje zvláštní ochranu. Hypervisor je koncipován jako sdílená knihovna, která zajišťuje provádění jednotlivých funkcí ve váhově lehkých virtuálních strojích (micro-VM) a organizuje výměnu dat s těmito funkcemi. Kód projektu je napsán v jazyce Rust a šíří se pod licencí Apache 2.0.
Ve srovnání s tradičním spuštěním virtuálních strojů Hyperlight umožňuje dosáhnout nízké latence a minimálních režijních nákladů. V Hyperlight latence při vytváření virtuálních strojů činí 1-2 milisekundy, což umožňuje využití izolace na úrovni spuštění funkcí. Pro srovnání běžný virtuální stroj je spuštěn nejméně za 120 milisekund, zatímco spuštění izolovaného sandboxu pro exekuci kódu WebAssembly pomocí runtime Wasmtime trvá 0,03 milisekundy.
Pro izolaci na platformě Linux je podporováno použití hypervisorů KVM a mshv (Microsoft Hypervisor v Azure Linux), zatímco na platformě Windows — WHP (Windows Hypervisor Platform) a WSL2 (Windows Subsystem for Linux 2) s KVM. Platforma macOS zatím není podporována. Oddělené jádro a operační systém v virtuálním stroji se nepoužívají. Obsah virtuálního stroje je tvořen ve formě samostatně spustitelného programu, který zahrnuje kód spouštěné funkce ve svazku runtime a specializovaného minimálního jádra. V virtuálním stroji se používá jednotný liniový fragment paměti a je přidělen virtuální CPU, bez mapování zařízení a bez rozdělení na procesy.
Proces vývoje je založen na propojení základního kódu aplikace s knihovnou Hyperlight Host, která koordinuje spuštění virtuálních strojů, a kódu spouštěných funkcí v izolovaném režimu (hostitelských funkcí) s knihovnou Hyperlight Guest, která poskytuje API pro interakci s vnější částí aplikace a možnosti pro oddělené provádění kódu bez prostředí operačního systému.
Poskytovaná vrstva pro interakci mezi hostitelskou aplikací a izolovanými funkcemi umožňuje nejen volání izolovaných funkcí z hostitelských aplikací, ale také naopak, přístup k funkcím hostitelských aplikací z izolovaných funkcí. Seznam externích funkcí povolených k volání z izolovaných funkcí je přísně reglementován. Ve výchozím nastavení je přístup z izolovaných funkcí omezen na minimální API, které umožňuje předávat zprávy hostitelské aplikaci.
V budoucnu plánuje Microsoft převést projekt na neziskovou organizaci Cloud Native Computing Foundation (CNCF) pro spolupráci na neutrální platformě, nezávislé na jednotlivých výrobcích. Organizace CNCF pracuje pod záštitou Linux Foundation a dohlíží na vývoj takových projektů, jako jsou Kubernetes, etcd, Cilium, Containerd, cri-o, Flux, Helm, Istio a gRPC.
Zdroj: opennet.ru
