Microsoft a ouvert Hyperlight, un hyperviseur pour l'isolation de fonctions individuelles dans des applications.

La société Microsoft a présenté le projet Hyperlight, qui développe un hyperviseur destiné à être intégré dans des applications pour l'exécution isolée de code non fiable ou nécessitant une protection particulière. L'hyperviseur est conçu sous la forme d'une bibliothèque partagée, offrant l'exécution de fonctions individuelles dans des micro-machines virtuelles et organisant l'échange de données avec ces fonctions. Le code du projet est écrit en Rust et est distribué sous la licence Apache 2.0.

Comparé au déploiement de solutions traditionnelles, machines virtuelles Hyperlight permet d'atteindre des latences faibles et des frais généraux minimaux. Avec Hyperlight, les latences de création de machines virtuelles sont de 1 à 2 millisecondes, ce qui permet une isolation au niveau du démarrage des fonctions. En comparaison, le démarrage d'une machine virtuelle classique prend au moins 120 millisecondes, tandis que le démarrage d'un environnement sandbox isolé pour l'exécution de code WebAssembly à l'aide de Wasmtime runtime prend 0,03 millisecondes.

Pour l'isolation sur la plateforme Linux, l'utilisation des hyperviseurs KVM et mshv (Microsoft Hypervisor sur Azure Linux) est prise en charge, tandis que sur Windows, WHP (Windows Hypervisor Platform) et WSL2 (Windows Subsystem for Linux 2) avec KVM sont utilisés. La plateforme macOS n'est pas encore prise en charge. Un noyau distinct et un système d'exploitation ne sont pas utilisés dans une machine virtuelle la machine virtuelle. La configuration de la machine virtuelle prend la forme d'un programme autonome et exécutable, comprenant le code de la fonction exécutée encapsulé dans un runtime et un noyau minimal spécialisé. Dans la machine virtuelle, un seul fragment de mémoire linéaire est utilisé et un CPU virtuel est attribué, sans mappage des périphériques et sans séparation en processus.

Le processus de développement repose sur la liaison du code principal de l'application à la bibliothèque Hyperlight Host, qui coordonne le démarrage des machines virtuelles, et le code des fonctions exécutées en mode isolé (fonctions invitée) à la bibliothèque Hyperlight Guest, qui fournit une API pour interagir avec la partie externe de l'application et offre des possibilités d'exécution isolée de code sans environnement système d'exploitation.

La couche fournie pour l'interaction entre l'application hôte et les fonctions isolées permet non seulement d'appeler des fonctions isolées depuis des applications hôtes, mais aussi, inversement, d'accéder aux fonctions des applications hôtes depuis des fonctions isolées. La liste des fonctions externes autorisées à être appelées depuis des fonctions isolées est strictement réglementée. Par défaut, l'accès depuis les fonctions isolées est limité à une API minimale, permettant d'envoyer des messages à l'application hôte.

À l'avenir, Microsoft prévoit de transférer le projet à l'organisation à but non lucratif Cloud Native Computing Foundation (CNCF) pour un développement collaboratif sur une plateforme neutre, indépendante des fabricants individuels. L'organisation CNCF opère sous l'égide de la Linux Foundation et supervise le développement de projets tels que Kubernetes, etcd, Cilium, Containerd, cri-o, Flux, Helm, Istio et gRPC.

Source : opennet.ru