Azienda Siemens rilascio di un hypervisor open source . L'hypervisor supporta il funzionamento su sistemi x86_64 con estensioni VMX+EPT o SVM+NPT (AMD-V), così come su processori ARMv7 e ARMv8/ARM64 con estensioni per la virtualizzazione. Separatamente generatore di immagini per l'hypervisor Jailhouse, creati sulla base di pacchetti Debian per dispositivi supportati. Il codice del progetto è sotto licenza GPLv2.
L'hypervisor è implementato come modulo per il kernel Linux e fornisce virtualizzazione a livello di kernel. I componenti per i sistemi guest sono già inclusi nel kernel Linux principale. Per gestire l'isolamento si utilizzano i meccanismi hardware di virtualizzazione forniti dai moderni CPU. Le caratteristiche distintive di Jailhouse includono un'implementazione leggera e l'orientamento al binding delle macchine virtuali a CPU fisse, aree di RAM e dispositivi hardware. Questo approccio consente di garantire su un unico server multiprocessore fisico il funzionamento di diversi ambienti virtuali indipendenti, ciascuno dei quali è assegnato al proprio core di CPU.
Con un legame rigido alla CPU, le spese generali del funzionamento dell'hypervisor vengono ridotte al minimo e la sua implementazione è notevolmente semplificata, poiché non è necessario l'esecuzione di un complesso pianificatore di distribuzione delle risorse. L'assegnazione di un singolo core della CPU garantisce che non vengano eseguite altre attività su questa CPU. Il vantaggio di questo approccio è la possibilità di garantire accesso alle risorse e prestazioni prevedibili, rendendo Jailhouse una soluzione adatta per creare compiti eseguiti in tempo reale. Lo svantaggio è la limitata scalabilità, vincolata al numero di core CPU.
Nella terminologia di Jailhouse, gli ambienti virtuali sono chiamati "celle" (cell, nel contesto di jailhouse). All'interno della cella, il sistema appare come un server monoprocessore, mostrando prestazioni alle prestazioni del core CPU dedicato. In questa configurazione può essere eseguito un ambiente di qualsiasi sistema operativo, così come ambienti semplificati per eseguire un'unica applicazione o applicazioni separate specificamente preparate per risolvere compiti in tempo reale. La configurazione è definita in , che definiscono la CPU allocata all'ambiente, le aree di memoria e le porte di input/output.
Nella nuova versione
- Support for the Raspberry Pi 4 Model B and Texas Instruments J721E-EVM platforms has been added;
- the ivshmem device, used to organize interactions between cells. A transport for VIRTIO can be implemented on top of the new ivshmem;
- The option to disable the creation of large memory pages (hugepage) has been implemented to block vulnerabilities in Intel processors, which allows an unprivileged attacker to initiate a denial of service, leading to the system hanging in a ‘Machine Check Error’ state;
- For ARM64 processor systems, support for SMMUv3 (System Memory Management Unit) and TI PVU (Peripheral Virtualization Unit) has been implemented. Support for PCI has been added for isolated environments running on bare-metal;
- On x86 systems, for root containers, the ability to enable the CR4.UMIP (User-Mode Instruction Prevention) mode provided by Intel processors has been implemented, allowing the prohibition of executing certain instructions in user space, such as SGDT, SLDT, SIDT, SMSW, and STR, which can be used in privilege escalation attacks.
Fonte: opennet.ru
