L'azienda Siemens ha rilasciato l'hypervisor Jailhouse 0.12

Azienda Siemens ha pubblicato rilascio di un hypervisor open source Jailhouse 0.12. L'hypervisor supporta il funzionamento su sistemi x86_64 con estensioni VMX+EPT o SVM+NPT (AMD-V), così come su processori ARMv7 e ARMv8/ARM64 con estensioni per la virtualizzazione. Separatamente si sviluppa generatore di immagini per l'hypervisor Jailhouse, creati sulla base di pacchetti Debian per dispositivi supportati. Il codice del progetto distribuito è sotto licenza GPLv2.

L'hypervisor è implementato come modulo per il kernel Linux e fornisce virtualizzazione a livello di kernel. I componenti per i sistemi guest sono già inclusi nel kernel Linux principale. Per gestire l'isolamento si utilizzano i meccanismi hardware di virtualizzazione forniti dai moderni CPU. Le caratteristiche distintive di Jailhouse includono un'implementazione leggera e l'orientamento al binding delle macchine virtuali a CPU fisse, aree di RAM e dispositivi hardware. Questo approccio consente di garantire su un unico server multiprocessore fisico il funzionamento di diversi ambienti virtuali indipendenti, ciascuno dei quali è assegnato al proprio core di CPU.

Con un legame rigido alla CPU, le spese generali del funzionamento dell'hypervisor vengono ridotte al minimo e la sua implementazione è notevolmente semplificata, poiché non è necessario l'esecuzione di un complesso pianificatore di distribuzione delle risorse. L'assegnazione di un singolo core della CPU garantisce che non vengano eseguite altre attività su questa CPU. Il vantaggio di questo approccio è la possibilità di garantire accesso alle risorse e prestazioni prevedibili, rendendo Jailhouse una soluzione adatta per creare compiti eseguiti in tempo reale. Lo svantaggio è la limitata scalabilità, vincolata al numero di core CPU.

Nella terminologia di Jailhouse, gli ambienti virtuali sono chiamati "celle" (cell, nel contesto di jailhouse). All'interno della cella, il sistema appare come un server monoprocessore, mostrando prestazioni simili alle prestazioni del core CPU dedicato. In questa configurazione può essere eseguito un ambiente di qualsiasi sistema operativo, così come ambienti semplificati per eseguire un'unica applicazione o applicazioni separate specificamente preparate per risolvere compiti in tempo reale. La configurazione è definita in .cell-file, che definiscono la CPU allocata all'ambiente, le aree di memoria e le porte di input/output.

Nella nuova versione

• Добавлена поддержка платформ Raspberry Pi 4 Model B и Texas Instruments J721E-EVM;
• Переработано устройство ivshmem, применяемое для организации взаимодействия между ячейками. Поверх нового ivshmem можно реализовать транспорт для VIRTIO;
  
• Реализована возможность отключения создания больших страниц памяти (hugepage) для блокирования уязвимости CVE-2018-12207 в процессорах Intel, которая позволяет непривилегированному атакующему инициировать отказ в обслуживании, приводящий к зависанию системы в состоянии «Machine Check Error»;
• Для систем с процессорами ARM64 реализована поддержка SMMUv3 (System Memory Management Unit) и TI PVU (Peripheral Virtualization Unit). Для изолированных окружений, запускаемых поверх оборудования (bare-metal), добавлена поддержка PCI;
• На системах x86 для корневых камер реализована возможность включения предоставляемого процессорами Intel режима CR4.UMIP (User-Mode Instruction Prevention), позволяющего запретить выполнение в пространстве пользователя некоторых инструкций, таких как SGDT, SLDT, SIDT, SMSW и STR, которые могут применяться в атаках, нацеленных на повышение привилегий в системе.

Fonte: opennet.ru