지멘스는 Jailhouse 0.12 하이퍼바이저를 출시했습니다.

지멘스 회사 опубликовала 무료 하이퍼바이저 릴리스 교도소 0.12. 하이퍼바이저는 VMX+EPT 또는 SVM+NPT(AMD-V) 확장이 있는 x86_64 시스템뿐만 아니라 가상화 확장이 있는 ARMv7 및 ARMv8/ARM64 프로세서도 지원합니다. 갈라져 개발 중 генератор образов для гипервизора Jailhouse, формируемых на основе пакетов Debian для поддерживаемых устройств. Код проекта 배포자 GPLv2에 따라 라이센스가 부여되었습니다.

Гипервизор реализован в виде модуля для ядра Linux и обеспечивает виртуализацию на уровне ядра. Компоненты для гостевых систем уже включены в состав основного ядра Linux. Для управления изоляцией используются предоставляемые современными CPU аппаратные механизмы виртуализации. Отличительными особенностями Jailhouse являются легковесная реализация и ориентация на привязку виртуальных машин к фиксированному CPU, области ОЗУ и аппаратным устройствам. Такой подход позволяет на одном физическом многопроцессорном сервере обеспечить работу нескольких независимых виртуальных окружений, каждое из которых закреплено за своим процессорным ядром.

CPU에 긴밀하게 연결되면 복잡한 리소스 할당 스케줄러를 실행할 필요가 없으므로 하이퍼바이저의 오버헤드가 최소화되고 구현이 크게 단순화됩니다. 별도의 CPU 코어를 할당하면 이 CPU에서 다른 작업이 실행되지 않습니다. . 이 접근 방식의 장점은 리소스에 대한 액세스를 보장하고 성능을 예측할 수 있다는 점입니다. 따라서 Jailhouse는 실시간으로 수행되는 작업을 생성하는 데 적합한 솔루션입니다. 단점은 CPU 코어 수에 따라 확장성이 제한된다는 것입니다.

감옥 용어에서는 가상 환경을 "카메라"(교도소 맥락에서는 셀)라고 합니다. 카메라 내부의 시스템은 성능을 보여주는 단일 프로세서 서버처럼 보입니다. 닫다 전용 CPU 코어의 성능에 영향을 미칩니다. 카메라는 임의의 운영 체제 환경을 실행할 수 있을 뿐만 아니라 하나의 애플리케이션 또는 실시간 문제를 해결하도록 특별히 준비된 개별 애플리케이션을 실행하기 위한 간단한 환경도 실행할 수 있습니다. 구성은 다음에서 설정됩니다. .cell 파일, 환경에 할당된 CPU, 메모리 영역 및 I/O 포트를 결정합니다.

새 릴리스에서

• Raspberry Pi 4 Model B 및 Texas Instruments J721E-EVM 플랫폼에 대한 지원이 추가되었습니다.
• 재작업됨 ivshmem 장치는 셀 간의 상호 작용을 구성하는 데 사용됩니다. 새로운 ivshmem 위에 VIRTIO용 전송을 구현할 수 있습니다.
  
• 취약점 차단을 위해 대용량 메모리 페이지(hugepage) 생성을 비활성화하는 기능을 구현했습니다. CVE-2018-12207 Intel 프로세서에서는 권한이 없는 공격자가 서비스 거부를 시작하여 "머신 검사 오류" 상태에서 시스템이 정지되도록 할 수 있습니다.
• ARM64 프로세서가 탑재된 시스템의 경우 SMMUv3(시스템 메모리 관리 장치) 및 TI PVU(주변 장치 가상화 장치)에 대한 지원이 구현됩니다. 하드웨어 위에서 실행되는 격리된 환경(베어메탈)에 대한 PCI 지원이 추가되었습니다.
• 루트 카메라용 x86 시스템에서는 Intel 프로세서가 제공하는 CR4.UMIP(사용자 모드 명령어 방지) 모드를 활성화하여 SGDT, SLDT, SIDT와 같은 특정 명령어의 사용자 공간 실행을 금지할 수 있습니다. , 공격에 사용될 수 있는 SMSW 및 STR은 시스템의 권한을 높이는 것을 목표로 합니다.

출처 : opennet.ru