지멘스는 Jailhouse 0.12 하이퍼바이저를 출시했습니다.

지멘스 회사 опубликовала 무료 하이퍼바이저 릴리스 교도소 0.12. 하이퍼바이저는 VMX+EPT 또는 SVM+NPT(AMD-V) 확장이 있는 x86_64 시스템뿐만 아니라 가상화 확장이 있는 ARMv7 및 ARMv8/ARM64 프로세서도 지원합니다. 갈라져 개발 중 지원되는 장치에 대한 Debian 패키지를 기반으로 생성된 Jailhouse 하이퍼바이저용 이미지 생성기입니다. 프로젝트 코드 배포자 GPLv2에 따라 라이센스가 부여되었습니다.

하이퍼바이저는 Linux 커널용 모듈로 구현되며 커널 수준에서 가상화를 제공합니다. 게스트 시스템용 구성 요소는 기본 Linux 커널에 이미 포함되어 있습니다. 격리를 관리하기 위해 최신 CPU에서 제공하는 하드웨어 가상화 메커니즘이 사용됩니다. Jailhouse의 특징은 가벼운 구현이며 가상 머신을 고정 CPU, RAM 영역 및 하드웨어 장치에 바인딩하는 데 중점을 둡니다. 이 접근 방식을 사용하면 하나의 물리적 다중 프로세서 서버가 여러 개의 독립적인 가상 환경의 작동을 지원할 수 있으며 각 환경은 자체 프로세서 코어에 할당됩니다.

CPU에 긴밀하게 연결되면 복잡한 리소스 할당 스케줄러를 실행할 필요가 없으므로 하이퍼바이저의 오버헤드가 최소화되고 구현이 크게 단순화됩니다. 별도의 CPU 코어를 할당하면 이 CPU에서 다른 작업이 실행되지 않습니다. . 이 접근 방식의 장점은 리소스에 대한 액세스를 보장하고 성능을 예측할 수 있다는 점입니다. 따라서 Jailhouse는 실시간으로 수행되는 작업을 생성하는 데 적합한 솔루션입니다. 단점은 CPU 코어 수에 따라 확장성이 제한된다는 것입니다.

감옥 용어에서는 가상 환경을 "카메라"(교도소 맥락에서는 셀)라고 합니다. 카메라 내부의 시스템은 성능을 보여주는 단일 프로세서 서버처럼 보입니다. 닫다 전용 CPU 코어의 성능에 영향을 미칩니다. 카메라는 임의의 운영 체제 환경을 실행할 수 있을 뿐만 아니라 하나의 애플리케이션 또는 실시간 문제를 해결하도록 특별히 준비된 개별 애플리케이션을 실행하기 위한 간단한 환경도 실행할 수 있습니다. 구성은 다음에서 설정됩니다. .cell 파일, 환경에 할당된 CPU, 메모리 영역 및 I/O 포트를 결정합니다.

새 릴리스에서

• Raspberry Pi 4 Model B 및 Texas Instruments J721E-EVM 플랫폼에 대한 지원이 추가되었습니다.
• 재작업됨 ivshmem 장치는 셀 간의 상호 작용을 구성하는 데 사용됩니다. 새로운 ivshmem 위에 VIRTIO용 전송을 구현할 수 있습니다.
  

• 취약점 차단을 위해 대용량 메모리 페이지(hugepage) 생성을 비활성화하는 기능을 구현했습니다. CVE-2018-12207 Intel 프로세서에서는 권한이 없는 공격자가 서비스 거부를 시작하여 "머신 검사 오류" 상태에서 시스템이 정지되도록 할 수 있습니다.
• ARM64 프로세서가 탑재된 시스템의 경우 SMMUv3(시스템 메모리 관리 장치) 및 TI PVU(주변 장치 가상화 장치)에 대한 지원이 구현됩니다. 하드웨어 위에서 실행되는 격리된 환경(베어메탈)에 대한 PCI 지원이 추가되었습니다.
• 루트 카메라용 x86 시스템에서는 Intel 프로세서가 제공하는 CR4.UMIP(사용자 모드 명령어 방지) 모드를 활성화하여 SGDT, SLDT, SIDT와 같은 특정 명령어의 사용자 공간 실행을 금지할 수 있습니다. , 공격에 사용될 수 있는 SMSW 및 STR은 시스템의 권한을 높이는 것을 목표로 합니다.

출처 : opennet.ru