Xen 하이퍼바이저 4.17 릴리스

4.17년간의 개발 끝에 무료 하이퍼바이저 Xen 4.17이 출시되었습니다. Amazon, Arm, Bitdefender, Citrix, EPAM Systems 및 Xilinx(AMD)와 같은 회사가 새 릴리스 개발에 참여했습니다. Xen 12 분기에 대한 업데이트 생성은 2024년 12월 2025일까지 지속되며 취약점 수정 사항은 XNUMX년 XNUMX월 XNUMX일까지 게시됩니다.

Xen 4.17의 주요 변경 사항:

• 미션 크리티컬 시스템 생성에 사용되는 MISRA-C 사양에 공식화되어 C 언어로 안전하고 신뢰할 수 있는 프로그램 개발을 위한 요구 사항을 부분적으로 준수합니다. Xen은 공식적으로 4개 지침과 24개 MISRA-C 규칙(143개 규칙 및 16개 지침 중)을 구현하고 MISRA-C 정적 분석기를 어셈블리 프로세스에 통합하여 사양 요구 사항 준수를 확인합니다.
• 게스트를 부팅하는 데 필요한 모든 리소스를 미리 하드 코딩하는 ARM 시스템용 정적 Xen 구성을 정의하는 기능을 제공합니다. 공유 메모리, 이벤트 알림 채널, 하이퍼바이저 힙 공간 등 모든 리소스를 동적으로 할당하지 않고 하이퍼바이저 시작 시 사전 할당하여 운영 중 리소스 부족으로 인한 장애 가능성을 제거합니다.
• ARM 아키텍처 기반 임베디드 시스템의 경우 VirtIO 프로토콜을 사용하는 I/O 가상화에 대한 실험적(기술 미리보기) 지원이 구현되었습니다. virtio-mmio 전송은 가상 I/O 장치와 데이터를 교환하는 데 사용되며, 이는 광범위한 VirtIO 장치와의 호환성을 보장합니다. Linux 프런트엔드, 툴킷(libxl/xl), dom0less 모드 및 사용자 공간에서 실행되는 백엔드에 대한 지원이 구현되었습니다(virtio-disk, virtio-net, i2c 및 gpio 백엔드가 테스트되었습니다).
• dom0less 모드에 대한 지원이 향상되어 서버 부팅 초기 단계에서 가상 머신을 시작할 때 dom0 환경 배포를 피할 수 있습니다. 부팅 단계에서(장치 트리를 통해) CPU 풀(CPUPOOL)을 정의할 수 있습니다. 이를 통해 dom0 없이 구성에서 풀을 사용할 수 있습니다. 예를 들어 big.LITTLE을 기반으로 하는 ARM 시스템에서 다양한 유형의 CPU 코어를 바인딩할 수 있습니다. 강력하지만 에너지를 소비하는 코어와 생산성은 낮지만 에너지 효율성이 높은 코어를 결합한 아키텍처입니다. 또한 dom0less는 반가상화 프런트엔드/백엔드를 게스트 시스템에 바인딩하는 기능을 제공하므로 필요한 반가상화 장치로 게스트 시스템을 부팅할 수 있습니다.
• ARM 시스템에서는 이제 도메인이 생성될 때 생성된 메모리 풀에서 메모리 가상화 구조(P2M, Physical to Machine)가 할당되므로 메모리 관련 오류가 발생할 때 게스트를 더 효과적으로 격리할 수 있습니다.
• ARM 시스템의 경우 프로세서 마이크로아키텍처 구조의 Spectre-BHB 취약성에 대한 보호 기능이 추가되었습니다.
• ARM 시스템에서는 Dom0 루트 환경에서 Zephyr 운영 체제를 실행할 수 있습니다.
• 별도의(트리 외부) 하이퍼바이저 어셈블리의 가능성이 제공됩니다.
• x86 시스템에서는 모든 유형의 게스트 시스템에 대해 대규모 IOMMU 페이지(슈퍼페이지)가 지원되므로 PCI 장치를 전달할 때 처리량을 늘릴 수 있습니다. 최대 12TB RAM이 장착된 호스트에 대한 지원이 추가되었습니다. 부팅 단계에서 dom0에 대한 CPUID 매개변수를 설정하는 기능이 구현되었습니다. 게스트 시스템의 CPU에 대한 공격에 대해 하이퍼바이저 수준에서 구현된 보호 조치를 제어하기 위해 VIRT_SSBD 및 MSR_SPEC_CTRL 매개변수가 제안됩니다.
• VirtIO-Grant 전송은 별도로 개발되고 있으며, VirtIO-MMIO와는 더 높은 수준의 보안과 드라이버를 위한 별도의 격리된 도메인에서 핸들러를 실행하는 기능이 다릅니다. VirtIO-Grant는 직접적인 메모리 매핑 대신 게스트 시스템의 물리적 주소를 승인 링크로 변환합니다. 이를 통해 게스트 시스템과 VirtIO 백엔드 간의 데이터 교환을 위해 사전 합의된 공유 메모리 영역을 승인 없이 사용할 수 있습니다. 메모리 매핑을 수행할 수 있는 백엔드 권한입니다. VirtIO-Grant 지원은 이미 Linux 커널에 구현되어 있지만 QEMU 백엔드, virtio-vhost 및 툴킷(libxl/xl)에는 아직 포함되어 있지 않습니다.
• Hyperlaunch 이니셔티브는 시스템 부팅 중 가상 머신 실행을 구성하기 위한 유연한 도구를 제공하는 것을 목표로 계속 개발되고 있습니다. 현재 PV 도메인을 감지하고 로드 시 해당 이미지를 하이퍼바이저로 전송할 수 있는 첫 번째 패치 세트가 이미 준비되었습니다. PV 드라이버용 Xenstore 구성 요소를 포함하여 이러한 반가상화 도메인을 실행하는 데 필요한 모든 것도 구현되었습니다. 패치가 승인되면 PVH 및 HVM 장치에 대한 지원은 물론, 측정된 부팅을 구성하는 데 적합한 별도의 domB 도메인(빌더 도메인) 구현을 활성화하고 로드된 모든 구성 요소의 유효성을 확인하는 작업이 시작됩니다.
• RISC-V 아키텍처용 Xen 포트를 생성하는 작업이 계속되고 있습니다.

출처 : opennet.ru