Siemens ໄດ້ເປີດຕົວ Jailhouse 0.12 hypervisor

ບໍລິສັດ Siemens ຈັດພີມມາ ການປ່ອຍ hypervisor ຟຣີ ຄຸກ 0.12. hypervisor ຮອງຮັບລະບົບ x86_64 ທີ່ມີສ່ວນຂະຫຍາຍ VMX+EPT ຫຼື SVM+NPT (AMD-V), ເຊັ່ນດຽວກັນກັບໂປເຊດເຊີ ARMv7 ແລະ ARMv8/ARM64 ທີ່ມີສ່ວນຂະຫຍາຍ virtualization. ແຍກຕ່າງຫາກ ກຳ ລັງພັດທະນາ ເຄື່ອງສ້າງຮູບພາບສໍາລັບ Jailhouse hypervisor, ສ້າງຂຶ້ນໂດຍອີງໃສ່ແພັກເກັດ Debian ສໍາລັບອຸປະກອນທີ່ສະຫນັບສະຫນູນ. ລະຫັດໂຄງການ ແຈກຢາຍໂດຍ ອະນຸຍາດພາຍໃຕ້ GPLv2.

hypervisor ຖືກປະຕິບັດເປັນໂມດູນສໍາລັບ Linux kernel ແລະສະຫນອງ virtualization ໃນລະດັບ kernel. ອົງປະກອບສໍາລັບລະບົບແຂກແມ່ນລວມຢູ່ໃນ kernel Linux ຕົ້ນຕໍແລ້ວ. ເພື່ອຈັດການການໂດດດ່ຽວ, ກົນໄກ virtualization ຮາດແວທີ່ສະຫນອງໂດຍ CPUs ທີ່ທັນສະໄຫມແມ່ນຖືກນໍາໃຊ້. ລັກສະນະທີ່ໂດດເດັ່ນຂອງ Jailhouse ແມ່ນການປະຕິບັດທີ່ມີນ້ໍາຫນັກເບົາແລະສຸມໃສ່ການຜູກມັດເຄື່ອງຈັກ virtual ກັບ CPU ຄົງທີ່, ພື້ນທີ່ RAM ແລະອຸປະກອນຮາດແວ. ວິທີການນີ້ອະນຸຍາດໃຫ້ເຄື່ອງແມ່ຂ່າຍ multiprocessor ທາງດ້ານຮ່າງກາຍເພື່ອສະຫນັບສະຫນູນການດໍາເນີນງານຂອງສະພາບແວດລ້ອມ virtual ເອກະລາດຫຼາຍອັນ, ແຕ່ລະອັນຖືກມອບຫມາຍໃຫ້ກັບຫຼັກຂອງໂປເຊດເຊີຂອງຕົນເອງ.

ດ້ວຍການເຊື່ອມໂຍງທີ່ໃກ້ຊິດກັບ CPU, overhead ຂອງ hypervisor ໄດ້ຖືກຫຼຸດລົງແລະການປະຕິບັດຂອງມັນແມ່ນງ່າຍດາຍຫຼາຍ, ເນື່ອງຈາກວ່າບໍ່ຈໍາເປັນຕ້ອງດໍາເນີນການຈັດຕາຕະລາງການຈັດສັນຊັບພະຍາກອນທີ່ຊັບຊ້ອນ - ການຈັດສັນຫຼັກ CPU ແຍກຕ່າງຫາກເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະຮັບປະກັນວ່າບໍ່ມີວຽກງານອື່ນໆ. ປະຕິບັດໃນ CPU ນີ້. ປະໂຫຍດຂອງວິທີການນີ້ແມ່ນຄວາມສາມາດໃນການສະຫນອງການຮັບປະກັນການເຂົ້າເຖິງຊັບພະຍາກອນແລະການປະຕິບັດທີ່ຄາດເດົາໄດ້, ເຊິ່ງເຮັດໃຫ້ Jailhouse ເປັນການແກ້ໄຂທີ່ເຫມາະສົມສໍາລັບການສ້າງວຽກງານທີ່ປະຕິບັດໃນເວລາທີ່ແທ້ຈິງ. ຂໍ້ບົກຜ່ອງແມ່ນຄວາມສາມາດໃນການຂະຫຍາຍທີ່ຈໍາກັດ, ຈໍາກັດໂດຍຈໍານວນຂອງ CPU cores.

ໃນຄໍາສັບໃນຄຸກ, ສະພາບແວດລ້ອມ virtual ຖືກເອີ້ນວ່າ "ກ້ອງຖ່າຍຮູບ" (ຫ້ອງ, ໃນສະພາບການຄຸກ). ພາຍໃນກ້ອງຖ່າຍຮູບ, ລະບົບເບິ່ງຄືວ່າເປັນເຄື່ອງແມ່ຂ່າຍຂອງໂປເຊດເຊີດຽວສະແດງໃຫ້ເຫັນປະສິດທິພາບ ໃກ້ ຕໍ່ກັບການປະຕິບັດຂອງຫຼັກ CPU ທີ່ອຸທິດຕົນ. ກ້ອງຖ່າຍຮູບສາມາດດໍາເນີນການສະພາບແວດລ້ອມຂອງລະບົບປະຕິບັດການທີ່ຕົນເອງມັກ, ເຊັ່ນດຽວກັນກັບສະພາບແວດລ້ອມທີ່ຖອດອອກສໍາລັບການແລ່ນຄໍາຮ້ອງສະຫມັກຫນຶ່ງຫຼືຄໍາຮ້ອງສະຫມັກສ່ວນບຸກຄົນທີ່ກະກຽມພິເສດທີ່ຖືກອອກແບບມາເພື່ອແກ້ໄຂບັນຫາໃນເວລາທີ່ແທ້ຈິງ. ການຕັ້ງຄ່າຖືກຕັ້ງຢູ່ໃນ ໄຟລ໌ .cell, ເຊິ່ງກໍານົດ CPU, ພາກພື້ນຫນ່ວຍຄວາມຈໍາ, ແລະພອດ I/O ທີ່ຈັດສັນໃຫ້ກັບສະພາບແວດລ້ອມ.

ໃນລຸ້ນໃ່

• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບເວທີ Raspberry Pi 4 Model B ແລະ Texas Instruments J721E-EVM;
• ເຮັດໃໝ່ ອຸປະກອນ ivshmem ໃຊ້ເພື່ອຈັດການໂຕ້ຕອບລະຫວ່າງເຊລ. ຢູ່ເທິງສຸດຂອງ ivshmem ໃຫມ່, ທ່ານສາມາດປະຕິບັດການຂົນສົ່ງສໍາລັບ VIRTIO;
  

• ປະຕິບັດຄວາມສາມາດໃນການປິດການສ້າງຫນ້າຫນ່ວຍຄວາມຈໍາຂະຫນາດໃຫຍ່ (hugepage) ເພື່ອສະກັດຊ່ອງໂຫວ່ CVE-2018-12207 ໃນໂປເຊດເຊີ Intel, ເຊິ່ງອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີທີ່ບໍ່ມີສິດທິໃນການເລີ່ມຕົ້ນການປະຕິເສດການບໍລິການທີ່ສົ່ງຜົນໃຫ້ລະບົບຫ້ອຍຢູ່ໃນສະຖານະ "ການກວດສອບຄວາມຜິດພາດ";
• ສໍາລັບລະບົບທີ່ມີໂປເຊດເຊີ ARM64, ສະຫນັບສະຫນູນ SMMUv3 (ຫນ່ວຍການຄຸ້ມຄອງຫນ່ວຍຄວາມຈໍາຂອງລະບົບ) ແລະ TI PVU (ຫນ່ວຍບໍລິການ Peripheral Virtualization). ການສະຫນັບສະຫນູນ PCI ໄດ້ຖືກເພີ່ມສໍາລັບສະພາບແວດລ້ອມທີ່ໂດດດ່ຽວທີ່ແລ່ນຢູ່ເທິງຮາດແວ (ໂລຫະເປົ່າ);
• ໃນລະບົບ x86 ສໍາລັບກ້ອງຖ່າຍຮູບຮາກ, ມັນເປັນໄປໄດ້ທີ່ຈະເປີດໃຊ້ໂຫມດ CR4.UMIP (User-Mode Instruction Prevention) ທີ່ສະຫນອງໂດຍໂປເຊດເຊີ Intel, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດຫ້າມການປະຕິບັດໃນພື້ນທີ່ຜູ້ໃຊ້ຂອງຄໍາແນະນໍາບາງຢ່າງເຊັ່ນ SGDT, SLDT, SIDT. , SMSW ແລະ STR, ເຊິ່ງສາມາດຖືກນໍາໃຊ້ໃນການໂຈມຕີ, ແນໃສ່ການເພີ່ມສິດທິພິເສດໃນລະບົບ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru