Siemens vrijgegeven hypervisor . De hypervisor ondersteunt werking op x86_64-systemen met VMX+EPT of SVM+NPT (AMD-V) uitbreidingen, evenals op ARMv7 en ARMv8/ARM64-processoren met virtualisatie-uitbreidingen. Apart is er een image generator voor de Jailhouse hypervisor, die is opgebouwd uit Debian-pakketten voor ondersteunde apparaten. De projectcode onder GPLv2-licentie.
de hypervisor is geïmplementeerd als een module voor de Linux-kernel en biedt virtualisatie op kernel-niveau. Componenten voor gastsystemen zijn al opgenomen in de hoofdLinux-kernel. Voor het beheren van isolatie worden de door moderne CPU's geboden hardware virtualisatie mechanismen gebruikt. Kenmerkende eigenschappen van Jailhouse zijn de lichtgewicht implementatie en de focus op het toewijzen van virtuele machines aan een vaste CPU, geheugengebieden en hardware apparaten. Deze aanpak maakt het mogelijk om op één fysieke multiprocessor server meerdere onafhankelijke virtuele omgevingen te creëren, elk gebonden aan hun eigen processorkern.
Bij strikte toewijzing aan de CPU worden de overheadkosten van de hypervisor tot een minimum beperkt en wordt de implementatie aanzienlijk vereenvoudigd, omdat er geen complexe resource-distributieschema's hoeven te worden uitgevoerd — het toewijzen van een aparte CPU-kern garandeert dat er geen andere taken op die CPU worden uitgevoerd. Een voordeel van deze aanpak is de mogelijkheid om gegarandeerde toegang tot bronnen en voorspelbare prestaties te bieden, waardoor Jailhouse een geschikte oplossing is voor taken die in realtime moeten worden uitgevoerd. Een nadeel is de beperkte schaalbaarheid, die tegen het aantal CPU-kernen aanloopt.
In de terminologie van Jailhouse worden virtuele omgevingen «cellen» genoemd (cell, in de context van jailhouse). Binnen de cel lijkt het systeem op een één-processor server die prestaties toont de prestaties van een toegewezen CPU-kern. In de cel kan een omgeving van elk besturingssysteem worden uitgevoerd, evenals afgeslankte omgevingen voor het draaien van één applicatie of speciaal voorbereide afzonderlijke applicaties, bedoeld voor het oplossen van realtime taken. De configuratie wordt bepaald in , die de toegewezen omgeving CPU, geheugengebieden en invoer-/uitgangspoorten bepalen.
In de nieuwe uitgave
- Ondersteuning toegevoegd voor de platforms Raspberry Pi 4 Model B en Texas Instruments J721E-EVM;
- ivshmem-apparaat, dat wordt gebruikt om de interactie tussen cellen te organiseren. Bovenop de nieuwe ivshmem kan een transport voor VIRTIO worden geïmplementeerd;
- Mogelijkheid geïmplementeerd om de creatie van grote geheugenpagina's (hugepage) uit te schakelen om kwetsbaarheden te blokkeren in Intel-processors, die een niet-privilegiërende aanvaller in staat stelt een denial-of-service uit te lokken, waardoor het systeem vastloopt in de status 'Machine Check Error';
- Voor systemen met ARM64-processors is ondersteuning voor SMMUv3 (System Memory Management Unit) en TI PVU (Peripheral Virtualization Unit) geïmplementeerd. Voor geïsoleerde omgevingen die bovenop hardware (bare-metal) draaien, is ondersteuning voor PCI toegevoegd;
- Op x86-systemen is de mogelijkheid geïmplementeerd om de door Intel-processors aangeboden CR4.UMIP (User-Mode Instruction Prevention) modus in te schakelen, waarmee de uitvoering in gebruikersruimte van bepaalde instructies kan worden verboden, zoals SGDT, SLDT, SIDT, SMSW en STR, die kunnen worden gebruikt in aanvallen gericht op het verhogen van privileges in het systeem.
Bron: opennet.ru
