A Microsoft apresentou o projeto Hyperlight, que desenvolve um hipervisor destinado a ser incorporado em aplicações para execução isolada de código que não é confiável ou que requer proteção especial. O hipervisor é apresentado como uma biblioteca compartilhada, garantindo a execução de funções individuais em máquinas virtuais leves (micro-VM) e organizando a troca de dados com essas funções. O código do projeto é escrito em Rust e é distribuído sob a licença Apache 2.0.
Em comparação com a execução de tradicionais máquinas virtuais O Hyperlight permite obter baixa latência e despesas mínimas. No Hyperlight, a latência na criação de máquinas virtuais é de 1 a 2 milissegundos, o que possibilita a aplicação de isolamento em nível de execução de funções. Para comparação, a execução de uma máquina virtual convencional leva pelo menos 120 milissegundos, enquanto a execução de um ambiente sandbox isolado para executar código WebAssembly utilizando o runtime Wasmtime leva 0,03 milissegundos.
Para isolamento na plataforma Linux, são suportados os hipervisores KVM e mshv (Microsoft Hypervisor no Azure Linux), e na plataforma Windows — WHP (Windows Hypervisor Platform) e WSL2 (Windows Subsystem for Linux 2) com KVM. A plataforma macOS ainda não é suportada. Um núcleo separado e o sistema operacional em máquina virtual não são utilizados. A configuração para a máquina virtual é formada na forma de um programa de carga autossuficiente, incluindo o código da função executável envolvid em runtime e um núcleo mínimo especializado. Na máquina virtual, um único fragmento linear de memória é utilizado e um CPU virtual é designado, sem mapeamento de dispositivos e sem separação em processos.
O processo de desenvolvimento baseia-se na vinculação do código principal da aplicação com a biblioteca Hyperlight Host, que coordena a execução de máquinas virtuais, e o código das funções executadas em modo isolado (funções convidadas) com a biblioteca Hyperlight Guest, que fornece uma API para interação com a parte externa da aplicação e possibilidades para a execução isolada do código sem o ambiente do sistema operacional.
A camada fornecida para interação entre o aplicativo host e as funções isoladas permite não apenas chamar funções isoladas a partir de aplicativos host, mas também, inversamente, acessar funções de aplicativos host a partir de funções isoladas. A lista de funções externas permitidas para chamada a partir de funções isoladas é rigidamente regulamentada. Por padrão, o acesso a partir de funções isoladas é limitado a uma API mínima, permitindo a troca de mensagens com o aplicativo host.
No futuro, a Microsoft planeja transferir o projeto para a organização sem fins lucrativos Cloud Native Computing Foundation (CNCF) para desenvolvimento conjunto em uma plataforma neutra, independente de fornecedores específicos. A organização CNCF opera sob a égide da Linux Foundation e supervisiona o desenvolvimento de projetos como Kubernetes, etcd, Cilium, Containerd, cri-o, Flux, Helm, Istio e gRPC.
Fonte: opennet.ru
