Compania Microsoft a prezentat proiectul Hyperlight, care dezvoltă hipervizorul destinat încorporării în aplicații pentru execuția izolată a codului care nu este de încredere sau care necesită protecție specială. Hipervizorul este implementat sub formă de bibliotecă partajată, asigurând execuția unor funcții în mașini virtuale ușoare (micro-VM) și organizând schimbul de date cu aceste funcții. Codul proiectului este scris în limbajul Rust și este distribuit sub licența Apache 2.0.
Comparativ cu lansarea tradițională a mașini virtuale Hyperlight permite obținerea unor întârzieri reduse și a unor costuri minime. În Hyperlight, întârzierile la crearea mașinilor virtuale sunt de 1-2 milisecunde, ceea ce permite aplicarea izolării la nivel de execuție a funcțiilor. Spre comparație, lansarea unei mașini virtuale normale se realizează în cel puțin 120 de milisecunde, iar lansarea unui mediu izolat sandbox pentru execuția codului WebAssembly utilizând runtime-ul Wasmtime durează 0,03 milisecunde.
Pentru izolarea pe platforma Linux, se sprijină utilizarea hipervizoarelor KVM și mshv (Microsoft Hypervisor în Azure Linux), iar pe platforma Windows — WHP (Windows Hypervisor Platform) și WSL2 (Windows Subsystem for Linux 2) cu KVM. Platforma macOS nu este încă suportată. Un nucleu și un sistem de operare separate în mașina virtuală nu sunt utilizate. Configurația pentru mașina virtuală este formată sub formă de program de încărcare autonom, incluzând codul funcției care este executată înfășurat într-un runtime și un nucleu minim specializat. În mașina virtuală, se folosește un singur fragment liniar de memorie și se alocă un CPU virtual, fără maparea dispozitivelor și fără împărțire în procese.
Procesul de dezvoltare se bazează pe legarea codului principal al aplicației cu biblioteca Hyperlight Host, care coordonează lansarea mașinilor virtuale, iar codul funcțiilor executate în mod izolat (funcții guest) cu biblioteca Hyperlight Guest, care oferă un API pentru interacțiunea cu partea externă a aplicației și oportunități pentru execuția separată a codului fără un mediu de sistem de operare.
Stratul furnizat pentru interacțiunea dintre aplicația gazdă și funcțiile izolate permite nu doar apelarea funcțiilor izolate din aplicațiile gazdă, ci și invers, accesarea funcțiilor aplicațiilor gazdă din funcțiile izolate. Lista funcțiilor externe permise pentru apel din funcțiile izolate este strict reglementată. În mod implicit, accesul din funcțiile izolate este restricționat la un API minim, care permite transmiterea de mesaje aplicației gazdă.
În viitor, Microsoft intenționează să transfere proiectul unei organizații non-profit, Cloud Native Computing Foundation (CNCF), pentru dezvoltare comună pe o platformă neutră, independentă de anumite furnizori. Organizația CNCF funcționează sub egida Linux Foundation și supraveghează dezvoltarea unor proiecte precum Kubernetes, etcd, Cilium, Containerd, cri-o, Flux, Helm, Istio și gRPC.
Sursa: opennet.ro
