Виртуальный беспредел. Лирический экскурс в недалекое прошлое

Виртуальный беспредел

Статья специально написана предельно простым языком, для максимально широкого круга Администраторов, в том числе и Системных.

Лирический экскурс в недалекое прошлое

Так уж получилось, что автор данной статьи был первым в нашей стране, кто начал писать Гипервизоры на основе аппаратной поддержки виртуализации Интел и АМД. Сразу, как только появились инженерные семплы процессоров с этой аппаратурой, были написаны гипервизоры, еще «вручную» и практически «на ощупь». Об этом писалось в достаточно известной статье «Виртуальная шпиономания» (мне ее припоминают до сих пор). Еще не было в компиляторах поддержки аппаратной виртуализации, документация тогда была фрагментарной, а сторонних библиотек и проектов вообще не существовало, все делалось на чистом интересе и голом энтузиазме.

Минуло более 8 лет, теперь компиляторы имеют полную поддержку виртуализации, полно технических описаний и даже книг, так что написание гипервизоров превратилось в рутинную работу, доступную многим. Даже студенты, не зная всей специфики аппаратуры, могут «собрать» собственные гипервизоры на базе общедоступных программных ресурсов из разных ОпенСорсных проектов.

Налицо эйфория, типа, виртуализация может сделать все, а в информационной безопасности, это чуть ли не столбовая дорога…

Придется немного остудить их горячие головы.

Об этом данная статья.

Аппаратная виртуализация была и до появления специальной аппаратуры в составе процессоров. Для этого использовался механизм разграничения привилегий команд, карта ввода/вывода и разделение областей ОП с помощью аппаратуры TLB. Фирма Vmware прекрасно обходилась именно этим набором аппаратных средств для своих виртуальных машин.

То, что было внедрено производителями процессоров 8лет тому назад правильней назвать,- «специальной аппаратурой поддержки виртуализации».

Производители добавили в процессора с десяток специальных команд, ввели новый тип прерывания и расширили возможности уже существующей аппаратуры изоляции областей оперативной памяти (TLB блоки). И это, по сути, все.

Появившаяся несколько позже аппаратная поддержка виртуализации ввода/вывода была уже более серьезным нововведением, она позволила ограничить доступ контроллеров ввода/вывода к оперативной памяти вычислительной установки.

Ранее сделать такое было невозможно.

Но это хоть и существенный, но побочный эффект, виртуализация ввода/вывода задумывалась не для этого.

С момента появления время аппаратура виртуализации используется для продвинутой поддержки классических систем виртуализации (они могут работать и без нее, но медленней),- это ее прямое назначение. Кроме этого, аппаратура виртуализации используется для специальных программ, называемых «Гипердрайвер», - достаточно простых систем контроля за работой аппаратуры и ОС.

Идея этого типа программ была в том, чтобы запустить основную ОС под контролем аппаратного гипервизора.

Аппаратура виртуализации в этом случае не разделяет аппаратные ресурсы платформы для нескольких ОС, а контролирует работу аппаратуры вычислительной установки и функционирующей на ней ОС, включая прикладные программы.

Технология Гипердрайверов применяется для создания систем ИБ и мониторинга уязвимостей нулевого дня, об этом писалось, это реально делалось лично автором данной статьи, публичного распространения она не имеет, хотя и существует коммерческий продукт с ее использованием.

Помимо этого в России разработано несколько «самописных» классических систем виртуализации, использующих технологию аппаратной поддержки виртуализации, кавычки здесь применены не случайно, объясню это подробно.

Ситуация с разработкой отечественных Гипервизоров полностью аналогична ситуации с разработкой отечественной ОС на базе клонов линукса. Говоря конкретно, гипервизоры собираются из модулей публичных ОпенСорсных проектов. Степень заимствования никогда не опускается ниже 75%, со всеми вытекающими последствиями в виде уязвимостей нулевого дня (по небрежности разработчиков) и БекДоров (по злому умыслу).

Так что в отечественных гипервизорах «самописного» кода не более 25% и он, как правило, низкого качества.

Печально, но это так…

12 3 4 Следующая ⇒