更新时间:2022-11-15 GMT+08:00
分享

Hypervisor安全

什么是Hypervisor

Hypervisor能实现同一物理机上不同虚拟机之间的资源隔离,避免虚拟机之间的数据窃取或恶意攻击,保证虚拟机的资源使用不受周边虚拟机的影响。用户使用虚拟机时,仅能访问属于自己的虚拟机的资源(如硬件、软件和数据),不能访问其他虚拟机的资源,保证虚拟机隔离安全。

CPU隔离

X86架构为了保护指令的运行,提供了指令的4个不同特权级别,术语称为Ring,优先级从高到低依次为:

  • Ring 0:被用于运行操作系统内核。
  • Ring 1:用于操作系统服务。
  • Ring 2:用于操作系统服务。
  • Ring 3:用于应用程序。

各个级别对可以运行的指令进行限制:

  • Hypervisor运行在Ring0。
  • 虚拟机操作系统运行在Ring 1,有效地防止了虚拟机Guest OS直接执行所有特权指令。
  • 应用程序运行在Ring 3上,保证了操作系统与应用程序之间的隔离。

CPU硬件辅助虚拟化的引入进一步实现了Hypervisor和虚拟机操作系统运行模式的深度隔离。

内存隔离

Hypervisor通过内存虚拟化技术来实现不同虚拟机之间的内存隔离。内存虚拟化技术在传统OS两层地址映射(“虚拟地址”到“机器地址”)的基础上,引入三层地址映射:虚拟机负责将“Guest虚拟地址”映射为“Guest物理地址”,然后Hypervisor负责将“虚拟机物理地址”映射成“机器地址”,再交由物理处理器来执行,保证了虚拟机无法直接接触实际的机器地址,只能访问Hypervisor分配给它的物理内存。

I/O隔离

Hypervisor采用分离设备模型实现I/O的虚拟化。前端负责将虚拟机的I/O请求传递到Hypervisor中的后端,后端解析I/O请求并提交给相应的设备完成I/O操作。Hypervisor保证虚拟机只能访问分配给它的I/O资源。

分享:

    相关文档

    相关产品