Isolation - Systemvirtualisierung mit Xen, KVM und NOVA

Transkript

1 Isolation - Systemvirtualisierung mit Xen, KVM und NOVA Vortrag im Rahmen des Seminars Softwarebasierte Fehlertoleranz 05. März 2013 Andreas Trenkmann 1

2 Agenda Einführung Systemvirtualisierung Der Hypervisor Virtualisierungstechniken in Prozessoren Vollvirtualisierung Paravirtualisierung Isolation Sicherheit in Virtualisierung Evaluierung Zusammenfassung Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

3 Einführung Systemvirtualisierung ist... eine virtuelle Maschine, die ein Hardwaresystem nachbildet Ziele der Virtualisierung Einführung einer Abstraktionsschicht zwischen Hardware und Software Konsolidierung von Hardware Erhöhung der Verfügbarkeit in Rechenzentren Vollständige Isolation zwischen einzelnen Systemen Vorteile für kommerzielle Nutzer: Einsparung von Kosten Ein Grundstein der Infrastructure As A Service (IaaS) im Cloud Com. Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

4 Einführung Anwendungsbeispiel - Cloud-Dienste Beispiel End User Software as a Service (SaaS) Platform as a Service (PaaS) Infrastructure as a Service Web Services, Multimedia, Business Applikation Applikation Software Framework ( Java/Python/.Net) Storage (DB/File) Plattform Computation (VM), Virtual Storage Infrastruktur CPU, Memory, Disk Hardware YouTube, Google Apps Google AppEngine, MS Azure GoGrid, Flexiscale Data Centers Quelle: Chao-Tung Yang, et. al. On construction of cloud iaas using kvm and open nebula for video services. In Parallel Processing Workshops (ICPPW), , sept Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

5 Einführung Anwendungsbeispiel - Cloud-Dienste Beispiel End User Software as a Service (SaaS) Platform as a Service (PaaS) Infrastructure as a Service Web Services, Multimedia, Business Applikation Applikation Software Framework ( Java/Python/.Net) Storage (DB/File) Plattform Computation (VM), Virtual Storage Infrastruktur CPU, Memory, Disk Hardware YouTube, Google Apps Google AppEngine, MS Azure GoGrid, Flexiscale Data Centers Quelle: Chao-Tung Yang, et. al. On construction of cloud iaas using kvm and open nebula for video services. In Parallel Processing Workshops (ICPPW), , sept Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

6 Systemvirtualisierung Abgrenzung und Terminologie Partitionierung Bei Partitionierung können auf den Gesamtressourcen eines Computersystems Teilsysteme definiert werden Hardware Emulation Emulation bildet die komplette Hardware eines Rechnersystems nach, um ein unverändertes Betriebssystem, das für eine andere Hardwarearchitektur (CPU) ausgelegt ist, zu betreiben Anwendungsvirtualisierung Anwendungen werden lokal, unter Verwendung lokaler Ressourcen in einer virtuellen Umgebung ausgeführt, die alle Komponenten bereitstellt, die die Anwendung benötigt Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

7 Systemvirtualisierung Abgrenzung und Terminologie Virtualisierung Durch Virtualisierung werden die Ressourcen eines Rechnersystems aufgeteilt und von mehreren unabhängigen Betriebssystem-Instanzen genutzt Jede virtuelle Maschine (VM) verhält sich wie ein vollwertiger Computer mit eigenen Komponenten, der in einer abgeschotteten Umgebung auf einer realen Maschine läuft Anforderungen der Betriebssystem-Instanzen werden von der Virtualisierungssoftware abgefangen und auf die real vorhandene oder emulierte Hardware umgesetzt Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

8 Der Hypervisor Der Hypervisor agiert als Schicht zwischen Gast und echter Hardware Auch bekannt als Virtual Machine Monitor (VMM) Schutzprinzip der Ringe Zweck: Anwendungen werden vom Betriebssystem abgeschottet Nicht-privilegierter Modus Auch Benutzermodus oder Usermodus Hier erfolgt die Ausführung der Anwendung Privilegierter Modus Auch Kernelmodus Hier erfolgt die Ausführung von privilegierten Befehlen Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

9 Der Hypervisor Schutzprinzip der Ringe x86 - Architektur Bild: Peter Mandl. Betriebssystemarchitekturen und betriebsarten. In Grundkurs Be- triebssysteme, pages Springer Fachmedien Wiesbaden, Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

10 Der Hypervisor Schutzprinzip der Ringe x Architektur Bild: Peter Mandl. Betriebssystemarchitekturen und betriebsarten. In Grundkurs Be- triebssysteme, pages Springer Fachmedien Wiesbaden, Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

11 Der Hypervisor Privilegierte Befehle Privilegierte Befehle lösen einen Trap aus Ein Trap ist ein Software-Interrupt, der für einen Übergang vom Benutzermodus in den Kernelmodus sorgt Systemcalls zählen zu der Menge der privilegierten Befehle Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

12 Der Hypervisor Privilegierte Befehle Bild: Peter Mandl. Interruptverarbeitung. In Grundkurs Betriebssysteme, pages Springer Fachmedien Wiesbaden, Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

13 Der Hypervisor Das Problem der kritischen Befehle Bild: Peter Mandl. Betriebssystemvirtualisierung. In Grundkurs Betriebssysteme, pages Springer Fachmedien Wiesbaden, Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

14 Der Hypervisor Typ 1 Der Hypervisor ist ein auf ein Minimum reduziertes Metabetriebssystem Hypervisor dient als abstrakte Verwaltungsschicht für den Zugriff auf Ressourcen wie Speicher, Netzwerkschnittstelle, etc. Typ 2 Der Hypervisor wird in der Regel als Anwendung ausgeführt Systemcalls werden per Code-Patching oder Binärübersetzung abgefangen Bild: Peter Mandl. Interruptverarbeitung. In Grundkurs Betriebssysteme, pages Springer Fachmedien Wiesbaden, Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

15 Der Hypervisor Typ 1 Der Hypervisor ist ein auf ein Minimum reduziertes Metabetriebssystem Hypervisor dient als abstrakte Verwaltungsschicht für den Zugriff auf Ressourcen wie Speicher, Netzwerkschnittstelle, etc. Bild: Peter Mandl. Interruptverarbeitung. In Grundkurs Betriebssysteme, pages Springer Fachmedien Wiesbaden, Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

16 Der Hypervisor Typ 1 Der Hypervisor ist ein auf ein Minimum reduziertes Metabetriebssystem Hypervisor dient als abstrakte Verwaltungsschicht für den Zugriff auf Ressourcen wie Speicher, Netzwerkschnittstelle, etc. Typ 2 Der Hypervisor wird in der Regel als Anwendung ausgeführt Systemcalls werden per Code-Patching oder Binärübersetzung abgefangen Bild: Peter Mandl. Interruptverarbeitung. In Grundkurs Betriebssysteme, pages Springer Fachmedien Wiesbaden, Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

17 Der Hypervisor Typ 2 Der Hypervisor wird in der Regel als Anwendung ausgeführt Gastbetriebssysteme laufen im Ring 3 (Usermodus) Systemcalls werden per Code-Patching oder Binärübersetzung abgefangen Bild: Peter Mandl. Interruptverarbeitung. In Grundkurs Betriebssysteme, pages Springer Fachmedien Wiesbaden, Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

18 Virtualisierungstechniken in Prozessoren Erweiterungen der Befehlssätze Zur Zeit in allen Intel und AMD Prozessoren verfügbar Erweiterungen sind zueinander inkompatibel aber ähnlich Ringstruktur wurde durch einen weiteren Ring ergänzt Als Root-Modus, Wirt-Modus, VMX root oder Ring -1 bezeichnet Der Hypervisor läuft nun im Ring -1 Die VM wird im Gast-Modus ausgeführt Keine Anpassung der Betriebssysteme nötig Privilegierter Befehl beim Gast löst Trap zu Ring -1 aus Die CPU ist mit dieser Erweiterung partitionierbar Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

19 Vollvirtualisierung Merkmale Gast-Betriebssysteme müssen nicht angepasst werden Die VM simuliert einen vollständigen Rechner Verwendet Hypervisor vom Typ 2 Nicht-virtualisierbare Hardware wird emuliert z.b. Netzwerkkarten Emulation von populärer Hardware vermeidet Treiberprobleme Beispiele: KVM, Parallels Desktop, VMware Workstation, Mac-on- Linux (MoL) Bild: Peter Mandl. Interruptverarbeitung. In Grundkurs Betriebssysteme, pages Springer Fachmedien Wiesbaden, Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

20 Vollvirtualisierung KVM Kernel-based Virtual Machine (KVM) Ist als Modul im Kernel integriert Linux-Kernel ist der Hypervisor Je VM ein eigenständiger Prozess Prozessorvirtualisierungs-Techniken sind Voraussetzung Kein reiner Typ - 2 Hypervisor, da Teile auch in Ring 0 laufen Speicher wird durch KVM bereitgestellt Weitere Hardware wird durch QEMU emuliert Bild: Peter Mandl. Interruptverarbeitung. In Grundkurs Betriebssysteme, pages Springer Fachmedien Wiesbaden, Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

21 Vollvirtualisierung NOVA NOVA OS Virtualization Infrastructure Der Hypervisor befindet sich in einer Mikrokernel-basierten Systemumgebung NOVA besteht aus dem Hypervisor und dem NOVA UserLand (NUL) Der Root Partition Manager verteilt die verfügbaren Ressourcen an die VMMs Jede VM besitzt seine eigene VMM Die VMM simuliert Geräte, verwaltet den Speicher des Gasts und agiert zwischen Gast und Hypervisor Geräte stehen der VM als endliche Automaten zur Verfügung Bild: Udo Steinberg and Bernhard Kauer. Nova: A microhypervisor-based secure virtua- lization architecture. In 5th European Conference on Computer Systems, volume 5, pages 1 14, 2010 Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

22 Vollvirtualisierung NOVA NOVA OS Virtualization Infrastructure Der Hypervisor befindet sich in einer Mikrokernel-basierten Systemumgebung NOVA besteht aus dem Hypervisor und dem NOVA UserLand (NUL) Der Root Partition Manager verteilt die verfügbaren Ressourcen an die VMMs Jede VM besitzt seine eigene VMM Die VMM simuliert Geräte, verwaltet den Speicher des Gasts und agiert zwischen Gast und Hypervisor Geräte stehen der VM als endliche Automaten zur Verfügung Bild: Udo Steinberg and Bernhard Kauer. Nova: A microhypervisor-based secure virtua- lization architecture. In 5th European Conference on Computer Systems, volume 5, pages 1 14, 2010 Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

23 Paravirtualisierung Merkmale Gast-Betriebssysteme müssen angepasst werden Hypervisor vom Typ 1 Hardware wird nicht virtualisiert oder emuliert Schnittstelle bietet dem Gast Zugriff auf Ressourcen Prozessorvirtualisierungs-Technik nicht notwendig Host-Betriebssystem läuft nicht im privilegierten Ring 0, sondern im weniger privilegierten Ring 1 -> insgesamt 3 Ringe notwendig Betriebssystem kann nun keine privilegierten Befehle ausführen Der Kernel gibt stattdessen Hypercalls an den Hypervisor ab Daher Betriebssystemanpassung notwendig Bild: Peter Mandl. Interruptverarbeitung. In Grundkurs Betriebssysteme, pages Springer Fachmedien Wiesbaden, Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

24 Paravirtualisierung Hypercall Bild: Peter Mandl. Interruptverarbeitung. In Grundkurs Betriebssysteme, pages Springer Fachmedien Wiesbaden, Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

25 Paravirtualisierung XEN Unterstütz paravirtualisierte und vollvirtualisierte Gäste (ab V. 3) VMs werden als DomU bezeichnet Weitere Linux-Instanz stellt Treiber und VM-Management bereit Diese Instanz wird als Dom0 bezeichnet Der Speicher wird hier ebenfalls verwaltet Balloon-Treiber gibt freien Speicher zurück Rechteinhaber lehnen Anpassung ihrer Betriebssysteme aus strategischen Gründen häufig ab Bild: Novell, Virtualization Technology 10 SP 1, 27 August 2007 Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

26 Paravirtualisierung XEN Bild: Novell, Virtualization Technology 10 SP 1, 27 August 2007 Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

27 Paravirtualisierung XEN Unterstütz paravirtualisierte und vollvirtualisierte Gäste (ab V. 3) VMs werden als DomU bezeichnet Weitere Linux-Instanz stellt Treiber und VM-Management bereit Diese Instanz wird als Dom0 bezeichnet Der Speicher wird hier ebenfalls verwaltet Balloon-Treiber gibt freien Speicher zurück Rechteinhaber lehnen Anpassung ihrer Betriebssysteme aus strategischen Gründen häufig ab Bild: The Paravirtualization Spectrum 31 Oktober 2012 Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

28 Isolation Eigenschaft des Hypervisors Grundsätzlich unterscheidet man drei Haupteigenschaften Isolation Jede VM besitzt ihren eigenen Adressraum Isolation bei VMs untereinander und zwischen Host und VMs CPU-Scheduling-Verfahren sichern CPU-Zeit zu Interposition Hypervisor verwaltet alle Zugriffe auf privilegierte Befehle Inspektion Hypervisor hat jederzeit Zugriff auf alle Zustände der VMs Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

29 Isolation Isolationskonflikte DoS: Denial of Service - Angriff Bspw. als andauernde Ressource-Anfragen VM Escape Ausbruch aus der VM und Interaktion mit dem Hypervisor VM Hopping Angreifer übernimmt von einer VM aus eine weitere VM VM Monitor-Attacke Auslesen von Speicherinhalten anderer VMs Aufgrund von Lastenausgleich können bereits erfolgreiche Angreifer weitere Hosts korrumpieren Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

30 Sicherheit in Systemvirtualisierungen Mechanismen Trusted Computing Base (TCB) minimieren, somit ist die Angriffsfläche verkleinert und weniger Möglichkeiten für Fehler In NOVA und XEN integriert (siehe später KLOC-Vergleich) Korrumpierte VMs identifizieren Nutzt das Wissen über die Vorgehensweise vieler bekannter Root-Kits Im Hypervisor implementierte Sicherheitsüberwachung Unter anderem durch Hypercall-Überwachung In XEN und KVM-SMA (KVM Security Management Architecture) VM-Tools abschalten! Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

31 Evaluierung KLOC - Kilo Lines of Code Bild: Udo Steinberg and Bernhard Kauer. Nova: A microhypervisor-based secure virtua- lization architecture. In 5th European Conference on Computer Systems, volume 5, pages 1 14, 2010 Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

32 Evaluierung Leistungsvergleich - Daten Benötigte Zeit für Kompilierung des x86 Linux Kernel CPU intel Core i7 512 MB RAM bei Native und Direct 3 GB für Virtualisierungsumgebung, wobei die VM 512 MB bekam Alle Umgebungen wurden auf der selben Hardware gemessen Direct ist das Native-System mit aktiviertem Nested Paging Nested Paging -> virtualisiert Adresstabelle Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

33 Evaluierung Leistungsvergleich - Diagramm Overhead: NOVA: ca. 1% KVM: ca. 2% XEN: ca. 2,5% ESXi: ca. 2,5% Hyper-V: ca. 4% Bild: Udo Steinberg and Bernhard Kauer. Nova: A microhypervisor-based secure virtua- lization architecture. In 5th European Conference on Computer Systems, volume 5, pages 1 14, 2010 Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

34 Zusammenfassung Systemvirtualisierung unterscheidet sich nach der CPU- Architektur, dem Hypervisor-Typ und Virtualisierungs-Art Lässt sich mit 3 Hauptmerkmalen charakterisieren Isolation Interposition Inspektion Isolationskonflikte werden durch eine kleine TCB und guter Sicherheitsarchitektur reduziert Dank neuer Virtualisierungs-Technologien ist der Overhead sehr gering Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33

35 Basis-Literatur Udo Steinberg and Bernhard Kauer. In Nova: A microhypervisorbased secure virtualization architecture Peter Mandl. Betriebssystemvirtualisierung L. YamunaDevi, P. Aruna, D.D. Sudha, and N. Priya. Security in virtual machine live migration for kvm Paul Barham, Boris Dragovic, Keir Fraser, Steven Hand, Tim Harris, Alex Ho, Rolf Neugebauery, Ian Pratt, and Andrew Warfield. Xen and the art of virtualization Isolation Systemvirtualisierung mit XEN, KVM und NOVA 05. März / 33