微软的Hyper-V的安全性从何而来?

安全
确实,由于Hyper-V在微内核上的优势:微内核管理程序包含了尽可能少的代码,在Hyper-V的管理程序中,你既看不到设备驱动程序(驱动程序是跑在每一个独立的分区中,而虚拟机OS虽然在相互独立的单独分区内但是却能够很好的通过Hypervisor直接访问硬件),同时,Hyper-V也少见第三方代码,因此,微软成功的将Hyper-V的安全隐患降到了最低。

微软在新的Hyper-V中一直在着重提出其在安全性方面的优势,而微软或许也希望通过对安全性的阐述来带出两点:

1、微软的Hyper-V是与众不同的;

2、Hyper-V的微架构相比其它“第三方的解决方案”是有特殊的安全性优势的。

确实,由于Hyper-V在微内核上的优势:微内核管理程序包含了尽可能少的代码,在Hyper-V的管理程序中,你既看不到设备驱动程序(驱动程序是跑在每一个独立的分区中,而虚拟机OS虽然在相互独立的单独分区内但是却能够很好的通过Hypervisor直接访问硬件),同时,Hyper-V也少见第三方代码,因此,微软成功的将Hyper-V的安全隐患降到了最低。

但这只是Hyper-V的安全性话题的其中一部分,微软在保护Hyper-V上所投入的力量显然是更为巨大的,且安全性,尤其是在与Windows Server紧密结合之后的安全性,正成为微软与VMware、Xen Source这些第三方解决方案抗衡的重要砝码。

微软的Hyper-V的虚拟化前身来自于Virtual Server,这是一个建立在Ring0内核模式和Ring3用户模式下的传统模式,宿主机的Windows和驱动程序及VS底层驱动都是在Ring0下,Virtual Server则是在Windows Server上的,通过IIS来进行管理,与内核进行通信,但反观虚拟机,其Virtual Server则运行于一个高于WIndows的Ring1虚拟内核模式上,特权低于Ring0,但是高于Ring3——问题在于很多特权指令很可能不能够在Ring1上得到完善的支持,当然,我记得微软好像也有一种什么二进制指令翻译的技术进行处理,但是这毕竟不是一个最“根本”的解决途径。

在Hyper-V中,不再有宿主机和虚拟机之分,微软带来的新概念是:父分区和子分区,通过在硬件底层安装Hypervisor,然后就在虚拟机上划分多个分区,父分区和子分区虽然看起来可以对应之前的宿主机和虚拟机,但是其地位已经基本平等,他们的内核都是运行在Ring0上,应用程序则运行在Ring3用户模式上,与VS最大的不同是,虚拟机的内核不再运行在Ring1之中,Hypervisor运行的则更为底级,大致是运行在CPU上的一个什么层上,微软的命名也很有意思,叫Ring-1,从图中我们看到,微软虚拟化的功能和结构已经大大的复杂化和体系化(见下图)。

好,现在我们已经对Hyper-V的架构有了一定的了解——从第三方的结构上来看,Hypervisor有两点安全性值得我们注意:第一,其不能满足深度防御体系——这一点当然是微软一致推崇的;第二,Hypervisor直接运行在硬件上,导致了特权的最大化,其风险可想而知,因此,Hyper-V既然是基于Hypervisor技术的,也就面临了同样的问题。

微软的解决办法是:在Hyper-V中只做内存管理和CPU调度,其他的设备则通过关键的VMbus——这是一种穿越机制,通过VMbus进入Ring0进行转接,从而构建了一个微软Hyper-V的三层架构(当然,就是那个深度防御体系):调度CPU管理内存的Hypervisor层、存储/网络堆栈和驱动运行的Ring0层以及Ring3层之中的虚拟设备/管理用API/虚拟机(见下图)。

不知道有没有人注意到:VMbus是其中的一个安全性的核心,他负责了那些可能会出现问题的命令和代码的执行——基于VMbus的高速内存总线架构是其安全性实现超越主要贡献者,每台虚拟机之间隔离的VMbus调用保证了每个分区,每个虚拟机之间完全的隔离开(或许我们可以说是“类物理机”?)

除此以外,我们还会看到,正如我在文章开头所说,Hyper-V底层的Hypervisor代码量很小,不带有第三方驱动,仅仅是负责两件事情的非常精简的架构下——而且还是纯粹的微软的代码(微软自己声称不包含任何的bug),安全性能够得到大大提升——只做最核心的,不做那些可能会出问题的,Hypervisor会出问题才怪?!

当然,这并不是全部的内容,微软的工程师曾经提到过有关Hpyer-V安全加固部分:首先,Hypervisor拥有自己的地址空间,与Guest的地址空间隔离;其次,Hypervisor可以运行在Windows Server 2008上的Server Core上,这是仅仅支持命令行接口的一个最精简的Windows Server,一个没有GUI Shell但是可以运行GUI程序的诡异系统。

利用Server Core安装Hyper-V,好处很明显:GUI Shell去掉后,性能更好,而代码量最小之后,系统需要补丁的几率也就越小——我觉得这点最关键,谁都知道,微软的Windows绝对是补丁大王。

补:需要说明的是,子分区目前仍然要通过父分区来访问硬件资源,当子分区内的操作系统需要访问硬件的时候,由子分区内的VSC(Virtualization Service Client)通过VMBUS将request发给父分区里面的VSP(Virtualization Service Provider),然后由VSP去提供实际的硬件服务。通过这种方式来使用硬件,相对于使用硬件模拟的方法,其访问性能有了大幅度的提高。

责任编辑:王文文 来源: 赛迪网
相关推荐

2010-05-04 16:36:10

虚拟化

2021-12-08 13:57:29

以太坊加密货币比特币

2012-06-20 16:51:41

Surface

2020-12-01 12:52:05

物联网物联网设备

2020-04-20 22:41:14

物联网安全漏洞IOT

2009-11-25 10:21:13

Linux中文桌面

2011-07-07 09:12:46

智慧运算WatsonPower

2009-11-19 11:27:01

AMD技术代号

2023-09-08 13:30:25

2021-01-08 14:40:56

比特币加密货币区块链

2011-01-25 10:17:24

微软Hyper-V c

2014-06-23 09:30:34

华为数据中心凤凰卫视全媒体

2009-03-16 19:17:40

微软Hyper-VVmware

2014-04-24 10:53:01

Hyper-VHyper-V Ser

2012-06-29 16:52:21

微软OpenStackHyper-V

2022-01-17 10:12:47

C++‘模板元编程

2014-04-24 11:02:12

Hyper-V虚拟化主机

2023-08-22 08:18:33

Intel显卡锐炫

2020-04-01 14:24:06

机器学习人工智能AI
点赞
收藏

51CTO技术栈公众号