[論文レビュー] The Ideal Versus the Real: Revisiting the History of Virtual Machines and Containers

Allison Randal|arXiv (Cornell University)|Apr 27, 2019

Security and Verification in Computing参考文献 172被引用数 50

ひとこと要約

この論文は、仮想マシンが優れたセキュリティを提供し、コンテナが優れたパフォーマンスを発揮するという広く信じられている考えを挑戦し、1950年代から現在に至る仮想化とコンテナ化の歴史的分析を通じて、両技術が根本的に漏れのある抽象化であり、共通のセキュリティ脆弱性を有することを明らかにする。近年のハードウェアの欠陥、例えばSpectreやMeltdownがソフトウェアレベルの隔離を損なうことを示し、将来のマルチテナントシステムにおけるハードウェアとソフトウェア設計の根本的再考を必要とすることを主張する。

ABSTRACT

The common perception in both academic literature and the industry today is that virtual machines offer better security, while containers offer better performance. However, a detailed review of the history of these technologies and the current threats they face reveals a different story. This survey covers key developments in the evolution of virtual machines and containers from the 1950s to today, with an emphasis on countering modern misperceptions with accurate historical details and providing a solid foundation for ongoing research into the future of secure isolation for multitenant infrastructures, such as cloud and container deployments.

研究の動機と目的

• 仮想マシンが実際にそれほど安全ではなく、コンテナが実際にそれほどパフォーマンスに優れているという一般的な認識に反論すること。
• 1950年代から今日に至る仮想マシンとコンテナの歴史的進化をたどり、重要なマイルストーンと設計上のトレードオフを強調すること。
• Spectre や Meltdown などのハードウェア脆弱性が原因で、現在の隔離モデルに根本的な欠陥が生じていることを暴露すること。
• 段階的なパッチ適用では不十分であり、将来のシステムではハードウェアとソフトウェアの設計を根本的に再考する必要があると主張すること。
• 将来の安全でマルチテナントのコンピューティングインfra構築のための歴史的基盤を提供すること。

提案手法

• 1950年代から現在に至る仮想マシンおよびコンテナ技術の年表的調査を実施する。
• CP-67/CMS、VM/370、Linuxコンテナ、Docker、Xen、KVM、ユニコーン（unikernels）といった主要なシステムを分析する。
• 能力指向システムと初期のマルチタスクシステムが、現代のコンテナの前身として果たした役割を検討する。
• 最近の予測実行脆弱性（例：Spectre、Meltdown）が仮想マシンおよびコンテナに与える影響を評価する。
• RISC-V や CHERI といった新興のハードウェア代替案が、予測実行攻撃に対してどれほど耐性があるかを比較する。
• ソフトウェアの抽象化は本質的に漏れのあるものであるため、安全な隔離を再考するにはハードウェアレベルでの再考が不可欠であると提言する。

実験結果

リサーチクエスチョン

• RQ1 仮想マシンがより安全で、コンテナがよりパフォーマンスに優れているという一般的な信念は、実際にどれほど正確なのか？
• RQ2 仮想マシンとコンテナの現在の状態に至る歴史的発展は何か？ そして、両者はどのように並行して進化したのか？
• RQ3 Spectre や Meltdown といった現代のハードウェア脆弱性が、仮想マシンおよびコンテナの隔離保証をどの程度損なっているのか？
• RQ4 RISC-V や CHERI といった新興のハードウェアアーキテクチャは、現在の x86 デザインよりもマルチテナントシステムに、より安全な基盤を提供できるか？
• RQ5 ハードウェアレベルの脆弱性が、クラウドおよびコンテナ環境における将来の安全な隔離に及ぼす長期的影響は何か？

主な発見

• 仮想マシンがより安全で、コンテナがよりパフォーマンスに優れているという一般的な信念は誤解である。両技術とも同様の隔離の弱みを抱えている。
• Spectre や Meltdown、L1TF といったハードウェア脆弱性は、仮想マシンおよびコンテナの両方でソフトウェアレベルの隔離を回避できる。
• 予測実行攻撃は、無効化すると極めて高いパフォーマンスコストが発生するため、無効にできない根本的なハードウェア機能を悪用する。
• RISC-V は予測メモリアクセス攻撃に対して脆弱ではないが、CHERI はSpectre や Meltdown の一部の側面を緩和できるが、すべてをカバーはしない。
• 現在のソフトウェア抽象化は本質的に漏れのあるものであり、意図した以上に下位のハードウェアやソフトウェアを露呈している。
• 段階的なセキュリティ強化では根本的な原因に対処できないため、ハードウェアとソフトウェアアーキテクチャの根本的再考が不可欠である。