[논문 리뷰] The Ideal Versus the Real: Revisiting the History of Virtual Machines and Containers

Allison Randal|arXiv (Cornell University)|2019. 04. 27.

Security and Verification in Computing참고 문헌 172인용 수 50

한 줄 요약

이 논문은 가상 머신이 보다 뛰어난 보안을 제공하고 컨테이너가 더 뛰어난 성능을 제공한다는 널리 퍼진 믿음을 도전하며, 1950년대부터 현재까지 가상화와 컨테이너화의 역사를 분석함으로써 두 기술 모두 근본적으로 泄漏하는 추상화이며 공통의 보안 취약성을 공유하고 있음을 드러낸다. 최근의 하드웨어 결함인 Spectre와 Meltdown이 소프트웨어 수준의 격리 기능을 뿌리 뽑아내기 때문에, 향후 다중 테넌트 시스템을 위한 하드웨어와 소프트웨어 설계를 근본적으로 재고할 필요가 있다.

ABSTRACT

The common perception in both academic literature and the industry today is that virtual machines offer better security, while containers offer better performance. However, a detailed review of the history of these technologies and the current threats they face reveals a different story. This survey covers key developments in the evolution of virtual machines and containers from the 1950s to today, with an emphasis on countering modern misperceptions with accurate historical details and providing a solid foundation for ongoing research into the future of secure isolation for multitenant infrastructures, such as cloud and container deployments.

연구 동기 및 목표

• 가상 머신이 실제로보다 더 안전하고 컨테이너가 더 뛰어난 성능을 낸다는 일반적인 인식을 도전하는 것.
• 1950년대부터 오늘날까지 가상 머신과 컨테이너의 역사를 추적하여 주요 이정표와 설계적 타협점을 부각하는 것.
• Spectre와 Meltdown과 같은 하드웨어 취약성으로 인해 현재의 격리 모델에 근본적인 결함이 존재함을 폭 드러내는 것.
• 점진적인 패치로는 부족하며, 향후 시스템은 더 강력한 격리를 위해 하드웨어와 소프트웨어 아키텍처를 근본적으로 재설계해야 한다는 주장을 펼이는 것.
• 안전하고 다중 테넌트 컴퓨팅 인fra를 위한 향후 연구를 위한 역사적 기반을 제공하는 것.

제안 방법

• 1950년대부터 현재까지 가상 머신 및 컨테이너 기술의 연대기적 조사를 수행한다.
• CP-67/CMS, VM/370, 리눅스 컨테이너, 도커, Xen, KVM, 유닉어너를 포함한 핵심 시스템을 분석한다.
• 능력 기반 시스템과 초기 다중 작업 시스템이 현대 컨테이너의 선구자로서의 역할을 분석한다.
• 최근의 예측 실행 취약성(예: Spectre, Meltdown)이 가상 머신과 컨테이너 양쪽에 끼치는 영향을 평가한다.
• RISC-V와 CHERI와 같은 새로운 하드웨어 대안이 예측 실행 공격에 얼마나 견고한지 비교 분석한다.
• 소프트웨어 추상화는 본질적으로 泄漏하므로, 하드웨어 수준에서 안전한 격리가 재고되어야 한다는 주장을 펼친다.

실험 결과

연구 질문

• RQ1 가상 머신이 더 안전하고 컨테이너가 더 뛰어난 성능을 낸다는 일반적인 믿음은 실제로 얼마나 정확한가?
• RQ2 현재의 가상 머신과 컨테이너 상태에 이르게 한 역사적 발전은 무엇이며, 이들은 어떻게 평행적으로 진화해 왔는가?
• RQ3 Spectre와 Meltdown과 같은 현대 하드웨어 취약성이 가상 머신과 컨테이너의 격리 보장을 얼마나 심각하게 뿌리 뽑는가?
• RQ4 RISC-V와 CHERI와 같은 새로운 하드웨어 아키텍처는 현재의 x86 설계보다 다중 테넌트 시스템에 더 안전한 기반을 제공할 수 있는가?
• RQ5 하드웨어 수준의 취약성이 클라우드 및 컨테이너 기반 환경에서의 향후 보안 격리에 어떤 장기적 영향을 미칠 것인가?

주요 결과

• 가상 머신이 더 안전하고 컨테이너가 더 뛰어난 성능을 낸다는 일반적인 믿음은 오해이다. 두 기술 모두 유사한 격리 취약성을 겪고 있다.
• Spectre, Meltdown, L1TF와 같은 하드웨어 취약성은 가상 머신과 컨테이너 양쪽에서 소프트웨어 수준의 격리 기능을 우회할 수 있다.
• 예측 실행 공격는 성능 비용이 지나치게 높아 비활성화할 수 없는 기본 하드웨어 기능을 악용한다.
• RISC-V는 예측 메모리 액세스 공격에 취약하지 않으며, CHERI는 Spectre와 Meltdown의 일부 요소를 완화하지만 전부는 아니다.
• 현재의 소프트웨어 추상화는 본질적으로 泄漏하므로, 의도한 것보다 더 많은 하드웨어와 소프트웨어를 드러낸다.
• 점진적인 보안 강화는 격리 실패의 근본 원인을 해결하기에 부족하므로, 하드웨어와 소프트웨어 아키텍처를 근본적으로 재고할 필요가 있다.