[论文解读] The Ideal Versus the Real: Revisiting the History of Virtual Machines and Containers

Allison Randal|arXiv (Cornell University)|Apr 27, 2019

Security and Verification in Computing参考文献 172被引用 50

一句话总结

本文挑战了人们普遍认为虚拟机安全性更高而容器性能更优的观念，通过从1950年代至今的虚拟化与容器化技术历史分析，揭示了两种技术本质上都是存在漏洞的抽象模型，且共享相同的严重安全漏洞。文章指出，近期的硬件缺陷（如Spectre和Meltdown）已破坏了软件层面的隔离机制，因此必须对硬件与软件设计进行彻底重构，以应对未来多租户系统的需求。

ABSTRACT

The common perception in both academic literature and the industry today is that virtual machines offer better security, while containers offer better performance. However, a detailed review of the history of these technologies and the current threats they face reveals a different story. This survey covers key developments in the evolution of virtual machines and containers from the 1950s to today, with an emphasis on countering modern misperceptions with accurate historical details and providing a solid foundation for ongoing research into the future of secure isolation for multitenant infrastructures, such as cloud and container deployments.

研究动机与目标

• 挑战人们普遍认为虚拟机比实际更安全、容器比实际更高效的观点。
• 追溯从1950年代至今虚拟机与容器技术的历史演进，突出关键里程碑与设计权衡。
• 揭示由于Spectre和Meltdown等硬件漏洞导致当前隔离模型的根本性缺陷。
• 论证仅通过增量式修补无法解决问题，未来系统必须对硬件与软件架构进行根本性重构，以实现更强的隔离能力。
• 为未来安全、多租户计算基础设施的研究提供历史基础。

提出的方法

• 对1950年代至今的虚拟机与容器技术进行时间顺序的调查。
• 分析关键系统，包括CP-67/CMS、VM/370、Linux容器、Docker、Xen、KVM以及unikernels。
• 考察能力系统与早期多任务系统在现代容器技术中的先驱作用。
• 评估近期推测执行漏洞（如Spectre、Meltdown）对虚拟机与容器的影响。
• 比较新兴硬件替代方案（如RISC-V与CHERI）在抵御推测执行攻击方面的抗性。
• 提出由于软件抽象本质上是泄漏的，因此必须在硬件层面重新评估安全隔离机制。

实验结果

研究问题

• RQ1 人们普遍认为虚拟机更安全、容器更高效，这种观念在多大程度上是准确的？
• RQ2 哪些历史发展推动了当前虚拟机与容器技术的现状？它们如何并行演进？
• RQ3 Spectre和Meltdown等现代硬件漏洞在多大程度上破坏了虚拟机与容器的隔离保证？
• RQ4 像RISC-V与CHERI这样的新兴硬件架构，是否能为多租户系统提供比当前x86设计更安全的基础？
• RQ5 硬件级漏洞对云环境与容器化环境中安全隔离未来发展的长期影响是什么？

主要发现

• 人们普遍认为虚拟机更安全、容器更高效，这种观念是一种误解；两种技术都存在类似的隔离弱点。
• Spectre、Meltdown和L1TF等硬件漏洞可绕过虚拟机与容器中的软件级隔离。
• 推测执行攻击利用了无法在不付出高昂性能代价的前提下禁用的根本硬件特性。
• RISC-V不受推测内存访问攻击影响，而CHERI虽能缓解部分Spectre与Meltdown问题，但无法解决全部方面。
• 当前的软件抽象本质上是泄漏的，暴露了远超预期的底层硬件与软件细节。
• 必须从根本上重新思考硬件与软件架构，因为仅靠增量式安全加固无法解决隔离失败的根本原因。