[论文解读] Virtualization: A double-edged sword

Joachim J. Wlodarz|arXiv (Cornell University)|May 19, 2007

Cloud Computing and Resource Management参考文献 16被引用 7

一句话总结

本文將虛擬化視為一把雙面刃，強調其在資源效率與系統靈活性方面的變革性優勢，同時指出其在現代x86環境中帶來的關鍵安全風險。本文基於國際商業機器公司（IBM）大型主機VM/370時代的歷史教訓，主張虛擬機並非與生俱來安全，現代虛擬化軟件因複雜的攻擊面、實作缺陷，以及支援即時遷移與動態創建等功能，導致嚴重的漏洞，進而使隱蔽攻擊成為可能。

ABSTRACT

Virtualization became recently a hot topic once again, after being dormant for more than twenty years. In the meantime, it has been almost forgotten, that virtual machines are not so perfect isolating environments as it seems, when looking at the principles. These lessons were already learnt earlier when the first virtualized systems have been exposed to real life usage. Contemporary virtualization software enables instant creation and destruction of virtual machines on a host, live migration from one host to another, execution history manipulation, etc. These features are very useful in practice, but also causing headaches among security specialists, especially in current hostile network environments. In the present contribution we discuss the principles, potential benefits and risks of virtualization in a deja vu perspective, related to previous experiences with virtualization in the mainframe era.

研究动机与目标

• 分析虛擬化在現代資訊科技領域的復甦及其對系統安全的影響。
• 識別並解釋虛擬化環境中固有的安全弱點，特別是在通用x86平台上的問題。
• 將過去大型主機時代的虛擬化挑戰與當代通用虛擬化軟件的問題進行類比。
• 主張在虛擬化架構中加強安全加固、形式化驗證與安全虛擬機監視器設計。

提出的方法

• 對虛擬化原理與歷史實作進行回顧性分析，特別聚焦於國際商業機器公司（IBM）的VM/370與System/370大型主機。
• 比較傳統Type I虛擬機監視器（如VM/370 CP）與現代x86虛擬化軟件的安全模型與隔離特性。
• 評估即時遷移、動態創建與檢查點等動態虛擬機功能所引入的安全風險。
• 回顧近期關於主流虛擬化軟件中可利用缺陷的研究成果，包括塔維斯·奧曼迪（Tavis Ormandy）的研究，顯示廣泛存在的遠端逃逸漏洞。
• 提出架構級對策，例如使用硬體加固作業系統（如OpenBSD搭配pf）的專用網路前端虛擬機，以及強制訪問控制的安全部署。
• 探討形式化驗證與保證等級（如通用標準EAL4–EAL6）對虛擬機監視器的重要性，並以sHype與Xen為主要範例。

实验结果

研究问题

• RQ1 為何虛擬機即使承諾了隔離，仍會在現代x86環境中遭受安全入侵？
• RQ2 大型主機時代的虛擬化安全挑戰在當代通用虛擬化平台中以何種程度重新出現？
• RQ3 即時遷移與動態虛擬機創建等動態虛擬化功能如何加劇安全風險？
• RQ4 當前虛擬化軟件中哪些關鍵實作缺陷導致虛擬機逃逸攻擊？
• RQ5 形式化驗證與高 assurance 虛擬機監視器設計（如EAL4–EAL6）是否能顯著提升虛擬化安全？

主要发现

• 除Xen外，x86平台上的虛擬化軟件皆存在可利用的安全弱點，可導致可靠的虛擬機逃逸，此點已由塔維斯·奧曼迪（Tavis Ormandy）的研究證實。
• 即時創建、遷移與刪除虛擬機的能力，使高階隱蔽攻擊成為可能，例如在平行虛擬機中隱藏惡意程式碼，或在不中斷的情況下取得主機系統控制權。
• 即使經過加固的系統也無法完全免疫未知弱點，因此必須推動形式化驗證計畫，如針對VM/370安全核心所啟動的計畫。
• 虛擬機監視器層次本身並非與生俱來安全，必須視同其他複雜軟體對待——需定期更新並搭配安全擴充模組。
• Xen已成為最先進的開源虛擬機監視器，具備明確的路徑可達EAL5與EAL6保證等級，並有原型系統支援跨虛擬機的強制訪問控制。
• 專用且經過加固的虛擬機（如用於網路前端或安全檔案伺服器）可顯著縮小攻擊面，並提升系統韌性。