Red Hat desenvolve sandbox a partir de tecnologias de virtualização

Esta notícia foi visualizada 2451 vezes.

Twitte isso! Publicado em 08/02/2012 às 18:30

Durante a apresentação "Building application sandboxes on top of LXC and KVM with libvirt", que aconteceu no evento FOSDEM, o desenvolvedor da Red Hat, Daniel Berrange, mostrou pela primeira vez a libvirt-sandbox, que confina aplicativos individuais em uma área segura ("sandbox") usando a solução de virtualização KVM (Kernel-based Virtual Machine) ou LXC (Linux Containers).

Na variante de KVM, o programa inicia o kernel e o initramfs em uma máquina virtual (virtual machine, ou VM), que vai lançar o aplicativo após a inicialização. Com o plan9fs (sistema de arquivo plan 9), o kernel pode ler algumas áreas do sistema de arquivos da máquina hospedeira diretamente da máquina virtual, tornando a instalação de um sistema operacional na VM desnecessário. De acordo com os cálculos de Berrange, iniciar essa máquina virtual atrasa a inicialização de um aplicativo em apenas três segundos. Essa solução não deve afetar de forma significativa o desempenho ao acessar a CPU; para acessar dispositivos, Berrange afirmou que é possível alcançar 90% do desempenho que seria possível para um aplicativos executado diretamente no sistema hospedeiro.

Na variante que usa o LXC, os aplicativos são executados sob o kernel hospedeiro em uma área separada, com em uma virtualização de container; usuários podem perceber essa solução como uma espécie de change root (chroot) mais seguro, oque, no caso do libvirt-sandbox, também pode ler partes do sistema hospedeiro assim nenhum sistema operacional precisa ser instalado no container. A preparaçaõ de um container com o libvirt-sandbox aparentemente leva menos de 200 milisegundos, e aplicativos trabalham sem virtualmente nenhuma perda de desempenho.

A ferramenta virt-sandbox pode ser usada para configurar as áreas de forma relativamente fácil, assim usuários não percebem, por exemplo que uma máquina virtual está sendo iniciada com o KVM. Durante a configuração e instalação, usuários podem determinar se, e quais, recursos de rede são acessíveis dentro da sandbox. Berrane também deu exemplos com alguns motivos para usar essa tecnologia segura: hospedar virtualmente um aplicativo de servidor (Apache, etc.), processar fluxos de mídia não-confiáveis, e a construção de pacotes RPM. Navegadores web também podem ser isolados em sandboxes para, por exemplo, separar o uso de internet banking de outras atividades online; VNC e Spice podem ser usados para transferir a saída de monitor da máquina virtual para o hospedeiro.

O projeto SELinux também fornece proteção adicional similar; desde 2009, o framework de segurança foi capaz de usar o SELinux Sandbox para confinar aplicativos em uma área separada, apesar disso, Berrange afirmou que essa solução é problemática para alguns casos de uso e não é muito flexível. Mais informações sobre o libvirt-sandbox pode ser encontrada no email anunciando o primeiro lançamento público, nos slides para a apresentação do FOSDEM e em uma entrada no blog em que Berrange fornece uma explanação mais detalhada. Mais informações também são fornecidas na página Features sobre o Fedora 17, que deve incluir a biblioteca libvirt-sandbox e será lançado em maio.

Fonte: h-online, em inglês.

Compartilhe

Comentários