Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Представлен TinyKVM для виртуализации на уровне отдельных процессов"	+/–
Сообщение от opennews (?), 17-Мрт-25, 13:17
Компания Varnish Software, разрабатывающая системы для построения сетей доставки и  кэширования контента, представила открытый проект TinyKVM, развивающий инструментарий для изоляции выполнения отдельных процессов при помощи гипервизора KVM. Целью проекта заявлено создание самой быстрой системы sandbox-изоляции отдельных процессов, использующей аппаратную виртуализацию. Код проекта написан на языках C и С++, и распространяется под лицензией GPLv3... Подробнее: https://www.opennet.me/opennews/art.shtml?num=62898
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+12 +/–
Сообщение от X512 (?), 17-Мрт-25, 13:17
Не понимаю зачем это нужно когда обычные процессы со своим адресным пространством и потоками -- это по сути и есть мини виртуальные машины.
Ответить | Правка | Наверх | Cообщить модератору

	4. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+14 +/–
	Сообщение от Аноним (4), 17-Мрт-25, 13:22
	Программы все еще работают слишком быстро. Надо срочно обвязать в новую прослойку.
	Ответить | Правка | Наверх | Cообщить модератору

	8. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	–1 +/–
	Сообщение от myster (ok), 17-Мрт-25, 13:55
	А мне это видится, как замена тормознутой и ужасной JVM. Если в вебе уже есть WebAssembly, то это для бека неплохая замена Джаве.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	25. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+1 +/–
	Сообщение от sena (ok), 17-Мрт-25, 14:56
	не понял, почему это замена Яве? это же просто ещё одна система виртуализации
	Ответить | Правка | Наверх | Cообщить модератору

	38. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	–1 +/–
	Сообщение от myster (ok), 17-Мрт-25, 15:25
	Обе технологии - VM заточенные под процесс. JVM через JNI позволяет запускать программы внутри свой VM на других языках, а не только Java-программы. Так что сходство у технологий есть.
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+1 +/–
	Сообщение от Аноним (49), 17-Мрт-25, 16:24
	у коровы и яишницы тоже есть сходство
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от myster (ok), 17-Мрт-25, 17:13
	нет, ты что, у коровы и яичницы гораздо меньше сходства.
	Ответить | Правка | Наверх | Cообщить модератору

	67. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+1 +/–
	Сообщение от Антон (??), 17-Мрт-25, 18:34
	Java через JNI запускает любой код за пределами VM. Код на C или C++ или ассемблере может вмешаться и в память приложений. И нарушить работу самой Java машины, деинсталлировать еë, и поставить Doom.
	Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

	71. Скрыто модератором	+/–
	Сообщение от Аноним (71), 17-Мрт-25, 19:08
	И пройти его с кастетом и бензопилой на Nightmare.
	Ответить | Правка | Наверх | Cообщить модератору

	10. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+2 +/–
	Сообщение от Анонизмус (?), 17-Мрт-25, 14:21
	Нет, KVM обеспечивает лучшую изоляцию. KVM минимально вмешивается в работу нагрузки и он построен на хардварных методах виртуализации, поддерживает шифрование памяти, лучше производительность для сложных нагрузок. Namespaces и cgroups же это полностью программная виртуализация, больше накладные расходы, и отсюда же большая уязвимость. Ну и самое главное неправильно настроенные контейнеры могут стать огромной дырой в безопасности, с KVM практически не возможно ошибиться из-за большей простоты.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	26. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+1 +/–
	Сообщение от sena (ok), 17-Мрт-25, 14:57
	Непонятно, зачем изолировать отдельный процесс. Можно конкретный пример из обычной жизни, но толкьо без экзотики.
	Ответить | Правка | Наверх | Cообщить модератору

	32. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Incorporated (?), 17-Мрт-25, 15:09
	"системы для построения сетей доставки и кэширования контента" - для этого и пилят. DRM?
	Ответить | Правка | Наверх | Cообщить модератору

	33. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+3 +/–
	Сообщение от Аноним (33), 17-Мрт-25, 15:15
	Какие вы неграмотные вещи пишете... Cgroups и namespaces вообще не имеют никаких накладных расходов, это просто ещё один int в таблице процессов. И виртуализацией они тоже не являются ни в каком виде.
	Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

	73. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Wwwww (-), 17-Мрт-25, 19:15
	Дополню, при трансляции виртуального адреса в физический в виртуальной машине сначала адрес транслируется через 4-ре таблицы в виртуальной машине, а затем полученный адрес транслируется снова через 4-ре таблицы, но уже на хосте. Рост накладных расходов не просто в два раза, а в разы. Конечно в CPU есть ITLB1, DTLB1 и т.п. для кеширования адреса к которому часто обращаются, но чем больше виртуалок тем бестрее кеш "выедается" и всё это всё больше и больше тормозит.
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Анон12345 (?), 17-Мрт-25, 19:22
	> Cgroups и namespaces вообще не имеют никаких накладных расходов, это просто ещё один int в таблице процессов. И правда: > Какие вы неграмотные вещи пишете...
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	75. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от anonymous (??), 17-Мрт-25, 19:20
	Накладые расходы как раз много меньше.
	Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

	11. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Аноним (11), 17-Мрт-25, 14:23
	там же написано. всякие ограничения, можешь заморозить\восстановить состояния. в целом нужно для запуска приложений, которым не доверяешь.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	28. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от sena (ok), 17-Мрт-25, 14:59
	> в целом нужно для запуска приложений, которым не доверяешь. То есть это будет конкурент для  flatpak и snap?
	Ответить | Правка | Наверх | Cообщить модератору

	34. Скрыто модератором	–1 +/–
	Сообщение от куклкуксан (?), 17-Мрт-25, 15:16
	Какой же ты непробиваемо блестяще тупой
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	–1 +/–
	Сообщение от Соль земли (?), 17-Мрт-25, 16:22
	Твои проблемы, если не понимаешь. Такого ответа ещё было. Пользуйся.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

5. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+6 +/–
Сообщение от HyC (?), 17-Мрт-25, 13:41
Сперва всю изоляцию с сегментной адресацией и тремя уровнями привилегий загнали в плоское адресное пространство и два уровня привилегий, поделив это друг от друга только страничным механизмом, героически сделали этот горбыль легаси, теперь стали изобретать этот велосипед обратно.
Ответить | Правка | Наверх | Cообщить модератору

	74. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от mma (?), 17-Мрт-25, 19:18
	>Сперва всю изоляцию с сегментной адресацией и тремя уровнями привилегий От первого ушли вприпрыжку и без сожаления. Забавно было бы посмотреть как надо изгаляться на 16Гб с сегментной адресацией. А последним и так не пользовались, слишком высоки накладные расходы, хотябы на переключение контекстов.
	Ответить | Правка | Наверх | Cообщить модератору

7. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	–1 +/–
Сообщение от Аноним (-), 17-Мрт-25, 13:51
> разрабатывающая системы для построения сетей доставки и кэширования контента Интересно, как они собираются зарабатывать с такой-то лицензией. > Код проекта написан на языках C и С++ Жду новостей "выполнение кода за пределами гостевой системы из-за выхода за пределы буфера"))
Ответить | Правка | Наверх | Cообщить модератору

	13. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	–2 +/–
	Сообщение от Онанимус (?), 17-Мрт-25, 14:24
	Тоже про c и c++ в самом начале новости так подумал и увидел твой коммент. Тут почти каждая первая новость про уязвимость связана с переполнением буфера.
	Ответить | Правка | Наверх | Cообщить модератору

	16. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Аноним (16), 17-Мрт-25, 14:31
	Как и многогие другие комерсы - двойным лицензированием. Они собственники этого кода, поэтому так могут. "Licensing TinyKVM and VMOD-TinyKVM are released under a dual licensing model: Open Source License: GPL‑3.0 (see LICENSE). Commercial License: Available under terms controlled by Varnish Software."
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	23. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Аноним (-), 17-Мрт-25, 14:51
	Ну тогда это следовало бы отразить в новости) А то слегка вводит в заблуждение. ps отправил запрос на изменение новости
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Аноним (54), 17-Мрт-25, 17:23
	> Интересно, как они собираются зарабатывать с такой-то лицензией. При помощи двойного лицензирования и эксплуатируя тот факт, что в системах доставки контента софт —наименее сложная и интересная часть. Нет, софт конечно нужен, и как видишь иногда даже приходится самому что-то создавать под свои нужды, но это досадная необходимость, а не ядро бизнеса.
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	56. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от ананим.orig (?), 17-Мрт-25, 17:31
	>> разрабатывающая системы для построения сетей доставки и кэширования контента > Интересно, как они собираются зарабатывать с такой-то лицензией. Зарабатывать с сетей доставки и с кода для сетей доставки - разные вещи. >> Код проекта написан на языках C и С++ > Жду новостей "выполнение кода за пределами гостевой системы из-за выхода за пределы буфера")) А что вам ещё остаётся то? kvm то давно в ведре.
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

9. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
Сообщение от Ося Бендер (?), 17-Мрт-25, 14:10
Почему не на Раст, я спрашиваю?
Ответить | Правка | Наверх | Cообщить модератору

	12. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+4 +/–
	Сообщение от Анонизмус (?), 17-Мрт-25, 14:23
	Первый раз не 3,14Раст.
	Ответить | Правка | Наверх | Cообщить модератору

	15. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+1 +/–
	Сообщение от Аноним (15), 17-Мрт-25, 14:27
	потому что C/C++ можно будет скомпилировать с помощью zig
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	18. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+2 +/–
	Сообщение от Аноним (16), 17-Мрт-25, 14:34
	Но можно и не извращаться, а скомпилировать с помощью GCC.
	Ответить | Правка | Наверх | Cообщить модератору

	22. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от _kp (ok), 17-Мрт-25, 14:50
	Вам безопастность или производительность и быстрый запуск? А безопасный вариант? Было б с чего переписать, переписальщики сами найдутся.
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	24. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Анонем (?), 17-Мрт-25, 14:53
	Вот на Раст https://www.opennet.me/opennews/art.shtml?num=62226
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	27. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Incorporated (?), 17-Мрт-25, 14:57
	Потому что докер и кубернетес - на голэнге.
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	50. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Соль земли (?), 17-Мрт-25, 16:25
	Видимо по той же причине, почему на KVM.
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	70. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Аноним (70), 17-Мрт-25, 18:49
	>Почему не на Раст, я спрашиваю? Почему не Растёт?
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

17. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+3 +/–
Сообщение от Аноним (49), 17-Мрт-25, 14:33
Почему не раскошелились на отдельный комп для каждого процесса?
Ответить | Правка | Наверх | Cообщить модератору

20. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
Сообщение от onanim (?), 17-Мрт-25, 14:37
> TinyKVM runs static Linux ELF programs. не очень понятно, зачем оно нужно, если всякий мутный бинарный софт, который хотелось бы запустить в виртуалке для безопасности основной системы, поставляется в виде динамических программ, или в виде AppImage или flatpak, не очень мутный софт с доступными исходниками задолбаешься конпелять статично, а для оставшихся трёх с половиной софтин на Go, которые можно сконпелировать статично, никакая виртуалка нафиг не нужна.
Ответить | Правка | Наверх | Cообщить модератору

	40. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от myster (ok), 17-Мрт-25, 15:40
	Тут ответ, хоть и про другую систему и технологию пишут https://www.qubes-os.org/faq/#why-is-os-security-important Идея в том, чтобы ОС не была коммунальной квартирой, а была изолированной, для программ. Что касается статических и динамических программ, думаю это не проблема, просто для TinyKVM нужны будут базовые образы, содержащие в себе нужные библиотеки, как в образах контейнеров.
	Ответить | Правка | Наверх | Cообщить модератору

	51. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Аноним (51), 17-Мрт-25, 17:10
	> чтобы ОС не была коммунальной квартирой, а была изолированной, для программ. кольца защиты и страничная трансляция это всегда делали. Дак что именно сабж предложил?
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Аноним (54), 17-Мрт-25, 17:27
	> что именно сабж предложил? Удобный и доступный интерфейс для всего этого. Это куда важнее языка реализации и использованных технологий.
	Ответить | Правка | Наверх | Cообщить модератору

29. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	–2 +/–
Сообщение от Аноним (29), 17-Мрт-25, 15:01
Ура, Товарищи! То что я более 10 лет назад сформулировал как "нужно сделать" - сделали (вообще-то сделали раньше, но QEMU для юзерспейса вообще не создавался как песочница).
Ответить | Правка | Наверх | Cообщить модератору

	37. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+5 +/–
	Сообщение от Аноним (37), 17-Мрт-25, 15:25
	Сформулировал, а потом 10 лет лежал на диване в ожидании? Бока не намял?
	Ответить | Правка | Наверх | Cообщить модератору

	41. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+1 +/–
	Сообщение от Аноним (41), 17-Мрт-25, 15:43
	Он не мял бока и с телевизором разговривал, а разговаривал с Ним и формулировал то, что жалкие людишки сделают через 100, 1000 и даже 1_000_000 лет. Такой вот он скромный и незаметный прыщ-труженик.
	Ответить | Правка | Наверх | Cообщить модератору

	53. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Аноним (53), 17-Мрт-25, 17:21
	Просто системное программирование - не мой профиль. Но ежу понятно - для сандбоксинга надо: 1. порвать любую прямую связь программы с ОС 2. в непрямую связь вставить агрессивный фильтр Пока у нас сисколлы обрабатываются ядром напрямую это невозможно. Всегда может оказаться возможность поломать ядро через манипуляцию структурами данных в сисколлах. Отсюда простой вывод: с появлением аппаратной виртуализации ring 2,3 изжили себя. Ограничения на инструкции? Зачем, если можно каждой программе по своему ring 0 выдать. Ограничения на доступ к памяти? Зачем, если можно каждому процессу всё полностью своё адресное пространство выдать.
	Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

30. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
Сообщение от Аноним (30), 17-Мрт-25, 15:01
>В самой виртуальной машине не используются какие-либо драйверы, ввод/вывод и виртуальные устройства. Надо понимать, что процессы внутри этой ВМ не смогут писать логи - IO отсутствует. Это решение для повышения безопасности? Я не ослышался?
Ответить | Правка | Наверх | Cообщить модератору

	35. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Аноним (33), 17-Мрт-25, 15:17
	Можно писать логи в сокет, видимо.
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+3 +/–
	Сообщение от Аноним (37), 17-Мрт-25, 15:26
	логи не повышают безопасность. особенно когда их никто не читает
	Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

	44. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	–2 +/–
	Сообщение от Аноним (30), 17-Мрт-25, 16:12
	>логи не повышают безопасность Настоящее икспертное мнение. >особенно когда их никто не читает Почитай в википедии про SIEM
	Ответить | Правка | Наверх | Cообщить модератору

	48. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Аноним (49), 17-Мрт-25, 16:23
	Логи сами себя на анализируют. SIEM - это уже не логи.
	Ответить | Правка | Наверх | Cообщить модератору

31. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	–3 +/–
Сообщение от Аноним (31), 17-Мрт-25, 15:02
На сишке песочница? Это же как бэкдор в firewall.
Ответить | Правка | Наверх | Cообщить модератору

36. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
Сообщение от Аноним (29), 17-Мрт-25, 15:21
Я почитал блог и глянул исходник. Это не песочница. Это просто stepping stone для TEE, смысл простой: засовывается любая обычная ELF-программа в TEE без всякого геморроя с анклавами, и их API - это всё на себя берёт TinyKVM. Просто на данном этапе TEE не реализовано. Фильтра IO нет никакого. Это не для безопасности хоста от вредоносных приложений делалось. Это делается для "защиты" приложений от хостера. В кавычках - потому что держится такая "защита" на честном слове. Надо будет поломать очередной силк - просто придут к Intel - и аттестация будет подделана для конкретной физической машины - той, что у хостера стоит), когда быдло будет продолжать отведывать DеRьMа и наслаждаться им. Для безопасности от хостера - только гомоморфная криптография.
Ответить | Правка | Наверх | Cообщить модератору

42. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+1 +/–
Сообщение от Аноним (42), 17-Мрт-25, 15:44
Писец. Изоляция процессов в Linux настолько убога что нужно вот такое вот.
Ответить | Правка | Наверх | Cообщить модератору

43. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
Сообщение от Аноним (43), 17-Мрт-25, 16:11
Проснулся робот-гомобот подтирщик-ассенизатор. Прошёлся по темам.
Ответить | Правка | Наверх | Cообщить модератору

	46. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Аноним (49), 17-Мрт-25, 16:21
	Подтирщик никогда не спит и готов к твоим услугам.
	Ответить | Правка | Наверх | Cообщить модератору

	60. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
	Сообщение от Аноним (60), 17-Мрт-25, 17:59
	Почему же не подтирает? Уже поднавалили.
	Ответить | Правка | Наверх | Cообщить модератору

57. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
Сообщение от Аноним (57), 17-Мрт-25, 17:45
Потихоньку догоняют фряху.
Ответить | Правка | Наверх | Cообщить модератору

68. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
Сообщение от YetAnotherOnanym (ok), 17-Мрт-25, 18:43
> Накладные расходы на вызов каждого системного вызова составляют около 2 микросекунд Это считается мало?
Ответить | Правка | Наверх | Cообщить модератору

69. "Представлен TinyKVM для виртуализации на уровне отдельных пр..."	+/–
Сообщение от Ivan7 (ok), 17-Мрт-25, 18:44
Зачем это в реальной жизни???
Ответить | Правка | Наверх | Cообщить модератору

72. Скрыто модератором	+1 +/–
Сообщение от Аноним (72), 17-Мрт-25, 19:11
ненужно
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема