仮想マシンによるセキュアシステムの実現

Size: px

Start display at page:

Download "仮想マシンによるセキュアシステムの実現"

なおあいしま
7 years ago
Views:

1 仮想マシンによるセキュアシステムの実現大山恵弘電気通信大学情報工学科 2006/6/15 第 4 回セキュア OS カンファレンス 1

自己紹介もかねて : Project VINCS Virtual Infrastructure for Networked ComputerS http://www.yl.is.s.u-tokyo.ac.

2 自己紹介もかねて : Project VINCS Virtual Infrastructure for Networked ComputerS 次世代の仮想化技術を研究している先進的な VM Virtual Multiprocessor VM の応用 Quasar 2006/6/15 第 4 回セキュア OS カンファレンス 2

3 情報関連業界におしよせる仮想化の波仮想化支援機構を擁するCPUの出荷開始仮想マシンソフトウェアの品質向上性能安定性使いやすさ仮想マシンソフトウェアの低価格化戦略的な価格設定も仮想化は今後数年のキーテクノロジー 2006/6/15 第 4 回セキュア OS カンファレンス 3

4 仮想化に関連した過去の動き (1) 1998: VMware 社設立 1998: VMware s US patent # 出願 (2002 年特許付与 ) 1999: VMware Workstation 発売 2003: Xen の論文が SOSP 2003 にて発表 2003: Microsoft が Connectix を買収 VirtualPC 2004 米国発売 2006/6/15 第 4 回セキュア OS カンファレンス 4

5 仮想化に関連した過去の動き (2) 2005: VT, Pacifica の仕様発表 2005/10: VMware Player 無料公開 2005/12: Xen 3.0 リリース 2006/1: SWSoft が OpenVZ の発表 2006/2: VMware GSX Server 無料公開 2006/4: Microsoft が Virtual Server 2005 R2 の無償提供を発表 2006/6/15 第 4 回セキュア OS カンファレンス 5

6 なぜ仮想マシンが重要か? 仮想マシンの普及が OS 構築法の見直しを迫っている従来の OS の仕事を仮想マシンが行う可能性ハードウェア管理低レベル資源を仮想化して上層に提供上層のソフトウェアは下層のソフトウェアの仕様を意識して実装される必要があることが多い仮想マシンの仕様を意識した OS 開発 2006/6/15 第 4 回セキュア OS カンファレンス 6

7 セキュリティの文脈において仮想化技術に注目する理由わかりやすい隔離の提供ハードウェアソフトウェアコストの減少に伴う管理コストの相対的増加仮想マシンはいわば大味な隔離技術強い隔離の提供 Trusted Computing Base (TCB) の縮小仮想化システム計算機の速度向上資源に余裕がある計算機の増加 2006/6/15 第 4 回セキュア OS カンファレンス 7

8 悪意 / 脆弱ソフトウェアの仮想マシンによる隔離ウィルス秘密の情報 Windows Windows Linux host OS, VMM hardware 2006/6/15 第 4 回セキュア OS カンファレンス 8

9 仮想化システムの恩恵 (1) 実行環境の隔離攻撃および障害による影響範囲を分割資源割り当て単位スケジューリング単位を提供実行環境を外から制御できる層の提供プログラムの動作の監視自動システム管理に道を開く実行環境のバックアップ複製サスペンド OS 全体のアプライアンス化再実行による攻撃解析障害解析デバッグロールバックによる障害からの回復 2006/6/15 第 4 回セキュア OS カンファレンス 9

10 仮想化システムの恩恵 (2) 資源の多重化サーバの統合 1 物理計算機上での複数種 OS の同時利用実環境間の差異の隠蔽物理計算機間マイグレーション仮想デバイスのドライバによる実デバイスの制御所有していないハードウェアの提供開発中のハードウェア生産が打ち切られたハードウェア 2006/6/15 第 4 回セキュア OS カンファレンス 10

11 仮想化システムの分類仮想マシンモニタ (VMM) Type I (hypervisors) Type II Hybrid 資源ビュー仮想化システム言語 VM 2006/6/15 第 4 回セキュア OS カンファレンス 11

12 Type I VMMs 仮想環境 proc proc proc proc OS OS VMM VMMはハードウェアのすぐ上に位置ホストOSなし VMMの古典例 :VMware ESX Server, Xen, VM/370, Windows Hypervisor? hardware 2006/6/15 第 4 回セキュア OS カンファレンス 12

13 Type II VMMs 仮想環境 proc proc proc proc OS OS VMM はホスト OS の上でユーザプロセスとして動作例 :User-Mode Linux (tt mode) VMM proc proc OS hardware 2006/6/15 第 4 回セキュア OS カンファレンス 13

14 Hybrid VMMs 仮想環境 proc proc proc proc OS OS VMM VMM hardware proc proc OS VMMはハードウェアのすぐ上に位置ホストOSは存在ゲストOSのI/OにホストOSを利用例 :VMware Workstation 2006/6/15 第 4 回セキュア OS カンファレンス 14

15 3 種の VMM の比較 Type I VMM 高い性能を実現しやすいホスト OS に影響されない資源消費制御が実現可能 Type II VMM 導入の敷居が低いゲスト OS および VMM の異常や脆弱性がホスト OS に影響を与えにくいホスト OS の資源管理デバイス管理を利用できる Hybrid VMM Type I と Type II の特徴を併せ持つ 2006/6/15 第 4 回セキュア OS カンファレンス 15

16 VMM の利点と欠点利点別の PC 上でプログラムを実行した状態に近い度合いの隔離欠点無視できない資源消費量オーバヘッド ( 程度は実装による ) SOSP 2003 論文発表の時点で Xen の性能は既にかなり高い 2006/6/15 第 4 回セキュア OS カンファレンス 16

17 資源ビュー仮想化システム (1) 仮想環境 proc proc proc proc 仮想環境 virtualizer proc proc proc proc proc proc proc proc OS virtualizer OS hardware hardware 例 :Solaris containers (zones), FreeBSD jail, Linux VServer, Virtuozzo 2006/6/15 第 4 回セキュア OS カンファレンス 17

18 資源ビュー仮想化システム (2) 一つの OS 上に複数の仮想環境を構築資源の見え方名前空間を仮想化ファイル木プロセス空間 etc 仮想ネットワーク機能も提供されることが多いカーネルは仮想環境と実環境で共有仮想環境内のプロセスの動作には制限がかかるのが普通 shutdown や insmod を実行できないなど 2006/6/15 第 4 回セキュア OS カンファレンス 18

19 資源ビュー仮想化システム (3) 利点小さい消費資源量とオーバヘッド欠点仮想マシンでないことからくる制限仮想環境ではホストOSと同じOSしか使えない仮想環境でできる処理に制限シャットダウンデバドラのインストール 2006/6/15 第 4 回セキュア OS カンファレンス 19

20 言語 VM 仮想環境 proc proc proc proc VM OS hardware proc proc 独自の ISA および OS サービス API を提供例 :JVM,.NET CLI 利点 : 実環境への依存が小さい仮想環境を作れる欠点 : 独自 ISA/API の採用からくる制限レガシーアプリの実行 API がない処理の実行 2006/6/15 第 4 回セキュア OS カンファレンス 20

21 命令実行を仮想化するための基本方式ゲスト OS を低い特権レベルで動かし特権命令でトラップさせるトラップしたらさも特権命令が実行されたかのようにゲスト OS のメモリ / レジスタをホスト OS が書き換える 2006/6/15 第 4 回セキュア OS カンファレンス 21

22 命令実行の仮想化に関する x86 の問題 Pentium には sensitive な非特権命令 (nonvirtualizable な命令 ) が 250 個中 17 個存在する Analysis of the Intel Pentium s Ability to Support a Secure Virtual Machine Monitor, Robin and Irvine, USENIX Security Symposium, Sensitive 命令 : エミュレーションが必要非特権命令 : 特権不足による例外が発生しない例 : PUSHF, POPF, PUSH, POP, STR 2006/6/15 第 4 回セキュア OS カンファレンス 22

23 Sensitive な非特権命令の問題を解決するための技術 Non-virtualizable な命令を別の命令に書き換える割り込みが発生する命令 or VMM のコードを呼び出す命令に書き換える VMM の実装が複雑化する一要因 2006/6/15 第 4 回セキュア OS カンファレンス 23

24 CPU による VMM のサポート (VT-x の例 ) x86 の仮想化しにくいという欠点を解消 root モードと non-root モードを導入従来の ring 0, 1, 2, 3 に ring 1 を付加 VMM を root で VM を non-root で実行 Non-root モードでの実行では多くの命令やイベントで root モードへの遷移が発生遷移の発生のさせ方をソフトウェアで制御可能 2006/6/15 第 4 回セキュア OS カンファレンス 24

25 VM(M) を利用した侵入検知 HyperSpector [Kourai&Chiba 05] VM 上で IDS とサーバを動かす Inter-VM monitoring 機構の提供サーバや IDS が乗っ取られてもホスト OS は安全 Livewire [Garfinkel&Rosenblum 03] Revirt [Dunlap et al. 02] 2006/6/15 第 4 回セキュア OS カンファレンス 25

26 ハードウェア仮想化機構の普及今後の VMM は VT, Pacifica の存在が前提 x86 の仮想化しにくい仕様と格闘する時代が終焉へ x86 を仮想化するための各種技法の価値が下落かセキュリティ問題の解決のために仮想マシンを利用することがさらに現実的に VMM 技術の研究開発の方向が変化差別化には高性能な VMM を Intel 系 CPU 上に作りました以上の何かが必要になる可能性が高い今後の研究開発は VMM の応用が中心か 2006/6/15 第 4 回セキュア OS カンファレンス 26

27 Interoperability の向上複数システムの相互乗り入れ例 :VirtualPC 上の Linux を Xen にマイグレーション現在は様々な仕様が乱立 Para-virtualization (hypercall) interface VM management interface VM image format 2006/6/15 第 4 回セキュア OS カンファレンス 27

28 国内での最近の動き次世代 OS 環境セキュア VM の開発筑波大ほか多くの大学企業政府機関 VM ID 管理暗号化 VPN 組み込みシステムのセキュリティを強化する仮想化技術の開発早稲田大筑波大エルミックウェスコムマイクロカーネル上に仮想化した Linux と ITRON を実装 2006/6/15 第 4 回セキュア OS カンファレンス 28

セキュアＶＭのアーキテクチャ概要

セキュアＶＭのアーキテクチャ概要 2008 年 11 月 18 日 ( 火 ) セキュア VM ワークショップ ( 公開用修正版 ) 筑波大学講師品川高廣セキュア VM BitVisor のアーキテクチャ概要背景と目的情報漏洩事件の増加 PC USBメモリ等の紛失盗難インターネット経由ウィルスやファイル交換ソフトなど仮想マシンモニタ (VMM) による安全性向上暗号化認証を VMM で強制するストレージ及びネットワークの暗号化

仮想マシンによる セキュアシステムの実現

仮想マシンによるセキュアシステムの実現