de.wedoany.com-Bericht: BlueRock hat die neueste Open-Source-Version des NOVA Microhypervisors veröffentlicht, die Unterstützung für DMA-Remapping auf AMD-Plattformen mit IOMMU-Hardwarevirtualisierung bietet. Diese Funktion ist standardmäßig aktiviert und erweitert die hardwarebasierte Isolation zwischen virtuellen Maschinen, Geräten und Speicher in einer gemeinsam genutzten Ausführungsumgebung.
NOVA integriert einen Mikrokernel mit Hypervisor-Funktionalität in einer kleinen vertrauenswürdigen Rechenbasis und verwendet ein capabilities-basiertes Autorisierungsmodell, das Virtualisierung, räumliche und zeitliche Isolation, Scheduling, Kommunikation und Plattformressourcenverwaltung bietet. Mehrere unveränderte Gastbetriebssysteme können gleichzeitig auf Maschinen mit Hardwarevirtualisierungsunterstützung ausgeführt werden. Der Code ist fast vollständig in C++ geschrieben, enthält etwa 3,7 % Assemblersprache und unterstützt ARMv8-A (aarch64) sowie x86_64-Prozessoren, einschließlich Intel VT-x (VMX, EPT) und AMD-V (SVM, NPT). Der aarch64-Build unterstützt Boards von Allwinner, Amlogic, Broadcom, HiSilicon, NVIDIA, NXP, Qualcomm, Renesas, Rockchip, Texas Instruments und Xilinx.
Die AMD-IOMMU-Integration ist der zentrale Ausführungsmechanismus von NOVA innerhalb der Plattform. NOVA kann verhindern, dass Hardwaregeräte, die einer virtuellen Maschine zugewiesen sind, auf den Speicher benachbarter Workloads zugreifen, erzwingt Speicherzugriffskontrollen auf der Granularität jedes Geräts und jeder Speicherseite, bricht nicht autorisierte Speichertransaktionen über die IOMMU ab und kann DMA-Remapping-Fehler für Diagnoseanalysen protokollieren. Harold Byun, CEO von BlueRock, wies darauf hin, dass viele Sicherheitslücken zwar über die CPU ausgenutzt werden, aber auch die Chip-Seite aufgrund fehlerhafter Gerätetreiber eine große Angriffsfläche biete; ohne IOMMU-Schutz könne ein kompromittierter Gerätetreiber per DMA beliebige Speicherbereiche lesen oder beschreiben und so Vertraulichkeit und Integrität verletzen, wobei Gerätetreiber einen großen Anteil am Betriebssystem haben und oft der qualitativ schlechteste Softwareteil seien.
NOVA unterstützt virtuelle Maschinen mit bis zu 256 TB physischem Speicher und 128 PB virtuellem Adressraum pro Workload. Laut Byun erfordert die Verwaltung eines so großen Adressraums eine Seitentabelle mit einer 5-stufigen Radix-Baumtiefe; NOVA kann seine Seitentabellen vollständig sperrfrei verwalten, ohne dass Sperrprimitive die Skalierbarkeit gleichzeitiger Aktualisierungen disjunkter Speicherbereiche einschränken. Hinsichtlich der Vorhersagbarkeit der Ausführung von KI-Workloads werden Schutzdomänen (Protection Domains) konfigurierbar auf bestimmte Kernsätze isoliert, wobei die Konfiguration faktisch als Zuweisung fungiert. NOVA kann mit dem Virtual Machine Manager zusammenarbeiten, um die Zuweisung je nach Leistungsanforderungen zu koordinieren; CPU-Caches können auch für verschiedene Dienstgüteklassen partitioniert werden, was zusätzliche Optimierung und Priorisierung bietet.
Auf x86-Plattformen kann NOVA mit optionaler Unterstützung für Control-Flow Enforcement Technology (CFET) gebaut werden, einschließlich Indirect Branch Tracking (IBT) und Supervisor Shadow Stacks (SSS). Aufgrund von CPU-Anforderungen und Laufzeitkosten wird der Kontrollflussschutz im Standardbuild weggelassen. Auf Plattformen mit TXT-Unterstützung führt NOVA einen gemessenen Start (Measured Boot) durch, um eine dynamische Vertrauenswurzel für Messungen (Dynamic Root of Trust for Measurement, DRTM) zu etablieren, wenn ein passendes SINIT Authenticated Code Module (SINIT ACM) im TXT-Speicher vorhanden ist.
Die formalen Spezifikationen und Beweise von NOVA werden in einem separaten GitLab-Zweig unter der BlueRock Security-Gruppe aufbewahrt. Der Quellcode ist unter der GPL v2-Lizenz lizenziert, das Urheberrecht erstreckt sich von 2009 bis 2026 und betrifft die Technische Universität Dresden, Intel, FireEye und BlueRock Security. Das Projekt befindet sich derzeit noch im experimentellen Stadium.
BlueRock erklärte, dass KI-Systeme von experimentellen Workloads zu kontinuierlich laufender Produktions-Infrastruktur übergehen, mit steigenden Inferenzkosten und wachsendem Betriebsdruck. Zukünftige KI-Infrastrukturarchitekturen benötigen Isolation, Vorhersagbarkeit, reduzierte Vertrauenskomplexität und schlanke Ausführung im großen Maßstab. Die DMA-Remapping-Funktion erzwingt Schutz unterhalb des Gastbetriebssystems und zielt darauf ab, die Isolation bei kompromittierten Workloads aufrechtzuerhalten. Der Quellcode des NOVA Microhypervisors ist auf GitHub kostenlos verfügbar.
Dieser Artikel wurde von Wedoany übersetzt und bearbeitet. Bei jeglicher Zitierung oder Nutzung durch künstliche Intelligenz (KI) ist die Quellenangabe „Wedoany“ zwingend vorgeschrieben. Sollten Urheberrechtsverletzungen oder andere Probleme vorliegen, bitten wir Sie, uns unverzüglich zu benachrichtigen. Wir werden den entsprechenden Inhalt umgehend anpassen oder löschen.
E-Mail: news@wedoany.com
