fr.wedoany.com Rapport : BlueRock a publié la dernière version open source de NOVA Microhypervisor, qui ajoute la prise en charge du remappage DMA pour les plates-formes AMD dotées de la virtualisation matérielle IOMMU. Cette fonctionnalité est activée par défaut et étend l'isolation matérielle entre les machines virtuelles, les périphériques et la mémoire dans un environnement d'exécution partagé.
NOVA intègre un micro-noyau et des fonctions d'hyperviseur dans une base de confiance informatique réduite, utilisant un modèle d'autorisation basé sur les capacités, offrant virtualisation, isolation spatiale et temporelle, ordonnancement, communication et gestion des ressources de la plate-forme. Plusieurs systèmes d'exploitation invités non modifiés peuvent s'exécuter simultanément sur des machines prenant en charge la virtualisation matérielle. La base de code est presque entièrement écrite en C++, avec environ 3,7 % d'assembleur, et prend en charge les processeurs ARMv8-A (aarch64) et x86_64, incluant Intel VT-x (VMX, EPT) et AMD-V (SVM, NPT). La construction aarch64 prend en charge les cartes d'Allwinner, Amlogic, Broadcom, HiSilicon, NVIDIA, NXP, Qualcomm, Renesas, Rockchip, Texas Instruments et Xilinx.
L'intégration d'AMD IOMMU est le mécanisme d'exécution central de NOVA au sein de la plate-forme. NOVA peut empêcher un périphérique matériel attribué à une machine virtuelle d'accéder à la mémoire d'une charge de travail adjacente, en appliquant un contrôle d'accès mémoire à la granularité de chaque périphérique et de chaque page mémoire, en interrompant les transactions mémoire non autorisées via l'IOMMU, et en enregistrant optionnellement les défaillances de remappage DMA pour analyse diagnostique. Harold Byun, PDG de BlueRock, a souligné que de nombreuses vulnérabilités de sécurité sont exploitées via le CPU, mais que le côté puce présente également une vaste surface d'attaque en raison de pilotes de périphériques défectueux ; sans protection IOMMU, un pilote de périphérique compromis peut lire ou écrire par DMA dans n'importe quelle zone mémoire, compromettant la confidentialité et l'intégrité, tandis que les pilotes de périphériques représentent une part importante et souvent la moins fiable des systèmes d'exploitation.
NOVA prend en charge des machines virtuelles avec jusqu'à 256 To de mémoire physique et 128 Po d'espace d'adressage virtuel par charge de travail. Selon Byun, le maintien d'un espace d'adressage aussi vaste nécessite une table de pages utilisant un arbre radix à 5 niveaux de profondeur ; NOVA peut maintenir ses tables de pages de manière entièrement sans verrou, sans limitation de verrouillage sur l'extensibilité des mises à jour concurrentes de zones mémoire disjointes. En ce qui concerne la prévisibilité de l'exécution des charges de travail IA, les domaines de protection (Protection Domains) sont isolés de manière configurable sur des ensembles de cœurs spécifiques, la configuration agissant en fait comme une allocation. NOVA peut coopérer avec le gestionnaire de machines virtuelles pour coordonner l'allocation en fonction des besoins de performance ; le cache CPU peut également être partitionné pour différents niveaux de qualité de service, offrant une optimisation et une priorisation supplémentaires.
Sur les plates-formes x86, NOVA peut être construit avec la prise en charge optionnelle de la technologie de renforcement du contrôle de flux (Control-Flow Enforcement Technology), incluant le suivi de branche indirecte (Indirect Branch Tracking) et les piles d'ombre superviseur (Supervisor Shadow Stacks). En raison des exigences CPU et des surcoûts d'exécution, la protection du contrôle de flux est omise dans la construction par défaut. Sur les plates-formes prenant en charge TXT, lorsque le module de code authentifié SINIT (SINIT Authenticated Code Module) correspondant est présent dans la mémoire TXT, NOVA exécute un démarrage mesuré pour établir une racine de confiance dynamique pour la mesure (Dynamic Root of Trust for Measurement).
Les spécifications formelles et les preuves de NOVA sont conservées sur une branche GitLab distincte sous le groupe de sécurité BlueRock. Le code source est sous licence GPL v2, avec des droits d'auteur couvrant de 2009 à 2026, impliquant l'Université technique de Dresde (Technische Universitaet Dresden), Intel, FireEye et BlueRock Security. Le projet est actuellement encore en phase expérimentale.
BlueRock indique que les systèmes IA passent de charges de travail expérimentales à une infrastructure de production en fonctionnement continu, avec des coûts d'inférence en hausse et une pression opérationnelle accrue. Les futures architectures d'infrastructure IA nécessiteront isolation, prévisibilité, complexité de confiance réduite et exécution rationalisée à grande échelle. La fonctionnalité de remappage DMA applique une protection en dessous du système d'exploitation invité, visant à maintenir l'isolation en cas de compromission de la charge de travail. Le code source de NOVA Microhypervisor est disponible gratuitement sur GitHub.
Texte compilé par Wedoany. Toute citation par IA doit mentionner la source « Wedoany ». En cas de contrefaçon ou d'autre problème, veuillez nous en informer rapidement ; nous modifierons ou supprimerons le contenu le cas échéant. Courriel : news@wedoany.com
