Kuinka suojattu isäntäkäyttöjärjestelmä vierasvirtuaalikoneen käyttöjärjestelmältä käytettäessä GPU-läpivientiä (käyttämällä kuvattuja menetelmiä täällä )?
Jos vieras vaarantuu, voiko se tartuttaa pysyvästi GPU: n ja sen laiteohjelmiston? Jos se on mahdollista, mitä tämä vaarantunut GPU voisi tehdä?
- Vaikka VT-d / IOMMU on suunniteltu suojaamaan laitteita turvallisesti virtuaalikoneelle, voisiko vieras käyttää GPU: ta vaarantamaan isännän (käyttöjärjestelmän tai muut laitteet)?
-
Jos GPU: n epäillään vaarantuneen, minkä pitäisi olla ihanteellinen toimintatapa? Jos tietokoneen isäntä-käyttöjärjestelmä asennetaan uudelleen, voisiko GPU hyökätä ja tartuttaa sen?
(Siirretty erilliseen kysymykseen )
Etsin yleistä vastausta, mutta jos se on tarkoituksenmukaista, oleta Linux-isäntä KVM: n ja Windows-vieraan kanssa.
Kommentit
- Githubissa on todistettu käsite GPU-rootkit-meduusat . Se selviää uudelleenkäynnistyksestä, mutta ei sammutuksesta.
vastaus
-
Jos vieras on vaarantunut, voiko se tartuttaa pysyvästi GPU: n ja sen laiteohjelmiston?
OpenStackin mukaan dokumentaatio , kyllä .
Monet hypervisorit tarjoavat toiminnon, joka tunnetaan nimellä PCI-läpivienti. Tämä antaa ilmentymälle suoran pääsyn solmun laitteistoon. Esimerkiksi th -merkkiä voidaan käyttää sallimaan ilmentymien pääsy näytönohjaimiin tai näytönohjaimiin, jotka tarjoavat laskennan yhtenäisen laitearkkitehtuurin (CUDA) korkean suorituskyvyn laskentaan.
Tähän ominaisuuteen liittyy kahden tyyppisiä tietoturvariskejä: suora pääsy muistiin ja laitteistoinfektio .
Suora muistin käyttö on merkitystä vain laitteen läpiviennille, joka ei käytä IOMMU: ta.
-
Vaikka VT-d / IOMMU on suunniteltu sisällyttämään laitteita turvallisesti virtuaalikoneeseen, voisiko vieras käyttää GPU: ta vaarantamaan isännän (käyttöjärjestelmä tai muut laitteet)?
Mahdollisesti, jos laitetta käyttää isäntä.
Laitteistoinfektio tapahtuu, kun ilmentymä tekee vahingollisen muokkauksen laiteohjelmistoon tai johonkin muuhun laitteen osaan. Koska muut laitteet tai isäntä-käyttöjärjestelmä käyttävät tätä laitetta, haitallinen koodi voi levitä kyseisiin järjestelmiin. Lopputulos on että yksi ilmentymä voi suorittaa koodin suojausalueensa ulkopuolella. Tämä on merkittävä rikkomus, koska fyysisen laitteiston tilaa on vaikeampi nollata kuin virtuaalilaitteistoa, ja se voi johtaa ylimääräiseen altistumiseen, kuten pääsyyn hallintaverkkoon.
Kommentit
- Onko laite " isäntä käyttää " VM: n sammuttamisen jälkeen? Tai milloin tahansa muulla hetkellä?
- Ainakin laite on " BIOSin käytössä ", kun isäntäkone käynnistetään seuraavaksi uudelleen ja se yrittää selvittää, mitkä laitteet ovat järjestelmässä.
- Luulen, että laitteistoinfektio vaatii pääsyn PCI-kokoonpanotilaan (vaihtoehtoisten ROM-levyjen kirjoittamiseen). En usko ' usko, että CUDA riittää " tartuttamaan " GPU: n pysyvällä tavalla koodi.