Sécurité sVirt et Virtualisation KVM sur OMAP5 uEVM

Introduction aux machines virtuelles sécurisées KVM par sVirt

Le nombre d'objets connectés à base d'architecture ARM augmente rapidement de nos jours. Au même temps, la nouvelle architecture ARM v8 est proposée pour le marché des serveurs à faible consommation d'energie. La virtualisation devient une technologie clé dans tous segments de marché; dans les systèmes embarqués elle peut être utilisée pour isoler des applications ou pour permettre des fonctionnalités BYOD, dans les serveurs s'impose afin d'optimiser l'efficacité énergétique des centres de données et ouvre la voie à des architectures de cloud distribuées et fédérées, dans les réseaux pour normaliser la couche matérielle et définir dynamiquement ses fonctionnalités (Virtualisation des Fonctions de Réseau, NFV).

La sécurité joue un rôle clé dans tous les systèmes complexes. En effet chaque fois que un système invité (VM) est attaqué dans un environnement virtualisé, il y a un risque à ce que d'autres machines virtuelles (VM) ainsi que l'hôte lui-même peuvent être menacés. Pour protéger le système contre des vulnérabilités liées à l'hyperviseur et aux machines virtuelles compromises, il n'y a qu'une solution: l'isolement. De telle sorte, chaque attaque est confiné dans un domaine spécifique qui n'appartient qu'à une seule VM. Dans ce document Virtual Open Systems montre comment isoler efficacement les machines virtuelles avec l'hyperviseur KVM en utilisant les composants logiciels SELinux et sVirt.

Requis matériels pour créer un environnement sVirt

Les requis de base pour créer un invité sécurisé nécessaire pour ce guide sont:

Une plate-forme TI OMAP5 uEVM

Un disque USB flash, 4 GO ou plus en carte microSD (avec adaptateur)

Un ordinateur avec Ubuntu 13.10 ou une distribution semblable

Plate-forme de développement TI OMAP5 uEVM, Cortex-A15

Préparation de l'environnement TI OMAP5 uEVM

L'environnement de développement TI OMAP5 uEVM peut être configuré en utilisant des scripts fournis par TI dans le Guide de développement logiciel OMAP5 . Nous allons nous concentrer sur les étapes nécessaires pour déployer des machines virtuelles sécurisé, en supposant que la plate-forme OMAP5 a été déjà configurée avec le partitionnement microSD et l'installation de u-boot.

Dans les sections suivantes, nous allons voir comment activer KVM et sVirt sur le TI OMAP5 uEVM, en remplaçant le noyau de la plate-forme avec un nouveau noyau, en installant libvirt et en activant la couche de sécurité SELinux. Pour ce faire, les requis en composants logiciels sont:

Compilateur croisé et paquets liés

Noyaux Linux hôte et invité

Systèmes de fichiers hôte et invité

Les sections suivantes décrivent étape par étape comment atteindre ces objectifs.

$ sudo apt-get install build-essential git libncurses5-dev \
                        xz-utils kpartx wget debootstrap  \
                        curl qemu-user-static u-boot-tools \
                        gcc-arm-linux-gnueabihf