Sicherheit
Arbeitsbereiche teilen keine Prozessorkerne mehr mit anderen Maschinen
Die Maschinen, die ZeroLog-Arbeitsbereiche ausführen, behalten ihre Prozessorkerne und Speicherseiten jetzt für sich. Das schliesst zwei bekannte Wege, Nachbarn über geteilte Hardware zu beobachten.
Hardware-Isolation im Backend verhindert geteilte CPU-Hyperthreads und Memory-Deduplizierung zwischen Arbeitsbereichen.
Ein physischer Prozessorkern führt zwei Hardware-Threads aus. Bis heute konnte eine ZeroLog-Maschine auf einer Hälfte eines Kerns laufen, während eine andere Maschine auf der anderen Hälfte lief. Forscher haben gezeigt, dass solche geteilten Ressourcen einer Maschine Einblicke in eine andere verschaffen können.
Jetzt erhalten die Maschinen, die Arbeitsbereiche ausführen, ihre eigene Scheduling-Gruppe. Das Betriebssystem führt sie niemals im selben Moment wie irgendetwas anderes auf demselben Kern aus. Die restliche Hardware funktioniert wie gewohnt weiter.
Beim Speicher gilt dasselbe. Der Host kann identische Speicherseiten zwischen Maschinen zusammenlegen, um Platz zu sparen, und dieses Zusammenlegen kann ebenfalls Informationen preisgeben. Es ist für ZeroLog-Maschinen jetzt abgeschaltet und greift, sobald die jeweilige Maschine neu startet.
An deiner Nutzung von ZeroLog ändert sich nichts. Details findest du auf der Isolationsseite.