Google Cloud Platform Japan 公式ブログ: KVM

Google Cloud Platform Japan Blog

最新情報や使い方、チュートリアル、国内外の事例やイベントについてお伝えします。

Google Cloud の KVM セキュリティを強化する 7 つの方法

2017年2月7日火曜日

Google Compute EngineGoogle Container Engine

脆弱性の発見を率先 : Google の KVM には、セキュリティと分離のために複数のレイヤが組み込まれ、私たちは常にその強化に取り組んでいます。Google のクラウドセキュリティを担当するスタッフには、KVM セキュリティの分野で世界最高峰のエキスパートも在籍し、KVM や Xen、VMware ハイパーバイザの多様な脆弱性を明らかにしてきました。これまでに発見し、修正した KVM の脆弱性は 9 件。同じ期間に、オープンソースコミュニティが発見した、Google Cloud Platform（GCP）に影響のある KVM の脆弱性はありません。

攻撃可能範囲を縮小 : Google は、未使用のコンポーネント（たとえば古いマウスドライバや割り込みコントローラ）を取り除き、エミュレートされている命令セットを制限することで、KVM のセキュリティ向上に貢献しています。これにより、攻撃者が攻撃やパッチに利用できる範囲を狭めさせることになります。また、その他のコンポーネントについても、セキュリティを高めるために変更を加えています。

QEMU の不使用 : Google では、QEMU（ユーザースペースの仮想マシンモニタ、ハードウェアエミュレータ）を使用しません。代わりに、以下の点で QEMU よりもセキュリティに優れる独自のユーザースペース仮想マシンモニタを作成し、使用しています。

QEMU は、多数のホストとゲストアーキテクチャの組み合わせに加えて、異なるモードやデバイスをサポートしているために複雑さが増大しています。Google のエミュレータは 1 つのアーキテクチャと少数のデバイスしかサポートせず、とてもシンプルです。現在はホスト / ゲストの組み合わせによるクロスアーキテクチャをサポートしないことで、余計に複雑になることはなく、攻撃の可能性も減らしています。

Google の仮想マシンモニタは、シンプルさとテストのしやすさを重視したコンポーネントから構成されています。ユニットテストは複雑なシステムのバグを減らすうえで効果的ですが、QEMUのコードにはユニットテストが含まれず、ユニットテストを非常に困難にする多数の相互依存が含まれています。

QEMU は VENOM に代表されるセキュリティ関連のバグが、これまでに何度も見つかりました。今もコード内に何らかの脆弱性が残されているのか、明らかではありません。

Google の仮想マシンモニタには、これまでセキュリティ上の問題はありません。

ブートとジョブ間の通信 :私たちが実装したコードプロビナンスのプロセスは、マシンが正常にブートすることを確認できるようにしてくれます。各 KVM ホストは、ピアツーピアの暗号化キー共有システムを作り出し、そのホストで実行しているジョブと共有して、ジョブ間の全ての通信が明示的に認証され、認可されたものであるようにしています。

コードプロビナンス : KVM でどのようなソースコードが実行されているのか、どのようにビルドされたのか、どのような設定が行われているのか、どのようにデプロイされたのかを追跡できるように、カスタムバイナリと設定を検証するシステムを開発して、開発プロセスにも統合し、利用しています。

私たちは、ブートローダーから KVM、お客様のゲスト VM までの各レベルでコードの整合性を検証しています。

スピーディで適切な脆弱性対応 :重大なセキュリティ脆弱性に備えて、KVM にパッチを適用する上での厳格な社内 SLA とプロセスを定義しています。Compute Engine のベータリリース後の 3 年間で、Google の KVM 実装が重大なセキュリティパッチを必要としたことは一度もありませんが。

KVM 以外の脆弱性については、最大限のセキュリティを確保し、該当するすべてのコンプライアンス要件を満たしたうえで、 Google の社内インフラストラクチャからスピーディにパッチを適用しています。ほとんどの脆弱性は、お客様に影響を与えることなく解決されています。アップデートについては、契約および法的な義務によって必要とされる情報をお客様にお知らせしています。

リリースの綿密な制御 : KVM のアップデートには、コンプライアンス要件と Google Cloud のセキュリティ管理に基づき、厳格なロールアウトポリシーとプロセスを定義しています。KVM のビルドシステムとリリース管理操作にアクセスできるのは、Google 社員の中でも小さなチームだけに制限されています。

KVM のセキュリティ

KVM のセキュリティ改善に関する Andrew Honig のプレゼンテーション

効率の良い KVM のセキュリティ強化に関する Steve Rutherford のプレゼンテーション

FAQサイドチャネル攻撃を警戒すべきですか？VENOM についてはどうですか？Rowhammer についてはどのように対策していますか？Rowhammer 攻撃が起こりうる最近の論文KVM の脆弱性の影響を減らすために Google はどのようなことをしていますか？Google のセキュリティチームは、どのように早い段階で KVM の脆弱性を見つけているのですか？ファジング* この投稿は米国時間 1 月 25 日、Technical Lead Manager である Andy Honig と、Senior Product Manager である Nelly Porter によって投稿されたもの（投稿はこちら）の抄訳です。- By Andy Honig, Technical Lead Manager and Nelly Porter, Senior Product Manager

ラベル: KVM

12 か月間のトライアル

300 ドル相当が無料になるトライアルで、あらゆる GCP プロダクトをお試しいただけます。

Labels

Archive

2019
- 8月
- 7月
- 6月
- 5月
- 4月
- 3月
- 2月
- 1月

2018
- 12月
- 11月
- 10月
- 9月
- 8月
- 7月
- 6月
- 5月
- 4月
- 3月
- 2月
- 1月

2017
- 12月
- 11月
- 10月
- 9月
- 8月
- 7月
- 6月
- 5月
- 4月
- 3月
- 2月
- 1月

2016
- 12月
- 11月
- 10月
- 9月
- 8月
- 7月
- 6月
- 5月
- 4月
- 3月
- 2月
- 1月

2015
- 12月
- 11月
- 10月
- 9月
- 8月
- 7月
- 6月
- 5月
- 4月
- 3月
- 2月
- 1月

2014
- 12月
- 11月
- 10月
- 9月
- 8月
- 6月
- 5月
- 4月
- 3月
- 2月

Feed

月刊ニュースレターに登録

新着ポストをメールで受け取る

Company-wide

Google 公式ブログ日本版
Google 公式ブログ英語版

製品・サービス

Google Cloud Japan 公式ブログ
Google AdWords 日本版公式ブログ
Google Webmaster Central 日本版公式ブログ

デベロッパー

Google Developer Relations 日本版公式ブログ

Google
Privacy
Terms