Исходное сообщение
"В рамках проекта OpenSnitch развивается динамический межсете..." Отправлено Аноним, 02-Май-18 13:11
> никакого преимущества виртуалка не имеет, только недостатки. Изоляция в случае виртуалки все же покрепче чем в случае контейнера. Ядро изначально не делалось под контейнеры, поэтому неизбежно есть довольно много острых краев где что-то может пойти не так. А "злобный юзерь" (потенциально - хаксор) скармливает сисколы прямо системному ядру host. И если что-то пойдет не так и ядро удастся одурачить - поимеют прямо хоста. Что как бы далеко не лучший вариант развития событий на свете. А в случае виртуалки - даже если там одурачат ядро, хост виртуалке изначально полностью не доверяет, код в ней доступа к железу не имеет, не может произвольные вызовы фигачить, и вообще. Только то что гипервизор изволит. Ну это в теории. На практике конечно же одурачить можно и гипервизор иной раз. Но в целом гипервизоры (даже встроенные в ядро) обычно изначально делают под недружественное окружение, а виртуализатору и ядру хоста не надо транслировать свой внутренний мир в представление виртуалки, так что многие краевые случаи отпадают сами собой просто из-за иной абстракции. Да, могут появиться новые баги - в виртуальной железке или virtio каком. Но в целом это несколько менее стремные абстракции. С точки зрения "а насколько это просто взять и надурить?"

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> никакого преимущества виртуалка не имеет, только недостатки. > Изоляция в случае виртуалки все же покрепче чем в случае контейнера. Ядро > изначально не делалось под контейнеры, поэтому неизбежно есть довольно много острых > краев где что-то может пойти не так. А "злобный юзерь" (потенциально > - хаксор) скармливает сисколы прямо системному ядру host. И если что-то > пойдет не так и ядро удастся одурачить - поимеют прямо хоста. > Что как бы далеко не лучший вариант развития событий на свете. > А в случае виртуалки - даже если там одурачат ядро, хост виртуалке > изначально полностью не доверяет, код в ней доступа к железу не > имеет, не может произвольные вызовы фигачить, и вообще. Только то что > гипервизор изволит. Ну это в теории. На практике конечно же одурачить > можно и гипервизор иной раз. Но в целом гипервизоры (даже встроенные > в ядро) обычно изначально делают под недружественное окружение, а виртуализатору и > ядру хоста не надо транслировать свой внутренний мир в представление виртуалки, > так что многие краевые случаи отпадают сами собой просто из-за иной > абстракции. Да, могут появиться новые баги - в виртуальной железке или > virtio каком. Но в целом это несколько менее стремные абстракции. С > точки зрения "а насколько это просто взять и надурить?"
	Введите код, изображенный на картинке: