Анка Пулеметчица, версия 2.0 :)

ну так в линуксе есть куча средств для улучшения безопасности. для виртуализации есть специальный selinux - svirt. вообще, таких новостей как эта, о KVM пока не было, и на это есть хорошие причины.

Да понятно что на проволоку и скотч привинтили, но от ОС надо чтобы это работало, а не чтобы это был отполированный музейный экспонат.

> как раз by design этих ОС.

Сам по себе design ОСей достаточно нейтрален к виртуализации. Единственная проблема - гипервизор это часть ядра. Достаточно большого. Там потенциально могут быть баги. Поэтому рутковска и взяла Xen. Там гипервизор сам по себе и мелкий. Что иронично, в xen с тех пор было здорово больше багов чем в KVM. Чем-то таким теория и отличается от практики. А, ну у фрибзд еще 1 проблема - у них виртуализации можно считать что нет. Потому что всякое недопиленное/экспериментальное недоразумение при наличии полудюжины решений в виде пригодном для продакшна - ну вы поняли. Рынок уже поделили и там фрибзды уже не ждут. А так все хорошо.

> В OpenBSD тоже дизайн для виртуализации не подходит. Тэо это понимает и
> от виртуализации отказался.

А Тео вообще сидит в своем сельском скворечнике. И удобства во дворе. Зато рассуждает что этот ваш унитаз в теплом доме - штука ненадежная. В водопроводе может пропасть вода, насос может сломаться, особо толстый зад унитаз не выдержит. А в его седалище он дескать каждый гвоздик знает. И оно сколочено с таким запасом что выдержит даже небольшого слона. Может и выдержит. Но большинству людей будет обломно тащить свой окорок на мороз. А у тео нет никаких предложений как это улучшить. Его ответ - "морозьте задницы".

> проблем быть не должно - DragonFlyBSD.

Когда и если ей кто-то будет пользоваться столько же сколько Xen и KVM - мы и посмотрим насколько это правда. Про Xen тоже так говорили, при том эксперт в области, собственно, Рутковска. А на практике - эвона оно как :).

Спецы нахрен такие спецыалные спецы-Ыксперты аналитики опеннета - трындим и трындим.
По делу едиственная рабочая ( БСЭМ-6 померла, к сожаления)
безопасная виртуализация - IBM System z9 (  и где то в какой то мере AS400).
То, что аналЫтеГЫ опеннета про них не видели - вполне закономерно :-(

По изначальной задумке - это именно средство безопасной изоляции, то-есть, подразумевается развязка от хоста и невозможность ему нагадить. То что иногда возможны баги позволяющие это обойти - ок, но они возможны и в иных реализациях решений по изоляции (про это концептуалы почему-то тактично молчат в тряпочку, делая вид что они святоши и их баги не касаются, что попахивает лицемерием).

И если сравнивать например безопасность машины где форум, почтарь, DNS и все остальное висело на 1 машине, сломали форум - унесли всю почту - покорежили DNS и прочее vs когда оно на все той же машине по отдельным VM и хаксор застрял на машине с форумом и попортил только форум - вот извините, безопасность определенно улучшилась. То что в сильно некоторых случаях хакер может попробовать вылезти за пределы VM - ок, но Xen и KVM нынче используются на коммерческой основе для хостинга и массовых взломов через VM что-то не видно. Обычно если у хостеров что-то и ломают - так это дырявую и открытую всем ветрам панель управления, которая позволяет что угодно в административных целях, а там уже все-равно какие операционки были.

> Использовать виртуалки можно НО НЕ КАК СРЕДСТВО БЕЗОПАСНОСТИ.

В том числе и как средство безопасности.

> Пока у него есть единственная в мире безопасная ОС.

Которая безопасна по примерно тем же причинам по которым неуловим неуловимый Джо. Всякие колибри и менуэты тоже безопасные. По примерно тем же причинам. И у Тео вообще нет никаких решений. Он просто сидит в своем деревянном сортире и рассказывает нам про то что наш унитаз неправильный.