Das Projekt Hyperlight, ein Projekt innerhalb der Cloud Native Computing Foundation (CNCF), hat die Erweiterung seiner Fähigkeiten zur Ausführung von Linux-Anwendungen ohne die Notwendigkeit von Änderungen oder Neukompilierungen durch die Einführung von hyperlight-unikraft bekannt gegeben. Diese Entwicklung zielt darauf ab, die Lücke zwischen der Geschwindigkeit von Containern und der Sicherheit von virtuellen Maschinen (Virtual Machines) zu schließen.
Was ändert Hyperlight in der Praxis?
Die meisten Cloud-Systeme basieren heute auf der Ausführung von nicht vertrauenswürdigem Programmcode, wie etwa von Benutzern hochgeladenen Erweiterungen oder von KI-Agenten generiertem Code. Traditionell mussten Entwickler zwischen schnellen, aber weniger sicheren Containern oder sicheren, aber langsam startenden virtuellen Maschinen wählen. Hyperlight bietet einen Mittelweg durch:
- Hochgradige Isolierung: Es fungiert als eingebetteter VMM innerhalb der Anwendung, wobei der Code in einer Micro-VM unter Verwendung von CPU-Virtualisierungserweiterungen isoliert wird.
- Ausführung nativer Linux-Anwendungen: Dank der Integration der Unikraft-Technologie können dieselben Linux-Binärdateien ohne jegliche Änderungen ausgeführt werden, mit Unterstützung für mehrere Programmiersprachen wie Python, Node.js, Go, Rust und Java.
- Extrem hohe Geschwindigkeit durch Snapshots: Anstatt ein vollständiges Betriebssystem zu starten, führt Hyperlight die Anwendung aus und erstellt dann einen "Snapshot" des betriebsbereiten Zustands. Bei Bedarf wird dieser Snapshot innerhalb weniger Millisekunden wiederhergestellt, was ihn schneller macht als den herkömmlichen Startvorgang.
Warum ist diese Nachricht wichtig?
Die Bedeutung dieser Entwicklung liegt in ihrer Fähigkeit, einen "Container-Ausbruch" (Sandbox escape) von einer katastrophalen Sicherheitslücke zu einem bloßen Absturz einer isolierten Umgebung zu machen. Wenn Programmcode innerhalb von hyperlight-unikraft ausgeführt wird, sieht er nur den ihm zugewiesenen Speicher, was den Zugriff auf Geheimnisse des Host-Systems oder sensible Dateien verhindert.
Es haben bereits mehrere Integrationen begonnen, um diese Technologie zu nutzen, darunter:
- Kubernetes: Über das Projekt urunc, das die Ausführung von Containern als Micro-VMs ermöglicht, ohne dass privilegierte Container erforderlich sind.
- KI-Agenten: Bereitstellung einer isolierten Umgebung für jede Arbeitssitzung zur Ausführung automatisch generierten Codes.
- Datenbanken: Ermöglichung der Ausführung von benutzerdefinierten Funktionen (UDFs) in einer vollständig isolierten Umgebung innerhalb von Datenbanken wie ClickHouse.
Dieses Projekt ist ein wichtiger Schritt für Entwickler, die zusätzliche Sicherheit ohne Leistungseinbußen suchen, insbesondere in Cloud-Computing-Umgebungen, die mit Programmcode unbekannter Herkunft arbeiten.