22. gVisor（LinuxユーザプログラムとしてLinuxカーネルを実装したサンドボックス）とNoahの話

gVisorというLinux向けサンドボックスがオープンソース化されました。gVisorの構成は、ぬるぽへさんが作成していたNoahとかなりよく似ています。そこで、ぬるぽへさんからNoahの経験をもとにgVisorの話を伺いました。出演者: ぬるぽへ (@nullpo_head)、Rui Ueyama (@rui314) https://turingcomplete.fm/22 ハッシュタグは#tcfmです。 TCFMはサポーターの投げ銭によって収益を上げています。このコンテンツに課金してもいいよという方はぜひクリエイター支援サイトPatreonから登録してご協力ください。 イントロ (0:00) NoahはLinux互換環境を提供する薄いVM環境 (1:38) NoahでもgVisorでもないサンドボックス環境の例 (2:40) Noahをサンドボックスにするアイデアはあった (4:51

[uehaj]

gVisorはシステムコールセキュリティ監査のブリッジだけではなくほぼLinuxカーネル機能(TCP/IP,プロセス間通信,スケジューリング,ptrace,..)のgoによる再実装。もちろん最終的なIOはホストを叩くだろうけど最小限に限定する