某些虚拟机程序“沙盒”/protect比其他操作系统更好吗？VM的类别重要吗？

Question

我正在查看要使用的am，以及来自wiki https://en.wikipedia.org/wiki/Virtual_机器的

我注意到有3种主要类型的VM。

全虚拟化

在完全虚拟化中，虚拟机模拟足够的硬件，允许独立运行未经修改的“来宾”操作系统(为同一指令集设计的操作系统)。这种方法是在1966年与IBM CP-40和CP-67，VM家族的前身一起开创的。大型机领域之外的例子包括Parallels Workstation、Parallels Desktop for Mac、VirtualBox、VirtualBox、Oracle、Virtual、Virtual、Hyper-V、VMware Workstation、VMware Server (前称GSX )、VMware ESXi、QEMU、Adeos、discontinued、Win4BSD、Win4Lin Pro和Egenera技术。

硬件虚拟化

硬件辅助虚拟化编辑主要文章:硬件辅助虚拟化在硬件辅助虚拟化中，硬件提供了体系结构支持，以方便构建虚拟机监视器并允许客户OSes单独运行。1972年，18硬件辅助虚拟化首次在IBM System/370上引入，用于虚拟机操作系统VM/370。在2005年和2006年，英特尔和AMD提供了额外的硬件来支持虚拟化。2005年，Sun微系统公司(现为甲骨文公司)在其UltraSPARC T系列处理器中增加了类似的功能.适用于这些硬件的虚拟化平台包括KVM、VMware工作站、VMware融合、Hyper-V、Windows、Xen、Parallels Desktop for Mac、Oracle用于SPARC、VirtualBox和Parallels工作站。2006年，发现第一代32位和64位x86硬件支持很少比软件虚拟化提供性能优势。19

OS虚拟化

在操作系统级虚拟化中，物理服务器在操作系统级别进行虚拟化，使多个孤立和安全的虚拟服务器能够在单个物理服务器上运行。“来宾”操作系统环境与主机系统共享相同的操作系统运行实例。因此，相同的操作系统内核也用于实现“来宾”环境，运行在给定“来宾”环境中的应用程序将其视为独立的系统。最早的实现是FreeBSD监狱；其他示例包括Docker、Solaris容器、OpenVZ、Linux、LXC、AIX工作负载分区、Parallels容器和iCore虚拟帐户。

我想知道使用这两种类型中的一种是否比另一种有什么安全优势？

我也很好奇，是否有一种类型的VM比其他类型的VM更安全，如果有我们应该查看的特定VM，也就是说，是否有一些细节我们应该看起来是最受保护的，还是所有的VMs都是相同的？

在这个链接中https://superuser.com/questions/327224/how-can-i-safely-open-a-suspicious-email

有一个关于使用"Sandboxie“的答案，还有一个图表，其中提到了它的作用，以及它是如何保护您的，这让我很好奇它们是否都是这样工作的，或者在使用这些VM之前，我们应该确保检查其中的一些细节？

Answer 1

在没有bug的情况下，它们都应该提供类似的安全保证，尽管"OS虚拟化“(监狱、容器)应该提供最好的性能，因为它消除了对多个操作系统的需求，可以快速启动，并且允许单个操作系统更有效地共享机器的所有资源。(现代操作系统使用所有未使用的RAM作为文件系统缓存。在VM中运行第二个操作系统时，必须给它指定数量的RAM。虚拟化的操作系统将使用所有的RAM，并且无法将一些“未使用”的RAM放弃给主机系统，让主机系统随意使用它。)

但是，OS虚拟化(监狱、容器)允许不可信的代码访问主机OS的内核，这是一个很大的表面积，经常会发现权限提升漏洞。特权提升漏洞在完全/硬件虚拟化系统(Virtualbox等)中更为罕见。

Answer 2

存在已发布(和未发布)漏洞，允许软件在任何形式的虚拟化下逃避来宾环境。

请记住，仍然必须有一个允许操作系统请求资源的系统。与ESXi一样，可以使用hypervisor本身来管理来自同时运行的多个操作系统的请求。虽然在支持虚拟化的硬件指导下这样做肯定要困难得多，但它并不能阻止遏制问题。

使用裸金属虚拟机监控程序的缺点是，它将机器专用于该任务，而操作系统只能被远程访问。这就是为什么像VMware的工作站或播放器这样的软件解决方案很受欢迎，因为它们允许用户在另一个窗口中运行另一个操作系统时使用熟悉的操作系统，如Windows/Linux。许多现代选择都支持硬件虚拟化指令，从而加快了客户操作系统的速度。

一个裸金属管理程序应该提供最好的安全(和性能)，因为它强制在硬件和操作系统级别的客人围栏。软件解决方案虽然包括使用硬件指令，但由于它位于主机操作系统之上，因此无法严格执行围栏。

Answer 3

Sandboxie通常不太安全，因为它运行在同一个内核中，并且仅限于设置和文件的单独存储。这是一层安全措施。

虚拟机运行它自己的内核，而且它有专门的文件和设置存储，这是更多的层。

另外，如果隐藏在电子邮件中的程序试图获取有关您的信息以准备实际的攻击，那么在Sandboxie环境中，他们将了解您的主要操作系统的版本，而在VM上，他们只会看到VM。

在软件和使用过的库中都有零天的漏洞，甚至连VM都会公开。

为了获得最好的安全性，您可能希望运行一个纯虚拟机管理程序系统作为您的主要操作系统，然后以VM的形式运行所有其他系统。

看看Qubes -这是它的安全和隐私Linux发行版之一，它是围绕VM技术制造的，但目标是隐私。https://www.qubes-os.org/