虚拟机

事件概述

美国时间3月7日，维基解密（WikiLeaks）网站公布了大量据称是美国中央情报局（CIA）的内部文件，其中包括了CIA内部的组织资料，对电脑、手机等设备进行攻击的方法技术，以及进行网络攻击时使用的代码和真实样本。利用这些技术，不仅可以在电脑、手机平台上的Windows、iOS、Android等各类操作系统下发起入侵攻击，还可以操作智能电视等终端设备，甚至可以遥控智能汽车发起暗杀行动。

维基解密将这些数据命名为“7号军火库”（Vault7），一共有8761份文件，包括7818份网页以及943个附件。在公布时，维基解密对文件内容进行了一些删节处理，包括个人真实信息（姓名、邮件地址等），数以万计的IP地址，以及真实的二进制文件。维基解密表示在对文件进行进一步的分析之后，会逐步公开这些被删节的信息。同时，维基解密称此次公布的数据只是一系列CIA机密材料的第一部分，被称为“元年”（YearZero），后续还会有更多资料陆续公布。

泄漏内容

此次公布的数据都是从CIA的内网保存下来的，时间跨度为2013到2016年。这批文档的组织方式类似于知识库，使用Atlassian公司的团队工作共享系统Confluence创建。数据之间有明显的组织索引关系，可以使用模板对多个资料进行管理。很多资料有历史改动的存档，7818份资料中除去存档共有1136个最新数据。943个附件基本上都可以在资料中找到对应的链接，属于其内容的一部分。具体而言，这些资料可以分为如下几类：

1.CIA部门资料，包括部门的介绍，部门相关的黑客项目，以及部门内部的信息分享。

2.黑客项目资料，包括一些不属于特定部门的黑客工具、辅助项目等，其中有项目的介绍，使用说明以及一些技术细节。

3.操作系统资料，包括iOS、MacOS、Android、Linux、虚拟机等系统的信息和知识。

4.工具和开发资料，包括CIA内部用到的Git等开发工具。

5.员工资料，包括员工的个人信息，以及员工自己创建的一些内容。

6.知识库，这里面分门别类地存放了大量技术知识以及攻击手段。其中比较重要的是关于Windows操作系统的技术细节和各种漏洞，以及对于常见的个人安全产品（PersonalSecurityProducts）的绕过手段，包括诺顿、卡巴斯基、赛门铁克、微软杀毒以及瑞星等安全产品。

总的来看，这些数据虽然有组织关系，但是作为工作平台而言，并没有形成严格的规范，很多文件都是随意放置的，甚至还包括asdf这样的测试文件，更像是一个内部的知识共享平台。

典型兵器

在这次公布的数据中，一些比较值得注意的兵器项目如下：

WeepingAngel

WeepingAngel(哭泣的天使)是一款由CIAEmbeddedDevicesBranch(嵌入式设备组)和英国MI5共同开发的针对三星智能电视的窃听软件。三星智能电视使用的是Android操作系统，该窃听软件感染智能电视后，会劫持电视的关机操作，保持程序的后台运行，让用户误以为已经关机了。它会启动麦克风，开启录音功能，然后将录音内容回传到CIA的后台服务器中。考虑到三星智能电视使用的是Android操作系统，推测该恶意软件具备感染Android手机的能力。韩国和美国是三星智能电视的最主要消费国家。

HIVE

HIVE(蜂巢)是CIA开发的远程控制后台项目，该项目负责多个平台的后台控制工作。从泄漏的文件来看，HIVE系统在2010年10月26日发布了第一版，直到2014年1月13日一共更新到2.6.2版本。作为间谍软件最重要的部分，Command&ControlServer就由该项目负责。整体上，植入目标机器中的间谍软件，通过HTTPS协议同后台C&C服务器进行交互，整个通信过程使用了，数据加密，身份鉴权等诸多信息安全高级技术。同时在异常处理和服务器隐藏等关键模块的设计上，也体现出国家队的技术水平。

从架构设计上分析，HIVE分为两层，第一层直接与间谍软件连接，部署在商用的VPS(VritualPrivateServer)上。第一层将所有流量通过VPN加密转发到第二层。转发策略是如果流量经过身份鉴权，确认是目标机器，就会向代号为”Honeycomb”的服务器集群转发，这里会对收集到的信息进行存贮和分析，如果鉴权失败，就会向一个无害的网站转发，达到重要服务器不被暴露的目的。

UMBRAGE

UMBRAGE(朦胧的外表)取自英语古语，有朦胧虚无的意思。该项目主要目的是隐藏攻击手段，对抗调查取证。现实世界中，每一个案件，背后无论多么扑溯迷离，在现场一定会留下线索，如果是惯犯，凶手会有一定的作案模式。在网络世界中也是一样的，每一次发动的网络攻击，都会和之前的攻击有着千丝万缕的联系，都能提取出一定的攻击模式。

CIA的RemoteDevicesBranch(远程设备组)，收集维护了一个网络攻击模式库，该模式库总结了之前使用过的攻击方式和技术，例如包含HackingTeam泄漏出的代码和俄罗斯使用的技术。拥有了庞大数量的模式库之后，对于新发起的网络攻击，可以采取模仿，混淆等多种战术，达到迷惑敌人，隐藏自己的目的。UMBRAGE项目包含了恶意软件大部分功能模块，例如：键盘记录器，密码收集器，摄像头控制，数据销毁，提权，反杀毒软件等等。

FineDining和Improvise(JQJIMPROVISE)

"FineDining"（美食大餐）提供了标准化的调查问卷，CIA的OSB(OperationalSupportBranch)部门会使用该调查问卷，用于将办案人员的请求转换为针对特定操作的黑客攻击的技术要求。问卷可以帮助OSB在现有的攻击工具集中选择合适的攻击工具，并将选好的攻击工具清单传递给CIA的负责配置攻击工具的运营人员。OSB在这里充当了CIA运营运营人员和相关技术支持人员的接口人的角色。

调查问卷会让填写者填写诸如目标计算机使用的操作系统、网络连接情况、安装的杀毒软件等信息，随后会由"Improvise"（即兴演出）处理。"Improvise"是一个用于配置、后处理、payload设置和executionvector选择的工具集，可支持所有主流操作系统。"Improvise"的配置工具如Margarita允许NOC（NetworkOperationCenter）根据"FineDining"问卷的要求来定制工具。

"FineDnining"用于收集攻击需求，而"Improvise"用于将攻击需求转化为攻击工具，这两个工具相互配合使用，可以准备、快速的对任何特定目标实施攻击。可见，CIA已经实现了对指定目标的攻击实现了高度的定制和高效的配置。

后续

此次公开的数据庞大，并且还有部分数据未公布。腾讯电脑管家反病毒实验室会持续关注该事件，跟进最新进展；同时继续深入分析现有内容，挖掘其中涉及的安全漏洞、入侵手法和攻击工具，第一时间披露更加具体的细节信息。

同时也在这里提醒广大用户，此次公布的数据中包含大量漏洞信息和攻击工具，可能被不怀好意的人利用，成为他们手中新的武器。希望广大用户最近提高警惕，留心关注最新的安全新闻，注意及时更新电脑、手机上的安全防范措施，避免遭受此次事件的负面影响。

相关新闻

2017-03-15

2017-05-16

2017-05-31

2017-06-06

2017-08-10

摘要

分析了云计算关键的技术，包括虚拟化/分布式文件系统/分布式数据库等，介绍了相关云方案实现，并对云计算在IETF/ITU等标准组织的最新研究竞争做了说明。

1 引言

云计算并不是一个全新的名称。1961年，图灵奖得主JohnMcCarthy提出计算能力将作为一种象水、电一样的公用事业提供给用户。2001年，GoogleCEOEricSchmidt在搜索引擎大会上首次提出“云计算”的概念。2004年，Amazon陆续推出云计算服务，成为少数几个提供99.95％正常运行时间保证的云计算供应商之一。2007年，随着IBM，Google等公司的宣传，云计算概念开始获得全球公众和媒体的广泛关注。

云计算目前并没有统一的定义。根据Wikipedia，云计算是一种基于互联网的计算新方式，通过互联网上异构、自治的服务为个人和企业用户提供按需即取的计算。而Berkeley大学则认为云计算是指Internet上以服务发布的应用以及支撑这些服务的数据中心的软件和硬件。

笔者则认为，云计算的概念不仅仅局限于计算，实际上直接称为“云”更加合适，云的本质是网络为用户提供的按需即取的服务ServiceonDemand，包括基于提供计算能力，存储能力，以及网络能力的各种服务的组合。正是因为服务的按需即取的特性，需要对应于计算能力、存储能力、交付能力的各种计算资源、存储资源，以及网络资源的按需即取的资源池管理和弹性提供。

从业务提供方式上，云可以提供3种业务：IaaS将虚拟化的资源直接按需提供给客户；PaaS在虚拟化的云计算平台上建立支持多种业务的应用平台，再将应用接口和开发环境、运行环境提供给外部；SaaS在虚拟化的云计算平台上提供按需定制和快速部署的应用软件租用服务。目前，业界研究最多的是IaaS和PaaS，本文将针对IaaS（对应基础云）和PaaS（对应业务云）的关键技术，实现方案以及云的标准化进行阐述。

2 关键技术

2.1 虚拟化

虚拟化是实现云计算的最重要的技术基础，虚拟化技术实现了物理资源的逻辑抽象和统一表示。通过虚拟化技术可以提高资源的利用率，并能够根据用户业务需求的变化，快速、灵活地进行资源部署。

2.1.1  虚拟化平台架构

在云计算环境中，通过在物理主机中同时运行多个虚拟机实现虚拟化。多个虚拟机运行在虚拟化平台上，由虚拟化平台实现对多个虚拟机操作系统的监视和多个虚拟机对物理资源的共享。

总的来说，我们认为虚拟化平台是三层结构，最下层是虚拟化层，提供基本的虚拟化能力支持；中间层是控制执行层，提供各控制功能的执行能力；最上层是管理层，对执行层进行策略管理、控制，提供对虚拟化平台统一管理的能力。如图1所示，虚拟化平台应该包含虚拟机监视器Hypervisor，虚拟资源的管理，虚拟机迁移，故障恢复，策略管理（如提供虚拟机自动部署和资源调配）等功能实体。各部分具体功能描述如下：

图1 虚拟化平台功能结构

（1）虚拟机管理：主要保护VM的创建、启动、停止、迁移、恢复和删除等能力，虚拟机映像管理，虚拟机运行环境的自动配置和快速部署启动等能力。虚拟机管理可根据主机节点/虚拟机的CPU，内存，I/O，网络等资源使用情况，自动地在不同主机节点之间迁移VM，使得VM的性能得到保障。也包含主机节点的失效保护，即当一个主机节点失效后，该功能实体能将其上的服务自动转移到其他节点上继续运行。

（2）高可用Cluster：用于保证主机节点的失效保护，当一个主机节点失效后，Cluster自动将其上的服务转移到集群中的其他节点上继续运行。该Cluster还可具有负载均衡和存储集群的能力。

（3）动态资源调配：虚拟存储、网络创建、配置、修改和删除等能力。当一个VM的内存、外出或网络资源不足时，可临时借用同节点中其他VM暂时不使用的同类资源。

（4）动态负载均衡：兼顾能源消耗和工作负载的均衡。根据策略需要，可开启/关闭部分主机节点，并迁移关联的VM。

（5）管理工具：包含虚拟化平台需要支持的一套工具，如P2V（PhysicaltoVirtual），V2P（VirtualtoPhysical），VA（VirtualApplication），JEOS（JustenoughOperatingSystem）等。

（6）主机安全：用于保证VM运行环境的安全，包含一组软件，如anti-virus，IDS等。

2.1.2 虚拟化平台部署

如图2所示，在实际部署中，由于Cluster、动态资源分配、主机安全等与Hypervisor关系密切，可以作为独立的软件部署在主机节点之中。其他功能都可以集成在一起，形成VM管理器。这样进行功能分配后，整个虚拟化平台可以分为两个软件包：一是Hypervisor+HostOS软件包，驻留在主机节点中；二是VM管理器软件包。两者之间的接口将被简化为配置、简单控制、查看和监控几类。

图2 虚拟化平台系统架构图

运行VM的主机利用Cluster功能组成一个高可用的集群系统，当其中的某个节点失效时，可无需VM管理器的干涉，自动地将失效节点上的服务迁移到其他节点，并为其重新分配存储和网络资源，使得服务不间断。VM管理可部署在独立的服务器上，由其负责对虚拟化平台的告警、运行状况监控、负载调整等工作。虚拟化平台物理部署如图3所示。

图3 虚拟化平台部署图

 

物联网市场的应用场景日益复杂，越来越多的上网设备需要支持更多的硬件资源、操作系统、软件工具及应用程序，现有的解决方案显然无法为数量庞大的物联网设备提供相应的灵活性，这使开发者们面临巨大的设计压力。虚拟化技术是解决这些问题的关键。不过，现有的虚拟化解决方案并不能满足物联网开发的轻量级和灵活性的特殊要求。为了满足当前物联网市场的发展趋势，Linux基金会推出了开源项目---ACRN，

ACRN到底具有哪些强大的功能,它又是怎么实现的？今天我们就从架构到应用对ACRN进行详细分析，让开发者们快速上手使用ACRN进行产品设计。

ACRN是一个专为嵌入式设备设计的hypervisor，包括如下两部分：一套hypervisor的参考软件和架构，通过虚拟机监视器（VirtualMachineManager）可以在同一个物理硬件上安全地同时运行多个操作系统。另外，它还为设备虚拟化模拟定义了一套参考设计框架，称为“ACRN设备模型”。

ACRNhypervisor是一个Type-I的hypervisor，可以直接运行在物理硬件上，适用于各种物联网和嵌入式设备解决方案。ACRNhypervisor解决了当前数据中心hypervisor和partitioninghypervisor之间存在的差距。ACRNhypervisor设计时把系统分为不同的功能域，并为物联网和嵌入式设备精心挑选的用户操作系统进行共享优化。

汽车应用案例

ACRNhypervisor的一个有趣的案例是用于汽车场景。ACRNhypervisor可以用于构建软件定义驾驶舱（SDC）或者车载娱乐系统（IVE）。作为参考实现，ACRN可以为嵌入式hypervisor厂商的解决方案提供一个很好的基础，以及一套I/O设备虚拟化的参考设计。

在这种场景下，汽车SDC系统由仪表盘（IC）系统、车载信息娱乐系统（IVI）和一个或多个后座娱乐系统（RSE）组成。为了整体系统安全性考虑，每个系统都作为独立的虚拟机运行。

仪表盘系统（IC）用于显示和驾驶员相关的车辆的驾驶操作信息，如：

•汽车的速度、燃油、行驶里程和其它驾驶信息；

•投影在挡风玻璃上的抬头显示，用以警告缺油或胎压报警；

•显示后视摄像头影像和车身的周边摄像头信息，用于辅助停车；

车载娱乐系统（IVI）的功能包括：

•导航系统、收音机和其它娱乐系统；

•连接到移动设备，可以打电话，播放音乐或者通过语音识别来控制应用程序；

•通过手势识别或触控进行交互；

后座娱乐系统（RSE）可以运行：

•娱乐系统；

•虚拟办公；

•连接到前排座椅的IVI系统和移动设备（云连接）；

•连接到移动设备，可以打电话，播放音乐或者通过语音识别来控制应用程序；

•通过手势识别或触控进行交互；

ACRNhypervisor可以支持Linux*和Android*虚拟机作为用户操作系统（UOS），UOS由ACRNhypervisor进行管理。开发者和OEM厂商可以在ACRNhypervisor之上运行自己的虚拟机，以及IC、IVI和RSEVM。ServiceOS是作为VM0运行（在Xen*hypervisor中被称为Dom0，在KVM*hypervisor中被称为HostOS），UserOS用户操作系统作为VM1运行（也被称为DomU）。

注：Android*虚拟机的支持将在未来版本发布。

图1显示了一个使用ACRNhypervisor的实例框图。

图1：SOS和UOS运行在ACRNhypervisor之上

从ACRNhypervisor的架构图中可以看到：

•ACRNhypervisor直接位于bootloader之上，因而具备快速启动的能力；

•部分资源进行partitioning，以确保安全关键性应用和非安全关键业务可以共存在同一平台上；

•丰富的I/O设备虚拟化提供在多个VM之间的I/O设备共享，从而提供全面的用户体验；

•通过高效的虚拟化，一个SoC可以支持多个操作系统同时运行；

图1中的黄色部分是ACRN项目的软件栈。该架构框图中列出的某些功能还没有完全实现，欢迎社区共同参与开发实现。另外，图中的其他模块来自于别的开源项目，这里仅供参考。

例如，ServiceOS和GuestLinux来源于https://clearlinux.org上的ClearLinux项目，而未来GuestAndroid的支持将会来自https://01.org/android-ia项目。

当前ACRN所支持的功能列表，请参照发布说明。

许可证

ACRNhypervisor和ACRNDeviceModel软件采用的都是自由许可证的BSD-3-Clause，它允许以“源代码和二进制再次发布和使用，无论是否进行了修改”，许可证中也注明了完整版权声明和免责声明。

ACRNDeviceModel,ServiceOS,andUserOS

为了使ACRNhypervisor代码尽可能精悍且高效，用于实现I/O设备共享的devicemodel代码运行在ServiceOS中而非ACRNHypervisor。哪些I/O设备被共享以及其实现细节将在下面的pass-through章节具体介绍。

ServiceOS在所有虚拟机里，以最高优先权运行，以满足那些对时间响应要求很高的需求和系统服务质量的需求（QoS）。具体到ServiceOS中的任务（task），他们的优先级则有高有低。例如响应UserOS请求的回调函数，其运行在ServiceOS的软件（或者mediator）就会继承UserOS的优先级。另外，在ServiceOS中还有一些在后台运行的任务也是低优先级。

在上述的车载系统示例中，UserOS是驾驶控制和车内娱乐的中心枢纽。它能提供收音机和各种娱乐选项、车内空调和通风控制、车辆导航显示等支持。它可以让第三方设备使用USB、蓝牙或者WiFi等连接技术与车载系统进行交互，例如：AndroidAuto* 或者 AppleCarPlay*, 还能提供许多其它功能。

启动步骤

在图2中，我们展示了在一个采用英特尔架构平台的NUC上使用UEFI验证启动的步骤。

Figure2ACRNHypervisorBootFlow

启动引导顺序执行如下：

1UEFI验证和启动ACRNhypervisor和ServiceOS的引导加载程序；

2UFEI（或ServiceOS的引导加载程序）验证并启动ServiceOS内核；

3ServiceOS的内核通过dm-verity验证并且加载ACRNDeviceModel和虚拟引导加载程序；

4 虚拟引导加载程序启动用户端的验证启动进程；

ACRNHypervisor架构

ACRNhypervisor是Type1的虚拟机管理程序，能够直接运行在硬件系统上。它是一个混合的VMM架构，采用一个运行在特权级的ServiceOS来管理和协调I/O设备的使用。它能支持多个用户虚拟机，其中每个虚拟机都可以运行Linux或者安卓操作系统作为用户操作系统。

在虚拟机内运行的操作系统是与其它虚拟机内的系统或应用程序相互隔离的，从而缩小了潜在的被攻击可能性，最大限度地减小安全隐患。当然由于系统运行在虚拟机内也可能会给其应用程序的运行带来额外的延迟。

图3显示了ACRNhypervisor、车载系统中的InstrumentalCluster(IC)VM和ServiceVM一起协同工作的架构图。ServiceOS（SOS）负责包括平台设备在内的大部分设备的管理，并提供I/O的协调功能。某些PCIe设备可以通过VM配置直通给UserOS使用。IC应用程序和虚拟机特定的应用程序都运行在SOS中，例如：ACRNdevicemodel和ACRNVM管理器。

ACRNhypervisor内还有ACRN虚机管理器，用来收集UserOS的运行信息，并控制用户虚拟机的开始、停止和暂停，还能暂停或者恢复执行单个虚拟CPU。

图3ACRNHypervisor 架构图

ACRNhypervisor采用了英特尔虚拟化技术（IntelVT），其运行在虚拟机扩展模式（VMX）的root模式下，也称为主机模式或VMM模式。其他所有的用户虚拟机包括UOS和SOS都运行在VMXnon-root模式或guest模式下。（以下为了简略，我们将继续使用术语VMM模式和guest模式）。

VMM模式下有4种权限的ring模式，但ACRNhypervisor仅在ring0的特权模式下运行，其余ring1-3并未使用。运行在guest模式下的用户系统（包括SOS和UOS）也有自己的4个ring模式（ring0-3）。用户系统的内核运行在guest模式下的ring0，而用户系统的应用程序则在guest模式下运行于ring3（ring1和ring2一般不被商业操作系统所使用）。

图4VMX 简介 

如图4所示，VMM模式和guest模式通过VMExit和VMEntry进行切换。当引导加载程序将控制权交给ACRNhypervisor时，处理器还未启动VMX模式。ACRNhypervisor首先需要通过VMXON指令启用VMX模式。启用VMX后，处理器处于VMM模式，它可以通过VMresume指令进入guest模式(或者通过第一次VMlaunch指令)，然后可以通过处理器的VMexit事件回到VMM模式。一般处理器会在响应某些指令和事件时发生VMexit。

在guest模式下，处理器的执行是由一个虚拟机控制结构（VMCS）所控制的。VMCS包含了虚机状态（在VMEntry时加载并在VMExit时保存），主机状态（在VMexit时加载），以及虚机的控制执行。ACRNhypervisor为每个虚拟CPU创建了一个VMCS数据结构，并使用该VMCS来控制运行在guest模式下处理器的行为。

当虚机执行到一个敏感指令时，就会触发一次定义在VMCS配置中的VMexit事件。当VMexit发生后，系统的控制权就交给了ACRNhypervisor。ACRNhypervisor会模拟虚机的指令（如果VMexit的原因是由于指令权限问题），然后恢复虚机继续执行它的下一条指令，或者根据VMexit的原因进行相关处理（例如，一个虚机的存储页面需要建立映射关系），然后恢复虚机重新执行该条指令。

需要注意的是用于VMM模式的地址空间和用于guest模式的地址空间是不同的。guest模式和VMM模式下使用不同的内存映射表，因此虚机是无法访问ACRNhypervisor的。ACRNhypervisor使用EPT来映射虚机地址，虚机页表会将虚机的线性地址映射到虚机的物理地址， EPT表则将虚机的物理地址映射到机器物理地址或主机物理地址（HPA）。

ACRNDeviceModelArchitecture

因为系统设备可能需要在不同的虚机之间被共享，虚机内应用程序（和操作系统）要对这些共享设备进行访问就需要借助设备模拟。一般来说，设备模拟有三种架构：

·第一种架构被称为hypervisor中的设备模拟，这是在VMware*工作站产品（一个基于操作系统的hypervisor）中实现的设备模拟方式。在这种方式中，hypervisor负责模拟需要在各个虚机操作系统之间共享的常见设备，其中包括：虚拟磁盘、虚拟网络适配器和其它必要的平台资源。

·第二种架构称为用户空间的设备模拟。顾名思义，不是将设备模拟的实现嵌入到hypervisor中，而是将其放在一个用户空间的应用程序中实现。比如被各种独立的hypervisor所使用的QEMU就提供了此类的设备模拟方式。这种架构的优势在于设备模拟的实现不依赖于hypervisor，所以其它hypervisor可以重用改实现。甚至它还可以做任意设备的模拟，而不必担心其功能的实现会影响hypervisor（其在特权模式下运行）。

·第三种架构则是从基于hypervisor的设备模拟改变而来的半虚拟化驱动程序。该架构一开始是在XEN项目中引入的，其中hypervisor提供物理设备驱动，每个虚机操作系统则需要安装一个与能与物理驱动配合使用的hypervisor感知的驱动程序。

在以上讨论的设备模拟架构中，共享设备都需要付出代价。因为不管设备模拟是在hypervisor中，还是在每个虚机内的用户空间中，都存在相应的系统开销。不过只要系统设备需要被多个虚机操作系统共享，这种开销就是值得的。反之如果设备不需要被共享，那么就可以使用更有效的方法来访问设备，例如使用“直通”。

看完以上的分析，你是否对ACRN有了更深入的了解？也是否有更多问题急需解答？不用着急，我们将在下期中继续讲解各种技术细节，例如ACRN设备模块架构、设备passthrough， ACRNI/Omediator,Virtio框架结构等一一为你展示。

【PConline资讯】以前的职场人士在上班时随身携带的设备往往有两种，一种是用于办公的，另外一种是装满个人数字生活内容的设备，同时处理这两种设备的做法从安全角度考虑是很有必要的，移动虚拟化这个词用来描述在设备安全性和易用性之间力求平衡的各种技术长期以来一直在追求这种平衡，它势必会改变这一切。

移动虚拟化

随着现在虚拟化技术的发展，我们已经把一个设备分为两部分了，一部分用于工作，另一部分用在个人生活上，移动虚拟化的到来一举客服了自带设备（BYOD）所造成的一系列风险，同时对公司的运营以及生产力的提高起到了推动和优化的作用。

移动虚拟化案例改变工作

JasonNash是总部设在北卡罗来纳州格林斯伯勒的虚拟化解决方案提供商Varrow公司的数据中心解决方案负责人。他说：“我们考虑移动设备时，安全性一向是首要问题，将来也是如此，但是我们常常认为它与最终用户的易用性水火不相容。”

厂商们针对移动虚拟化拿出了不同的方案，但是都力求在智能手机、平板电脑和笔记本电脑上有一模一样的外观感觉。PaulKunze是总部设在马萨诸塞州布伦特里的解决方案提供商IntraSystems公司的主管，他说：“移动虚拟化技术还要很容易由企业的IT部门来配置和保护，基本上不需要最终用户操什么心。”

Varrow的首席执行官兼联合创始人DanWeiss表示，有些企业已打消了试图阻止员工在工作场所使用个人设备的念头，移动虚拟化将消除目前出现在这些企业里面的灰色地带。对于Windows，在控制措施方面有许多可靠的工具，可以用来管理桌面和用户的数据。但是对于BYOD方面，我们却没有太多的控制措施。如果员工们通过自己的设备来使用应用程序、访问企业网络，就无法轻松地管理不归公司所有的设备。

移动虚拟机管理程序让员工们可以购买自己的移动设备，并运行专门面向企业应用程序的不同的操作系统。它似乎有望解决这个问题，但不是没有一些分歧。>>

了解更多网络设备资讯，想分享想吐槽，登陆我们的论坛：

http://itbbs.pconline.com.cn/network

热门产品：三星ES8000创维E700S夏普LX640A海信XT770惠普2520hc佳能MP288TP-LinkTL-WR847NJCGJHR-N835R华为T8950HTCOneSC神舟精盾K790神舟精盾Q480

移动虚拟机

移动虚拟机管理程序有两种类型：第1类(又叫“裸机”)虚拟机管理程序在硬件层面运行，由移动设备原始设备制造商(OEM)安装;第2类虚拟机管理程序作为一个安全的应用程序在设备上运行。第1类虚拟机管理程序被认为更安全，但是实现起来需要更长的时间;而第2类被认为提供了更大的灵活性。

基于云的移动虚拟化技术结合

第1类虚拟机管理程序阵营的有RedBend软件公司，这家总部设在马萨诸塞州沃尔瑟姆的提供商提供vLogixMobile5.0产品，用户除了电信运营商外，还包括松下及其他安卓OEM厂商。支持第1类虚拟机管理程序的另一家厂商开放移动实验室(OpenKernelLabs)正与LG合作，为美国国防部共同开发加强安全的安卓智能手机。

VMware强势抢占市场

BrianLesniakowski是总部设在宾夕法尼亚州布里奇维尔的解决方案提供商AEC集团的首席技术官，他据声称，尽管在安全方面有优势，但是第1类移动虚拟机管理程序在业内并没有获得与第2类移动虚拟机管理程序一样大的关注度，第一类虚拟机管理程序的速度也是非常慢的。

Lesniakowski说：“我们更多地看到迁移到企业应用程序商店这种方案，即应用程序分发到任何设备上;然后你用白名单和黑名单来保护和管理设备。你可以核实在设备上运行的应用程序;一旦设备连接到企业网络，就可以根据针对设备执行的策略得到的结果，变更其权限。”

VMware移动虚拟化

VMware的HorizonMobile在去年9月的VMworld大会上公布，预计会在今年晚些时候正式发布，这其实是第2类移动虚拟机管理程序。大力支持的早期行业客户包括手机方面的三星和LG以及运营商方面的韦里逊无线(VerizonWireless)和西班牙电信运营商Telefonica。

移动虚拟化

HorizonMobile利用虚拟化技术，建立一个安全的、隔离的“手机中的手机”，它把用户的移动工作区与其个人区域隔离开来。它还随带高级的管理功能特性，让IT人员可以根据需要，远程配置设备和取消配置。它其实是移动版的Horizon应用程序管理器(HorizonAppManager)，而这款应用程序管理器是VMware为软件即服务(SaaS)应用程序而推出的应用程序管理和单次登录解决方案。

VMware的首席技术官StephenHerrod曾在去年表示，HorizonMobile通过在线方式可以为客户带来一种完全虚拟化的安卓手机及其上面的所有应用程序，这种双重角色的概念也正是用户所感兴趣的，IT部门可以控制他们关注的工作环境。>>

移动虚拟化有待提高

虽然移动虚拟化正在引起大家的兴趣，但是迄今为止实际产品都是基于安卓的。苹果并不为其iPhone和iPad支持移动虚拟化技术，据一些解决方案提供商声称，考虑到数量众多的这些设备如今正进入到公司企业，苹果的“缺位”可能会减慢市场的发展步伐。

BYOD还要依仗移动虚拟化

桌面虚拟化总是一种可供选择的办法，有些企业现在求助于思杰Receiver或VMwareView，处理iPhone和iPad带来的BYOD问题。RobertGermain是总部设在马萨诸塞州南伊斯顿的解决方案提供商HubTechnicalServices公司的技术副总裁，他看到一些客户在等待移动虚拟化产品面市的同时，求助于思杰。

VMware基于云的移动虚拟化结合

员工把ipad等自己的移动终端带到公司进行办公时，可以免费下载思杰Receiver，同时公司授权员工使用微软活动目录来控制iPad，并且允许他们访问企业数据，但是上述办法适合不想管理手机，只想管理访问的公司。

桌面虚拟化面临自己的一系列挑战，由于超出预期的基础设施成本、技术复杂性以及迟迟得不到投资回报，许多项目因而搁浅，这些年来，移动虚拟化技术的希望越来越大，而移动设备热潮让这项技术得到了前所未有的关注度。现在，厂商们就要向市场投放相应的产品，解决BYOD给IT人士带来的棘手问题，又不妨碍消费化潮流在生产力方面带来的优势，移动虚拟化在未来必将伴随着我们的工作模式，而BYOD新潮流的诞生也必将催生移动虚拟化技术的发展。[返回频道首页]