VMware en Mozilla komen met veilige browseromgeving

VMware komt onder de noemer VMware Player met een gratis nieuw product voor Windows en Linux waarmee virtuele machines gedraaid kunnen worden. Het pakket ondersteunt niet alleen installaties die zijn gemaakt met een betaalde versie van VMware (Workstation, GSX Server of ESX Server), maar kan ook omgaan met de formaten van Microsoft en Symantec. Het idee achter de applicatie is dat je er (nieuwe) software en/of besturingssystemen mee uit kunt testen zonder enig risico te lopen dat je systeem in de soep loopt, en ook zonder uren bezig te zijn met installeren en configureren.

Omdat er met de Player zelf (eigenlijk) geen virtuele machines kunnen worden aangemaakt moeten deze door derden worden aangeboden, en dat is ook precies wat verschillende bedrijven nu al doen. Er zijn bijvoorbeeld kant-en-klare virtuele machines te downloaden met Oracle 10g, Red Hat Enterprise Linux en IBM Workplace aan boord. Sommige van deze 'demo'-versies zijn alleen na registratie te krijgen, maar andere images zijn gewoon direct beschikbaar. Dat er voor het aanmaken van een nieuwe virtuele machine een betaalde versie van VMware nodig is blijkt overigens maar half waar te zijn; enkele creatieve geesten zijn er al in geslaagd om hun eigen virtuele installatie te bouwen door een standaard virtuele machine te formatteren met wat kleine aanpassingen aan de .vmx-file en FreeDOS.

Er zijn echter meer toepassingen te bedenken voor een product als VMware Player dan puur testen: ook voor bijvoorbeeld de veiligheid kan het draaien van een applicatie in een virtuele machine een aantal voordelen bieden. De in samenwerking met Mozilla ontwikkelde Browser Appliance speelt daar op in. Het 258MB wegende bestand is vrij te downloaden en bevat een installatie van Ubuntu 5.10 met daarop Firefox 1.0.7 en 1.5. Door te internetten met Firefox vanuit Linux in een virtuele machine is het 'echte' systeem praktisch onkwetsbaar voor de invloeden van ongein als adware en spyware. VMware kan overigens gebruikmaken van de hardwarematige virtualisatietechniek van Intel (Vanderpool) om de prestaties van de virtuele machine te verbeteren, en zal in een toekomstige versie ook de variant van AMD (Pacifica) gaan ondersteunen.

Reacties (59)

[rogierslag]

Als dit echt zo goed zou werken als hier voorgeschoteld dan zou het een enorme veiligheidsboost kunnen geven. Elke service (FTP server, webserver) laten draaien onder een virtuele server. Geweldig

Wel is op te merken dat ik lieven Opera onder Linux zou hebben dan Firefox. FF is wisselvalliger en ik ben Opera gewend.

P.S. Zou ook het einde kunnen betekenen van botnetweken als MS dit zou doen in Vista!

[Anoniem: 72589]

Geen botnetwerken meer tussen OS'en, maar wel botnetwerken tussen virtuele OS'en?
Is dat niet gewoon het probleem opschuiven dan?

[kamerplant]

Een extreem groot voordeel van VMware is de snapshot functie. Binnen no-time is je omgeving gereset naar je oorspronkelijke situatie. En nee, dit is absoluut niet vergelijkbaar met de restore functie van XP.

* 786562 Datafeest

[sander85]

Alleen jammer dat die snapshot functie niet in deze player zit...

[Darude1234]

Je kunt toch ook je virtuele harddisk op Nonpersistent zetten. Dan zijn ook alle wijzigingen weg op het moment dat je je virtual machine uitzet. Ik weet niet of dat wel of niet in deze versie zit?

[Dutch_Razor]

Het lijkt me dat je een virtueel OS elke dag zou kunnen formatteren...

[rainmaker2k]

Dit gebeurt tegenwoordig ook steeds vaker als hosting. Ik ken bedrijven die een host systeem hebben, met daarop voor elke klant een eigen virtuele computer die de websites host. Nadeel is wel dat je behoorlijk wat geheugen (4 GB) nodig hebt om deze allemaal naast elkaar te draaien.

[mxcreep]

Dat heet vps, virtual private server...en is alleen geschikt als je wel de voordelen wilt hebben van een eigen omgeving, maar feitelijk niet veel resources gebruikt.

Overigens zijn deze vps pakketten zoals bijvoorbeeld virtuozo niet geheel zonder problemen...en duur.

Persoonlijk zie ik meer in gewoon goedkope hardware inzetten...liever 4 keer een budget servertje in het rack dan 1 dure jongen met 4 klanten erop...kost iets meer rackspace, maar je verspreid ook het risico.

[arjankoole]

Overigens zijn deze vps pakketten zoals bijvoorbeeld virtuozo niet geheel zonder problemen...en duur.

Je kan dit ook met een standaard FreeBSD 5.4 doen (4.x werkt ook, maar is wat bewerkelijker), je kan een complete virtuele versie van FreeBSD opbouwen, zonder dat deze in de buurt kan komen van het echte OS. Ik heb er al diverse 'scheidingen' mee aangebracht van zut die ik eigelijk uit elkaar wilde houden, maar die te weinig vraag/resources eisen om een eigen server te verdienen. Jail is dan een hele subtiele en elegante oplossing, veel beter dan je bijvoorbeeld onder Linux kunt fabriceren met chroot.

het voordeel hiervan boven vmware / bochs / quemu oplossingen zijn dat je geen hardware hoeft te emuleren, maar gewoon binnen een 'afgeschermd' deel draait, dat levert aanzienlijke performance op. Hoe virtuoso het precies doet weet ik niet, maar ik gok dat ze chroot() doen van omgevingen, wat in elk geval slimmer is dan een complete vmware virtual machine opstarten.

[Anoniem: 4018]

Ben ik het niet helemaal mee eens, ook niet helemaal oneens daarentegen.

Wij draaien hier zo'n 10 Virtual Servers op een x336 doosje van IBM (1U, Raid1 SCSI, 6GB RAM)

Als je 2 van deze bakken hebt staan dan kan je zo een werkende backup van de harddiskfile terugzetten op de andere omgeving. Of de boel laten draaien vanaf een network storage oplossing.(SAN / iSCSI)

Mocht de hele machine op z'n gat gaan dan is dit heel erg snel te verhelpen.

Nou moet ik wel zeggen voor high performance appliances zou ik waarschijnlijk nog geen virtual machine inzetten. SQL server draaid ook niet heel lekker bijvoorbeeld, veel disk I/O. (Je kan natuurlijk wel een complete disk in native mode attachen aan je VM!)

[mister X630]

Wat jij nu zegt is niks nieuws hoor!

Hou er alleen wel rekening mee dat elke VM (zoals jij het zegt) wel zijn eigen resources gebruikt. Dus 4 VM's met 512Mb geheugen erin nemen echt 2Gb geheugen van het fysieke geheugen van je PC/server in beslag.

Als je kijkt naar de ESX en de GSX versie van VMware dan weet je al dat dit goed werkt. Dit zijn 2 applicaties die bedoelt zijn voor produktie-omgevingen. Om daar je server-applicaties te draaien in virtual machines die echt beschikbaar zijn in het hele netwerk. Ideaaaaaal met backuppen natuurlijk. Alle virtual machines in de "pause" mode gooien. backup maken van de paar files waaruit zo'n VM bestaat en weer op "play drukken". Je hebt dan altijd je hele OS-config op de backup.

verschil tussen ESX Server en GSX Server is dat ESX op een OS draait. (Linux/Windows) en dat ESX een eigen ingebouws OS heeft. (Gebaseerd op Linux) ESX vraagt alleen hele specifieke hardware voor het installeren.

* 786562 mister

[ptap]

Nog mooier is het als je "disks" an op een Logical volume staan en je daar dan een middels snapshotting een backup van draait. Dan is je down-time helemaal te verwaarlozen.

@mxcreep: Dit kan overigens ook met Xen en dat kost niks. Ik ga dus voor de combinatie van een aantal niet te dure, maar wel robuste servers (alles in ieder geval dubbel uitgevoerd) en daarop virtualisatie. je kunt dan je resources optimaal uit nutten. Je kunt b.v. alle xenU's opstarten met het "maximaal" benodigde geheugen en ze vervolgens na het booten terug brengen tot hun "reguliere" waarde middels de balloon driver. Zo start je er een aantal op en die zet je op 1 fysieke machine. Als er een server even extra geheugen en processor power nodig heeft, dan verhuis je 'm live naar een machine die vrij is en geef je 'm weer alle geheugen. Op die manier kun je veel gemakkelijker op een hogere belasting van je hardware draaien. Ok, goedkoop is dit nooit echt, want je hebt er al snel een SAN voor nodig, maar ook daar is tegenwoordig een hoop mogelijk voor weinig geld.

De trend is nu van puur het virtualiseren mogelijk maken, naar het beheren ervan, waarmee je van tevoren dit soort migratie schema's kunt definieren en de software de monitoring overneemt en de boel automatisch verhuisd voor load balancing. Door het ook goed op te nemen in je boot scripts hoef je zelfs niet bang te zijn als je een fysieke machine uit wilt zetten.

De mogelijkheden zijn eindeloos en ik persoonlijk zou niet meer zonder kunnen. De client waarvanaf ik dit schrijf is b.v. een Xen machine waarvan ik de desktop via NX over het internet op m'n PC krijg. Dat ding "zwerft" nu al een aardig tijdje over mijn netwerk heen zonder problemen.

[Anoniem: 53572]

Ik ben het voor een stuk met je eens: dit bestaat al een tijdje. Het is wel revolutionair dat ze een appliance maken voor eindgebruikers om te surfen. Deze kan iedereen gebruiken en zodra die geïnfecteerd zou geraken, unpack je die gewoon opnieuw en begin je weer te surfen. Dit is wel nieuw.

Verder lijkt het me nogal logisch dat verschillende Linux distro's hierop springen. Geen driver problemen meer, geen installatie meer en iedereen kan dit gemakkelijk gebruiken zonder een command line goeroe te zijn. Het verbaast me zelfs dat de grote distros er niet vroeger mee zijn aangekomen. In oktober had ik al het idee geopperd om distros zo uit te rollen in plaats van iso's: http://gregske.blogspot.c...unches-vmware-player.html

[Anoniem: 75041]

Dat wordt al heel veel gedaan met User Mode Linux.
Dus wat dat betreft niets nieuws onder de zon. Maar
evengoed een leuk initiaftief.

[Anoniem: 37691]

Waarschijnlijk hebben wat mensen adhv het WhatTheHack evenement dit bedacht. Hier werd namelijk een stuk security benaderd. En dit lijkt wel erg op een stukje van wat ze daar zijden.

Zie ook Client Security is Wrong op de WTH Rehash server.

Komt er "simpel" op neer dat je een compleet nieuw OS moet bouwen, zodat iedere applicatie in z'n eigen omgeving werkt, en onmogelijk uit kan breken. Dat dan voor "iedere" applicatie doen, dat is stukken veiliger. En ik zie dit als een verre voorloper van het gene wat er op WhatTheHack besproken was.

[Anoniem: 42145]

in een virtuele machine is het 'echte' systeem praktisch onkwetsbaar voor de invloeden van ongein

Dit is (helaas) niet waar.

Zowel in VMWare als in Conne.. uhhh Microsoft's Virtual PC draaien services die met het host OS kunnen communiceren. In de beveiliging van deze services kunnen best lekken zitten, zoals overal lekken in kunnen zitten. Kwaadwillende software kan deze potentiele lekken exploiten om toch bij de host te komen. Dit is het zelfde principe als dat Java software in theorie ook ongelimiteerd bij de host kan komen mochten er lekken in de VM implementatie zitten.

De huidige veiligheid van VMWare komt doordat het relatief gezien eigenlijk niet gebruikt wordt. Niemand heeft VMWare geinstalleerd als je het percentage gebruikers afrond op 4 cijfers achter de komma. Zou dit echter massaal (laten we zeggen >10% van de totale computer gebruikers) geinstalleerd worden, dan zou het een target kunnen gaan worden.

Natuurlijk zou uit de praktijk kunnen blijken dat zelfs bij herhaalde pogingen VMWare dan nog steeds heel safe is. In Sun's Java VM zijn ook maar heel weinig lekken aan het licht gekomen door al die jaren heen.

Samengevat: Het is dus niet zo dat VMWare als sandbox -per definitie- 100% safe is, zelfs niet als je alle services die met de buitenwereld communiceren expliciet blocked en/of niet installeerd in het client OS.

[Wouter Tinus]

Samengevat: Het is dus niet zo dat VMWare als sandbox -per definitie- 100% safe is

Daarom staat er ook dat het *praktisch* onkwetsbaar is, en niet gewoon "onkwetsbaar" of "theoretisch onkwetsbaar" . Ik denk namelijk dat het nog heel lang gaat duren voor er malware komt die een host-OS kan besmetten door zowel beveiligingen in Firefox als in Linux als in VMware te omzeilen, zelfs als het een serieus doelwit zou worden voor hackers.

Sowieso is het voor spyware en adware eigenlijk bijna net zo effectief om een virtuele machine te besmetten, er vanuitgaande dat deze niet bij iedere start gereset wordt (want dat zou bijv. niet handig zijn voor bookmarks, extensies, cache, cookies, etc.).

[Whollabilla]

Ik denk namelijk dat het nog heel lang gaat duren voor er malware komt die een host-OS kan besmetten door zowel beveiligingen in Firefox als in Linux als in VMware te omzeilen, zelfs als het een serieus doelwit zou worden voor hackers.

Alleen al omdat toch bijna niemand het echt gaat gebruik voor surfen, is het al zonde van de tijd van malware-makers.

[ronny]

Waarom zou bijna niemand dit gaan gebruiken voor het surfen?
Nu is het nog relatief lomp om een volledige linux op te starten voor een brouwser.
Maar ik denk dat als zowel Linux als VMware goed hun best doen moet dit te reduceren zijn naar een redelijke grote. Dan is het niet meer echt een grote moeite om dit te downloaden ipv een losse brouwser.
Tevens kunnen OEM leveranciers dit standaard mee leveren. Dan Word het denk ik toch echt een goede alternatief.

Dit is namelijk wat ik ook al een tijdje doe.
Als ik wat onfrisse site's wil bezoeken voor een serial oid dan doe ik dat via een VMware. Die mag van mij zelfs nog wel een keer vol viri komen hij draait toch niet meer als 1 uur in de maand.
Nu is het nog een redelijke moeite om een volledige windows op te starten maar ik denk dat het als het wat slanker wordt dat je net zo makkelijk VMplayer op start om te internetten als enkel een browser.

[GarBaGe]

En daar komt bij: het gebruik van een sandbox voor de veiligheid wordt al veel langer gebruikt in Linux/Unix-land. Kijk maar naar jail/chroot omgevingen voor webservers, ftp servers etc etc.

Ik vind daarom de demonstratie waarde van VMware player veel hoger. Je zit namelijk niet meer aan een platform vast...

[BugBoy]

Het grote voordeel van VMWare is dat je ook snapshots kunt maken van je image. Als je image geinfecteerd raakt dan ga je gewoon terug naar je snapshot. Als ik patches, cracks en ander spul wil hebben en dat moet toevallig perse met IE, dan start ik ook mijn testimage op in VMWare en download het daar. Daarna gewoon weer restoren naar mijn snapshot en klaar is Kees.

Een image met Internet Explorer is lastig vrij te distribueren, want je moet er wel een OS onder hebben liggen. Aangezien IE alleen op Windows draait wordt dat een beetje lastig. Windows kun je niet vrij distribueren, dus je zit vast aan open source software...

[i-chat]

Een image met Internet Explorer is lastig vrij te distribueren, want je moet er wel een OS onder hebben liggen. Aangezien IE alleen op Windows draait wordt dat een beetje lastig. Windows kun je niet vrij distribueren, dus je zit vast aan open source software...

Reactos wel - het is buggy HEEEL buggy zelfs, maar wel gebouwd om binairy compatible te zijn,
maar ik denk dat de gemiddelde Tnet'r na een beetje kloten wel een reactos image kan fabriseren om IE enzo erin te zetten. -

[Daro]

Zou het niet nuttiger zijn als ze dit zouden uitbrengen met IE erin?

[Anoniem: 159350]

als het alleen om het apart draaien van applicaties zou gaan, ben ik (als Solaris freak ) aan t wachten op solaris 10 (met zones natuurlijk) icm een goeie implementatie van Zen of dergelijke

OT, wel heel erg leuk, binnenkort maar es een keer proberen!

[Hero of Time]

Goed punt wat ze nu maken. Ik heb nu al meerdere keren een pc van vrienden, kennissen en familie moeten cleanen omdat ze gewoon overal op klikken wat los en vast zit zonder na te denken wat de gevolgen kunnen zijn. Meestal hebben de ouders er niets mee te maken omdat zoon- of dochterlief heel leuk KaZaA erop heeft staan of via MSN van die 'leuke' sites krijgen waar ze dan weer wat op zien en lukraak aanklikken (smilies bijvoorbeeld, word er helemaal gek van).

Toch zou het leuker zijn als er meer browsers inzitten zodat mensen nog een keus hebben of in ieder geval als de pagina niet lekker opent. Een combinatie van Opera, FireFox en Internet Explorer zou veel beter zijn. Laat het dan gelijk een zeer uitgeklede versie zijn van een Windows (of gebruik Mac OS, als dat kan en mag) en dat de gebruiker minimale systeemrechten heeft, dus alleen het openen van programma's die aanwezig zijn. Powerpoint en Word viewer erin en ze kunnen alles op het internet doen wat ze willen, er kan niets gebeuren.
Virus? Geen probleem, mag toch niet uitgevoerd worden. Programma update? Geen probleem, Firefox heeft al een autoupdate functie voor kleine updates (is het ook al zo voor de hele browser ipv kleine onderdelen?) en Opera zal hier vast ook wel een oplossing voor hebben. IE gaat dan gewoon via autoupdate.

[Palomar]

Ik gebruik die Mozilla Browser Applicance ook al een tijdje als linux 'testbak' onder mn normale winxp install. De Ubuntu-install heb ik even met apt-get geüpdatet en dan kun je er zowat alles mee wat je met een normale install ook kan. Toch wel makkelijk, want dan hoef je niet eerst een distro te installeren en configureren Dit draait direct (preinstalled).

Webbrowsen vind ik alleen niet zo lekker gaan hiermee, want het blijft een emulator, dus het gaat soms wat langzamer. Op mn oude PC (XP1800) merk ik echt dat alles trager aanvoelt en op mn Athlon64-2800 gaat het wel redelijk vloeiend, maar soms voelt het toch even wat langzamer aan bij scrollen enzo.

[YoMarK]

Een tip is door in je guest OS de vmware drivers te installeren, en vervolgens je hardware acceleratie in je beeldschermeigenschappen op maximaal moet zetten.
Deze staat standaard met de vmware displaydriver op low.

[Dizzy]

Palomar: tip, de vmware console kan idd traag en hikkerig overkomen. Als je echter bijvoorbeeld een xp-vm draait kan je die het beste m.b.v. remote desktop overnemen, dat gaat allemaal een stuk vlotter.

ik had op mijn xp-machine vmware-workstation draaien, met daarin een xp-vm, via mijn linux box (een oude gammele p700 die te traag is voor xp) nam ik vervolgens via remote desktop de xp-vm over, en het is alsof je op die linuxmachine achter een volwaardige xp-werkplek zat, die ook nog heel vlot werkte.

[Anoniem: 93009]

De crux zit hem altijd in het downloaden en/of bewerken van bestanden: die wil je niet alleen in je virtuele omgeving (sandbox) houden want als die sandbox geinfecteerd raakt en je gooi hem weg ben je ook die data kwijt.
Dus zet je die bestanden op je host OS en ..... creeer je opnieuw een gevaar voor je host.

Het is een mooie oplossing voor alleen wat browsen etc. maar als je meer wilt dan zitten daar de gebruikelijke haken en ogen aan.