[Fli4l_dev] opt 'virt'

[Heinz-Peter Faasen]

Hallo Carsten,

>> Ich habe früher auch einfach durchgereicht, bin dann aber auf den
>> Hinweis gestoßen, der mit einer sehr überzeugenden Begründung verbunden
>> war. Seither mache ich es anders.
> Die Begründung würde mich sehr interessieren.

das glaube ich gerne, aber eine Schnellsuche hat mich jetzt auch nicht 
zu den damaligen Artikeln geführt.

>>> Nach meinem Verständnis steht nach dem PCI passthrough die Netzwerkkarte
>>> nicht mehr in der dom0 sondern nur noch in der domU zur Verfügung.
>>> Oder hab ich da einen Denkfehler?
>>
>> Im Grunde nicht. Aber es ist wohl so, dass man als Angreifer rel. leicht
>> ausbrechen und in die dom0 eindringen kann.
> Wie soll das Angriffsszenario für PCI-passthrough aussehen?
> Die domU bekommt nur Zugriff auf die Resourcen der PCI Karte.
> Da PCI-passthrough meines Wissens VT-d und damit IOMMU voraussetzt ist das auch DMA sicher.

Nö, denn das ging schon mit P3-Maschinen. Allerdings brauchte man da 
auch noch angepasste Kernel.

>> Ähnlich der Situation bei einem Switch, über den zwei eigentlich getrennte Netze laufen.
> ???
> Wenn über einen Switch zwei Netze laufen sollen braucht man einen VLAN fähigen Switch.
> Ansonsten *ist* das unsicher.

Genau.

> Beim PCI-passtrough bekomme ich exclusiven Zugang zur Netzwerkkarte.

Zwar kann auf der Maschine nur noch die entsprechende domU mit der Karte 
kommunizieren, aber das läuft halt über den Bus.
Ich weiß eben leider nicht mehr, wie da ein Angriffsszenario aussieht, 
aber man kann wohl über den Bus in die dom0 gelangen.

> Wenn die Karte als virtuelle Netzwerkkarte durchgereicht wird, dann hab ich in der domU
> keine Kontrolle ob da ein oder meherer Netze drauf betrieben werden.
> *Das* entspricht der Situation auf einem Switch ohne VLAN.

Die dom0 kontrolliert die HW und die eingerichteten Bridges. Sie ist 
dafür zuständig, alles an den richtigen Adressaten zu leiten. Das ist 
dann wie im VLAN (na ja, ok, im weitesten Sinne ;) )

Gruß
Heinz-Peter