> Программа детектит виртуализацию и дальше Если вообще детектит. Гипервизор может показывать гуесту что хочет. Особенно если сорц есть.
> делает всё что хочет на хосте, её никто не остановит.
Агащас. У меня VM сконфигурены так что доступ к ресурсам хоста минимальный, только то что нужно для задачи, ничего лишнего.
> Тут безопаснее запускать сразу на хосте,
А свобода это рабство, видимо.
> хоть как-то контролировать поведение можно,
Виртуализатор дает более крутой контроль. VM даже с недружественным кернелом (!!!) напакостить не может, не то что апликухой. Абстракция такая: гуест не имеет привилегированого доступа в хост. Даже если выглядит как будто это работает, это лишь фикция под арбитражем гипервизора. На самом деле эксепшн в непривилегированой программе + эмуляция гипервизором что якобы-прокатило.
А бонсуом у меня есть god-mode debugger. Я на уровень выше кернела VM. Могу остановить их на время. Пошагово пощелкать. Память сдампить или пропатчить. Типа жытага, только силами гипервизора. Даже если кернел виртуалки помер, виртуализатор дебаг-хост реализует сам, это пофиг. Контроля при этом более чем. Я над кернелами ОСей...
> да и сесурити хоста обычно повыше.
С чего? Если недружественная программа нанесет урон системе в VM, это затронет только виртуалку с ней. А если хосту - все что там было.
Вот вы видите меня. А на самом деле контейнер. Показывающий браузуеру иной системный view, в нем только Downloads и есть. Так что сломав браузер сможете спереть аж недавние даунлоады. Они из интернета слиты, смысла возиться нет. А больше ничего и нет.
Если допустить что вы сможете прошибить кернел (гуеста) и обойти тот контейнер, вы обнаружите что это "VM для запуска браузера". Ее доступ к хосту ограничен счетом, RAM, показом картинок и оооочнь маргинальным доступом в сеть. Очень интересно как вы собираетесь хост с нее долбануть. Теоретически, в гипервизоре тоже могут быть баги, но теперь это все же 2 барьера изоляции и арбитража а не 1.
> Виртуалки это очень опасная тема, не только стырит, но и бэкдор в биос прошьёт.
Каким бы чудом? Для этого ну вот например тут надо пробить сперва контейнер и кернел виртуалки, потом гипервизор. Кстати, даже если чисто теоретически допустить что вы сможете пробить гипервизор эскалировав с гуеста в хост, вас будет ждать интересный сюрприз. Не, BIOS не перешьется.
Даже прошивалка легитимно пущеная на хосте от рута - выкуривает бамбук. Знакомьтесь, режим Lockdown. Он не дает физическую память трогать даже руту. И вот вам а не перешивка соответственно. И ключи подписи модулей ядра - вот лично мои. И настроено так что отключается не в раз не тривиально и незаметно не выйдет. Это _моя_ система. Она работает на _меня_.
> Кстати, это всё не теория.
Хотите поучить капитана звездного крейсера правильной конфигурации силовых щитов в его кастомном дизайне? Удачи. Но эта штука таки выдерживает довольно жесткий й0пс. Просто потому что я сам умею в атаки. А потому неплохо понимаю от чего и почему защищаюсь.
