VMware a conçu la couche de virtualisation (appelée VMkernel) pour l'exécution des machines virtuelles. Cette couche contrôle les composants matériels que les hôtes utilisent et planifie l'allocation des ressources matérielles sur les différentes machines virtuelles. Comme VMkernel est totalement dédié à la prise en charge des machines virtuelles uniquement, l'interface avec VMkernel est strictement limitée à l'API nécessaire à la gestion des machines virtuelles.

ESXi offre une protection VMkernel supplémentaire avec les fonctionnalités suivantes :

Durcissement de la mémoire

Le noyau ESXi, les applications utilisateur et les composants exécutables (pilotes et bibliothèques, par exemple) se trouvent à des emplacements mémoire aléatoires, non prévisibles. Cette fonction, associée aux protections mémoire des microprocesseurs, rend plus difficile l'utilisation de la mémoire par un code malveillant à des fins d'exploitation des vulnérabilités.

Intégrité du module noyau

Grâce à la signature numérique, l'intégrité et l'authenticité des modules, pilotes et applications sont les mêmes que si ces éléments étaient chargés par VMkernel. Cette signature permet à ESXi d'identifier les fournisseurs des modules, pilotes ou applications concernés, et de vérifier s'ils sont dotés d'une certification VMware. Les logiciels VMware et les pilotes tiers sont signés par VMware.

TPM (Trusted Platform Module)

vSphere utilise le TPM (Trusted Platform Module) et la TXT (Trusted Execution Technology) Intel pour fournir une attestation à distance de l'image de l'hyperviseur sur une base matérielle de confiance. L'image de l'hyperviseur est constituée des éléments suivants :

  • Le logiciel ESXi (hyperviseur) au format VIB (package)

  • Des VIB tiers

  • Des pilotes tiers

Pour exploiter cette capacité, TPM et TXT doivent être activés sur votre système ESXi.

Lorsque TPM et TXT sont activés, ESXi mesure l'intégralité de la pile de l'hyperviseur lors du démarrage du système et stocke ces mesures dans les registres PCR (Platform Configuration Registers) du TPM. Ces mesures incluent VMkernel, les modules du noyau, les pilotes, les applications de gestion natives qui sont exécutées sur ESXi, ainsi que toutes les options de configuration du démarrage. Tous les VIB installés sur le système sont mesurés.

Les solutions tierces peuvent utiliser cette fonctionnalité pour développer un vérificateur capable de détecter toute altération de l'image de l'hyperviseur, en comparant celle-ci avec une image des valeurs correctes connues et escomptées. vSphere ne dispose pas d'une interface utilisateur pour afficher ces mesures.

Les mesures sont exposées dans une API de vSphere. Un journal des événements est fourni en tant qu'élément de l'API, conformément à la norme TCG (Trusted Computing Group) pour TXT.