In einem Blogeintrag beschreiben Mitarbeiter von Google in sieben Schritten, wie das Unternehmen die Sicherheit der KVM-Virtualisierung gewährleistet. Unter anderem verzichtet es auf den Einsatz von Qemu und nennt dafür auch Gründe.

So setze Google laut Blogeintrag statt Qemu einen selbst geschriebenen Userspace-VM-Monitor ein. Wie die Software heißt, erfährt der Leser allerdings nicht, Verweise auf den Quellcode fehlen ebenfalls. Die Software bringt laut Google jedenfalls eine einfache Supportmatrix für die Host- und Gast-Architektur mit, weil sie wesentlich simpler aufgebaut ist als Qemu und nur eine einzige Architektur unterstützt. Cross-Architektur-Kombinationen von Hosts und Gästen beherrscht Googles Lösung nicht.

Zugleich kritisiert der Blogbeitrag die Sicherheit von Qemu. Während Google mit (Unit)-Tests die Zahl an Bugs in der selbst entwickelten Software verringere, würden das Fehlen solcher Tests und die vielen Abhängigkeiten von Qemu das Einrichten von Unit-Tests erschweren. Zudem habe Qemu eine längere Historie an Security-Bugs, kritisieren die Google-Mitarbeiter das Projekt, ihre eigene Software hingegen nicht.

Neben der permannten Suche nach Bugs und Sicherheitslücken in KVM reduziere Google zudem ständig die Angriffsoberfläche von KVM. Dazu gehört es, ungenutzte Komponenten wie etwa veraltete Maustreiber und Interrupt Controller aus KVM zu entfernen und die Menge an emulierten Instruktionen zu verkleinern. Das reduziere zugleich die Zahl der nötigen Patches.

Der implementierte Code sorgt zudem dafür, dass die KVM-Hosts nach dem Booten einen stabilen Zustand erreichen. Jeder KVM-Host generiert zudem ein P2P-basiertes kryptografisches Schlüsseltauschsystem über das die auf ihm laufenden Jobs ihre gegenseitige Kommunikation autorisieren und authentifizieren. Zugleich prüfe man die Integrität des Codes auf jedem Level, vom Bootloader bis zu den Gast-VMs der Kunden. So prüfe man, was für Quellcode in der KVM läuft, wie er gebaut, konfiguriert und ausgerollt wurde.

Strikte interne SLAs und Prozesse sollen für schnelle Patches sorgen, wenn kritische Sicherheitslücken für KVM auftauchen. Allerdings habe es bislang keine solchen gegeben. Sicherheitslücken außerhalb von KVM patche Google mit Hilfe der eigenen Infrastruktur möglichst zeitnah. Dabei habe nur ein kleines Team von Google-Angestellten Zugang zum Buildsystem und zur Kontrolle des Release Management.