يقدّم إطار عمل Android Virtualization (AVF) بيئة تنفيذ آمنة وخاصةً لتنفيذ الرموز البرمجية. إنّ ميزة "وضع التطبيقات في حاويات افتراضية" مثالية لحالات الاستخدام المرتكزة على الأمان التي تتطلّب ضمانات عزل أقوى، حتى لو تم التحقّق منها رسميًا، مقارنةً بتلك التي يوفّرها وضع التطبيقات في مساحة محايدة في Android. يوفّر Android نموذجًا مرجعيًا لتطبيق جميع المكوّنات اللازمة لتنفيذ AVF. لا تتوفّر حاليًا ميزة AVF إلا على أجهزة ARM64. يعرض الشكل 1 بنية AVF:
في ما يلي تعريفات لأهم المصطلحات الواردة في الشكل 1:
- apexd وzipfuse
- تثبيت حِزم APEX وحِزم APK التي تم استيرادها من المضيف بأمان
- authfs
- نظام ملفات Fuse لمشاركة ملفات متعددة بأمان بين Android وpVM (المضيف والضيف)
- مُلصق
- الوسيلة الأساسية للتواصل بين الأجهزة الافتراضية:
- crosvm
- مُراقب جهاز افتراضي مكتوب بلغة Rust: يخصّص crosvm ذاكرة الجهاز الافتراضي ويُنشئ مؤشرات عمليات وحدة المعالجة المركزية الافتراضية وينفّذ الخلفيات للجهاز الافتراضي.
- Generic Kernel Image (GKI)
- صورة تمهيد معتمَدة من Google تحتوي على نواة GKI تم إنشاؤها من شجرة رمز مصدر Android Common Kernel (ACK) وهي مناسبة لفلاشها على قسم التمهيد في جهاز Android لمزيد من المعلومات، يُرجى الاطّلاع على نظرة عامة على ملف kernel.
- برنامج إدارة الأجهزة الافتراضية
- تقنية المحاكاة الافتراضية المستخدَمة في AVF، والتي تُعرف أيضًا باسم pKVM. يحافظ نظام التشغيل الظاهري على سلامة الرمز البرمجي الذي يتم تنفيذه والسرية لمواد عرض جهاز افتراضي للأجهزة الجوّالة، حتى إذا تم اختراق نظام Android المضيف أو أي من أجهزة افتراضية للأجهزة الجوّالة الأخرى.
- Java API
- واجهات برمجة تطبيقات Java لـ VirtualizationService، والتي لا تتوفّر إلا على الأجهزة التي تتوافق مع
AVF واجهات برمجة التطبيقات هذه اختيارية وليست جزءًا من
thebootclasspath. - Microdroid
- نظام تشغيل Android صغير مقدَّم من Google ويتم تشغيله في جهاز افتراضي شخصي (pVM).
- Microdroid Manager
- تدير دورة حياة جهاز pVM داخل جهاز pVM وقرص المثيل.
- واجهة برمجة التطبيقات الأصلية
- مجموعة فرعية من مجموعة تطوير البرامج الأصلية لنظام التشغيل Android (NDK)
- جهاز افتراضي محمي يستند إلى النواة (pKVM)
- راجِع برنامج Hypervisor.
- البرامج الثابتة لنظام التشغيل pVM (
pvmfw) - الرمز البرمجي الأول الذي يتم تشغيله على جهاز افتراضي مخصّص للتطبيقات،
pvmfwيُثبت صحة الحمولة ويُنشئ السرية لكل جهاز افتراضي. - آلة افتراضية محمية (pVM)
بيئة تنفيذ معزولة غير موثوق بها (ضيف) تعمل بجانب نظام التشغيل Android الرئيسي (المضيف). أحد الجوانب المهمة لأمان VM هو أنّه حتى إذا تم اختراق المضيف، لن يتمكّن المضيف من الوصول إلى ذاكرة VM. وتعدّ pKVM هي نظام التشغيل الظاهري العادي لتشغيل أنظمة التشغيل الظاهرية.
مقارنةً ببيئات التنفيذ الموثوق الحالية (TEE)، توفّر آلات افتراضية محمولة بيئة أكثر تنوعًا، بما في ذلك إمكانية تشغيل إصدار مصغر من Android يُسمى Microdroid (على الرغم من أنّه يمكن تشغيل Microdroid أيضًا على آلة افتراضية غير محمية). يمكن استخدام آلات افتراضية محمولة بشكل ديناميكي وتوفير مجموعة عادية من واجهات برمجة التطبيقات في بيئة موثوق بها متاحة على جميع الأجهزة التي تتوافق معها.
- VirtualizationService
خدمة Android التي تدير دورة حياة الأجهزة الافتراضية.
ما هي الخطوات التالية؟
- لفهم الحاجة إلى AVF بشكل أفضل، يُرجى الاطّلاع على لماذا AVF؟.
- للاطّلاع على كيفية استخدام AVF في عملية الترجمة المجتزأة، يُرجى الرجوع إلى حالات الاستخدام.
- للحصول على شرح أكثر تفصيلاً لبنية التنفيذ المرجعي لإطار عمل AVF، يُرجى الرجوع إلى بنية AVF.
- إذا كنت تريد الاطّلاع على معلومات عن Microdroid، يمكنك الرجوع إلى مقالة Microdroid.
- إذا كنت مهتمًا بمعرفة كيفية تعامل AVF مع الأمان، يُرجى الرجوع إلى الأمان.
- لفهم دور خدمة المحاكاة الافتراضية، يُرجى الرجوع إلى VirtualizationService.
- للحصول على رمز المصدر لـ AVF أو شرح مفصّل عن المكوّنات الفردية، يُرجى الرجوع إلى مستودع AOSP.