Zero Persistence First Attempt using Zimaboard 2 Did it Work
Cette vidéo explore la construction d’un prototype de microVM jetable (zero persistence) sur une carte ZimaBoard 2 à 339 $, en utilisant Firecracker, pour démontrer qu’un matériel modeste peut exécuter des charges de travail éphémères et sécurisées.
SYNTHÈSE STRUCTURÉE
Le concept de zero persistence face aux cybermenaces
L’intervenant part du constat que les attaques modernes se propagent en 23 secondes à 2 minutes, rendant les systèmes traditionnels vulnérables. Il propose donc des machines « jetables » où l’environnement d’exécution est détruit après usage. Il précise : « zero persistence means that the runtime is disposable ». Cela offre une sécurité supplémentaire, mais ne résout pas tout : il faut encore détecter l’attaque et décider quand détruire la machine.
Pourquoi Firecracker plutôt que Kata Containers
Firecracker est un microVM basé sur KVM, conçu pour les charges légères et jetables. Contrairement à Kata Containers, il n’exécute pas de conteneurs réels avec support Kubernetes. L’intervenant explique : « Kata containers actually runs a real container […] it also has a very thin virtual manager that provides protection at the kernel level which you don’t get in a container ». Firecracker reste plus simple et plus adapté à un prototype sur matériel modeste.
Le matériel : ZimaBoard 2, un choix pragmatique
La carte reçue est une ZimaBoard 2 avec un Intel N150 (4 cœurs/4 threads, 6W TDP), 8 Go de RAM LPDDR5 soudée, 32 Go eMMC, deux ports 2,5 GbE. L’intervenant note : « I was concerned that 8 gig of RAM and four cores might be a little too limiting for this project, but why not try it? ». Il choisit x86 pour éviter les variables, même si Firecracker supporte aussi ARM.
Scripts de construction et gold master
L’intervenant a préparé des scripts pour automatiser la construction : install_docker.sh, pre-flight.sh, build.sh, et un script de téléchargement des assets (noyau, système de fichiers racine). Il crée un « gold master » (image de base) à partir duquel chaque microVM est clonée. Cette approche garantit que chaque instance démarre dans un état connu et vierge.
Démonstration : lancement d’une microVM
Il lance une VM avec 512 Mo de RAM et 1 cœur. La VM consomme environ 470 Mo sur l’hôte (contre 340 Mo au repos). Il utilise une interface tap pour le réseau et un socket vsock pour la communication hôte-invité. Il confirme : « This VM is 512 meg and one core. So it’s only going to take what it needs to use ». La VM tourne sous Ubuntu 24.04 LTS.
Test de persistance : stress et destruction
Il installe stress-ng et s2 (un outil non précisé) dans la VM, puis redémarre la VM via un script. Après redémarrage, tout est réinitialisé : « S2E? It’s gone. What about notes? Gone. ». Le script détruit l’image runtime active, recrée une nouvelle instance à partir du gold master, et remet en place les règles NAT et l’interface tap. Cela prouve le concept de zero persistence.
Limites de l’approche pour un usage desktop
L’intervenant souligne que cette méthode est idéale pour des serveurs ou des charges isolées, mais pas pour un poste de travail : « if you want to use this for a desktop, you have a kind of a problem because nothing has passed which means this is sandboxed ». Aucun fichier n’est persistant, ce qui rend impossible le travail bureautique classique.
Verdict sur la ZimaBoard 2
Points forts : faible consommation, double 2,5 GbE, bonne qualité de construction pour le prix. Points faibles : mémoire et eMMC soudés (8 Go limitent à 2-3 microVM), version 16 Go pas encore testée. L’intervenant conclut : « The ZimaBoard 2 is a strong practical choice for lightweight, zero persistent workloads and efficient home lab ».
CONCEPTS CLÉS
- Zero persistence : concept où l’environnement d’exécution (VM, conteneur) est détruit après chaque utilisation, ne laissant aucune trace persistante. Idéal pour la sécurité contre les malwares.
- Firecracker : microVM légère basée sur KVM, développée par AWS, conçue pour les charges éphémères et les déploiements serverless.
- Gold master : image de base (système de fichiers + noyau) à partir de laquelle chaque instance est clonée. Garantit un état initial identique et vierge.
- Tap interface : interface réseau virtuelle utilisée pour connecter la VM à l’hôte et au réseau physique.
- Vsock : mécanisme de communication hôte-invité via un socket virtuel, plus efficace que le réseau TCP/IP classique.
CONCLUSION
Le prototype démontre qu’un matériel à 339 $ peut exécuter des microVM jetables avec Firecracker, offrant une sécurité renforcée par la destruction systématique de l’environnement après usage. L’approche est prometteuse pour les charges serveur légères et les labs, mais inadaptée au desktop classique. La ZimaBoard 2 s’avère un choix équilibré pour ce type de projet, à condition de choisir la version 16 Go pour plus de souplesse.